APOP（ "Authenticated Post Office Protocol"の頭字語）は、RFC 1939で定義されたPOP（Post Office Protocol）の拡張であり、パスワードは暗号化された形式で送信されます。
としても知られている： 認証済みのポストオフィスプロトコル
APOPとPOPの比較
標準のPOPでは、ユーザー名とパスワードがネットワーク上でプレーンテキストで送信され、悪質な第三者に傍受される可能性があります。 APOPは、直接交換されることはなく、すべてのログインプロセスに固有の文字列から派生した暗号化された形式でのみ、共有されるシークレット（パスワード）を使用します。
APOPはどのように機能しますか？
この一意の文字列は、通常、ユーザーの電子メールプログラムが接続するときにサーバーによって送信されるタイムスタンプです。次に、サーバーと電子メールプログラムの両方がタイムスタンプとパスワードのハッシュバージョンを計算すると、電子メールプログラムはその結果をサーバーに送信します。サーバーはその結果と一致するハッシュのログインを認証します。
どのようにセキュアなAPOPですか？
APOPは平易なPOP認証よりも安全ですが、その使用に問題を生じさせるいくつかの問題があります。
- 電子メールサーバーと電子メールプログラムの両方で、電子メールアカウントのパスワードをプレーンテキストで使用する必要があります（おそらく格納しておく必要があります）。これにより、パスワードを取得するための潜在的な直接ルートが提供されます。
- パスワードの暗号化された形式MD5を計算するアルゴリズムは日付がついており、もはやセキュアであるとはみなされません。 APOPでは、暗号化された形式からパスワードを簡単に破ることは容易ではありませんが、依然として注意が必要です。
- 暗号化された形ではあるが、パスワードが繰り返し送信されることは問題である。より多くの攻撃の余地を与えることができます。
APOPを使うべきですか？
いいえ、可能であればAPOP認証を避けてください。
POP電子メールアカウントにサインインするより安全な方法が存在します。代わりにこれらを使用してください：
- TLS / SSL：メールプログラムとサーバー間のすべてのトラフィックが暗号化されます。ユーザー名とパスワードだけでなく、電子メール自体も含みます。
- AUTH CRAM-MD5：APOPと同様に、CRAM-MD5認証を使用するPOP AUTH共通は、パスワードがプロセスに格納されないため、より安全です。 TLS / SSLが優れています。
プレーンなPOP認証とAPOPの間だけを選択する場合は、より安全なログインプロセスのためにAPOPを使用してください。
APOPの例
サーバー：+ OK POP3サーバー<[email protected]>
クライアント：APOPユーザー2014ee2adf2de85f5184a941a50918e3
サーバー：+ OKユーザーには3つのメッセージ（853オクテット）
