Почему Google называет Thunderbird "менее безопасным"?

Question

У меня никогда не было проблем с использованием Gmail с Thunderbird, но, пытаясь использовать бесплатный программный клиент для Google Talk/Chat/Hangout, я обнаружил, что, согласно документу Google о "менее безопасных приложениях":

Некоторые примеры приложений, которые не поддерживают последние стандарты безопасности, включают [...] Настольные почтовые клиенты, такие как Microsoft Outlook и Mozilla Thunderbird.

Затем Google предлагает безопасный или не защищенный переключатель учетных записей "все или ничего" ("Разрешить менее безопасные приложения").

Почему Google говорит, что Thunderbird "не поддерживает последние стандарты безопасности"? Google пытается сказать, что стандартные протоколы, такие как IMAP, SMTP и POP3, являются "менее безопасными" способами доступа к почтовому ящику? Они пытаются сказать, что использование пользователями этого программного обеспечения подвергает риску их учетные записи? Или что?

Отчет об уязвимостях Secunia : Mozilla Thunderbird 24.x (где 31?) говорит «Не исправлено 11% (1 из 9 Secunia Advisors) [...] Самая серьезная не исправленная рекомендация Secunia, затрагивающая Mozilla Thunderbird 24.x, со всеми примененными исправлениями поставщика, оценена как крайне критическая », по-видимому, SA59803.

Обновление 2: с 2018 года Google удваивается, отправляя сообщения с просьбой отключить "менее безопасный" доступ:

Обновление: OAuth2 доступен в Thunderbird 38, с дальнейшими исправлениями в более поздних выпусках, и ошибка 849540 была закрыта. Мне до сих пор не ясно о целях всего этого цирка.

Answer 1

Это потому, что эти клиенты (в настоящее время) не поддерживают OAuth 2.0.

... начиная со второй половины 2014 года, мы начнем постепенно увеличивать количество проверок безопасности, выполняемых при входе пользователей в Google. Эти дополнительные проверки гарантируют, что только предполагаемый пользователь имеет доступ к своей учетной записи, будь то через браузер, устройство или приложение. Эти изменения коснутся любого приложения, которое отправляет имя пользователя и / или пароль в Google.

Чтобы лучше защитить своих пользователей, мы рекомендуем вам обновить все ваши приложения до OAuth 2.0. Если вы решите не делать этого, ваши пользователи должны будут предпринять дополнительные шаги, чтобы продолжить доступ к вашим приложениям.

...

Таким образом, если ваше приложение в настоящее время использует простые пароли для аутентификации в Google, мы настоятельно рекомендуем вам свести к минимуму нарушение работы пользователей, перейдя на OAuth 2.0.

Источник: «Новые меры безопасности будут влиять на старые приложения (не OAuth 2.0)» - Блог о безопасности в Интернете, Google

Answer 2

Начиная с Thunderbird 38 поддерживается OAuth 2.0, см. Https://support.mozilla.org/en-US/kb/thunderbird-and-gmail и https://support.mozilla.org/en-US/kb/thunderbird-. и в Gmail

Примечание . Если у вас есть учетная запись Gmail в Thunderbird, вам нужно изменить метод аутентификации в настройках вашей учетной записи:

Для IMAP в настройках учетной записи GMail> Настройки сервера> Метод аутентификации: "OAuth2"

а для SMTP (отправка) существует отдельная настройка, выберите Google Mail (smtp.googlemail.com)> снова измените метод аутентификации на OAuth2.

(Ну, вы также можете удалить свою учетную запись GMail и создать новую.)