¿El uso del cliente basado en navegador de Gmail es más seguro que usar IMAP?

5

Nunca uso la misma contraseña dos veces y mis contraseñas siempre se componen de una larga cadena aleatoria de letras, números y símbolos. (con un administrador de contraseñas sin conexión para almacenar cada cadena de contraseña)

Sin embargo, me pregunté si (incluso con mis contraseñas seguras) el hecho de dejar IMAP habilitado dejaría mi cuenta de Gmail en riesgo de descifrar la contraseña de fuerza bruta.

Por lo tanto, tenía curiosidad por saber si sería más seguro dejar IMAP apagado y solo acceder a Gmail a través de un navegador web. (usando HTTPS) O, si tal precaución no fuera necesaria.

===

Nota: la razón por la que pensé que el sitio web de Gmail sería más resistente al descifrado de contraseñas de fuerza bruta, es que el sitio web de Gmail requiere que se ingrese un código CAPTCHA, luego de un cierto número de intentos fallidos de inicio de sesión --- mientras que IMAP no parece ofrecer esa protección.

    
pregunta Ademos 06.12.2012 - 03:53
fuente

1 respuesta

6

Según sus hábitos de contraseña, no creo que suponga una diferencia sustancial.

Si usa una contraseña larga, segura y aleatoria, no será factible que alguien descifre su contraseña a través de adivinanzas en línea (es decir, ataques automáticos, donde el atacante se conecta repetidamente a Google e intenta una conjetura de su contraseña en un hora). Esto es cierto incluso si Google no usa un CAPTCHA para el IMAP e incluso si Google no hace ninguna limitación de velocidad después de varias conjeturas de contraseña erróneas (lo que podrían hacer). Romper su contraseña de esta manera simplemente tomaría demasiado tiempo. Considere, por ejemplo, una contraseña aleatoria de 8 caracteres hecha de caracteres alfanuméricos. Hay 62 ^ 8 contraseñas posibles. Eso es alrededor de 10 ^ 14. Entonces, para encontrar su contraseña, un atacante tendría que intentar iniciar sesión en Gmail 10 ^ 14 veces. A una velocidad de 1000 intentos de inicio de sesión / segundo, tomará 10 ^ 11 segundos = 3,000 años. Por lo tanto, no vale la pena preocuparse por ello.

Es probable que el enlace más débil en su seguridad sea otra cosa, por ejemplo, la seguridad del dispositivo cliente que usa.

En otras palabras, la dificultad de adivinar su contraseña no es el eslabón más débil de la cadena, por lo que (según la ley de Amdahl) no vale la pena optimizarla: hacer que adivinar la contraseña sea más difícil no hará mucho por cambiar el costo de el ataque más barato, y no hará un gran cambio en su riesgo general.

P.S. do te recomiendo que te asegures de usar siempre SSL o TLS, para evitar que la gente escuche tu contraseña. Por ejemplo, use IMAPS (IMAP sobre SSL / TLS) para conectarse a Gmail. Si su servidor admite ambos, es probable que IMAPS sea superior a STARTTLS, porque STARTTLS volverá a las comunicaciones de texto claro sin cifrar si no puede negociar TLS, mientras que IMAPS no.

    
respondido por el D.W. 06.12.2012 - 04:19
fuente

Lea otras preguntas en las etiquetas