Matteo Baccan
← Original Article

Quanto è sicuro HTML2POP3?

2025-01-01

Quanto è sicuro HTML2POP3?

Un'analisi sui rischi e la sicurezza dei software bridge per la posta elettronica

In questi giorni un utente mi ha chiesto quanto sia sicuro HTML2POP3. La domanda è assolutamente lecita, specialmente quando si affidano le proprie credenziali a un software installato localmente sul proprio sistema operativo.

Cerchiamo di analizzare i flussi di dati coinvolti nel download della posta per capire quali siano le reali criticità.

Cos'è HTML2POP3?

HTML2POP3 è un programma che funge da "ponte" (bridge): trasforma le pagine web utilizzate dalle webmail in messaggi email comprensibili dal proprio client di posta (come Outlook o Thunderbird). Tutto questo avviene tramite un applicativo che risiede sul proprio PC.

Analisi dei flussi di dati

Esaminiamo i vari passaggi necessari per scaricare la posta e il relativo grado di sicurezza:

  1. Dal Client ad HTML2POP3: Il client di posta invia le credenziali ad HTML2POP3. Normalmente questa comunicazione avviene in chiaro, ma poiché accade interamente all'interno della stessa macchina, i dati non viaggiano sulla rete. L'unico rischio è la presenza di software di analisi locale (sniffer) sulla vostra macchina.
  2. Da HTML2POP3 al Server del Provider: HTML2POP3 effettua il login al server di posta. Normalmente questa fase è criptata, rendendo la connessione sicura a meno di attacchi MITM (Man In The Middle), che però riguarderebbero l'intera infrastruttura di rete e non specificamente il software.
  3. Recupero delle Email: Ogni volta che viene richiesta una email, HTML2POP3 utilizza la sessione web stabilita. La sicurezza qui è identica a quella che si avrebbe navigando con un normale browser: in base al provider, la richiesta può essere o meno criptata.
  4. Consegna al Client: Le risposte fornite a fronte di una chiamata POP3 RETR sono in chiaro verso il client di posta, poiché il protocollo di comunicazione locale è solitamente un POP3 non SSL.
  5. File di Log: HTML2POP3 genera un log dove vengono registrati l'utente e il CRC della password utilizzata. Sebbene non sia la password in chiaro, queste informazioni potrebbero teoricamente essere usate per tentativi di brute force mirati, anche se il processo non è immediato.
  6. Archiviazione Locale: Una volta scaricata, la posta viene mantenuta dal client in un archivio locale che spesso non è criptato, rendendola facilmente leggibile a chiunque abbia accesso al computer.

Conclusioni

HTML2POP3, come ogni altro software che funziona in modo analogo, aggiunge un "anello" alla catena di comunicazione. In termini di sicurezza, aumentare il numero di attori coinvolti diminuisce inevitabilmente la superficie di attacco.

A livello di comunicazione, il dialogo è paragonabile a quello che si avrebbe tramite browser. Il vero punto critico è la memorizzazione: mentre col browser i dati non vengono salvati localmente (se si naviga in HTTPS), con HTML2POP3 le informazioni vengono salvate in chiaro negli archivi del client di posta e parzialmente tracciate nei log, operazione che diminuisce la sicurezza della propria corrispondenza.