使用Gmail的浏览器客户端比使用IMAP更安全吗？

Question

我从不使用相同的密码两次，我的密码总是由一长串随机的字母，数字和符号组成。(使用脱机密码管理器存储每个密码字符串)

然而，我想知道(即使我有强大的密码)，使IMAP启用，是否会使我的Gmail帐户面临暴力密码破解的风险。

因此，我很好奇，如果不使用IMAP，只通过web浏览器访问Gmail是否更安全。(使用HTTPS)或，如果这样的预防措施是不必要的。

===

注意:我认为Gmail的网站更能抵御强行密码破解的原因，是Gmail的网站需要在登录尝试失败之后输入CAPTCHA代码--而IMAP似乎没有提供这种保护。

Answer 1

根据你的密码习惯，我认为这不会有太大的区别。

如果您使用一个长的、强的、随机的密码，那么任何人都不可能通过在线猜测破解您的密码(即自动攻击，攻击者会反复连接到Google，并一次尝试一个密码猜测)。即使Google没有为IMAP使用CAPTCHA，即使Google在几次错误的密码猜测后没有做任何速率限制(这是可能的)，这也是正确的。以这种方式破解密码只需太长时间。例如，考虑由字母数字组成的8个字符的随机密码.有62^8个可能的密码。所以，要找到您的密码，攻击者必须尝试登录Gmail 10^14次。以1000次登录次数/秒的速度计算，这将花费10^11秒=3,000年。因此，这不值得担心。

您的安全中最薄弱的环节可能是其他的--例如，您使用的客户端设备的安全性。

换句话说，猜测密码的难度并不是密码链中最薄弱的一环，因此(根据Amdahl定律)不值得对密码进行优化:更难猜密码不会对最便宜的攻击造成太大影响，也不会对总体风险造成太大影响。

我建议您确保始终使用SSL或TLS，以防止人们窃听您的密码。例如，使用IMAPS (基于SSL/TLS的IMAP)连接到Gmail。如果您的服务器恰好同时支持TLS，IMAPS可能优于STARTTLS，因为如果STARTTLS不能协商TLS，它将返回到未加密的明文通信，而IMAPS则不会。