Warum sagt Google, dass Mozilla Thunderbird weniger sicher ist?

Manchmal, wenn Sie nach einer Antwort auf eine Sache suchen, finden Sie am Ende etwas ganz Überraschendes. Ein Beispiel dafür ist die Aussage von Google, dass Mozilla Thunderbird weniger sicher ist, aber warum sagen sie das? Der heutige SuperUser Q&A-Post hat die Antwort auf die Frage eines verwirrten Lesers.

Die Frage

SuperUser-Leser Nemo möchte wissen, warum Google Thunderbird für weniger sicher hält:

Ich hatte noch nie Probleme bei der Verwendung von Gmail mit Thunderbird, aber als ich versuchte, einen kostenlosen Software-Client für Google Talk/Chat/Hangout zu verwenden, entdeckte ich die folgende unerwartete Aussage. Gemäß Googles Dokument zu weniger sicheren Apps:

• Einige Beispiele für Apps, die die neuesten Sicherheitsstandards nicht unterstützen, sind […] Desktop-Mail-Clients wie Microsoft Outlook und Mozilla Thunderbird.

Google bietet dann ein Alles-oder-Nichts sicherer vs. unsicherer Kontowechsel („).

Warum sagt Google, dass Thunderbird die neuesten Sicherheitsstandards nicht unterstützt? Will Google damit sagen, dass Standardprotokolle wie IMAP, SMTP und POP3 weniger sichere Möglichkeiten für den Zugriff auf ein Postfach sind? Versuchen sie zu sagen, dass die Aktivitäten der Benutzer mit der Software ihre Konten gefährden oder was?

Secunias Schwachstellenbericht zu Mozilla Thunderbird 24.x sagt:

• Ungepatcht 11 Prozent (1 von 9 Secunia-Hinweisen) […] Die schwerwiegendste ungepatchte Secunia-Empfehlung, die Mozilla Thunderbird 24.x betrifft, wobei alle Patches von Herstellern angewendet wurden, wird als sehr kritisch eingestuft (anscheinend SA59803).

Warum sagt Google, dass Mozilla Thunderbird weniger sicher ist?

Die Antwort

SuperUser-Mitarbeiter Techie007 hat die Antwort für uns:

Dies liegt daran, dass diese Clients (derzeit) nicht unterstützen OAuth 2.0. Laut Google:

• Ab der zweiten Jahreshälfte 2014 werden wir schrittweise die Sicherheitskontrollen erhöhen, die bei der Anmeldung der Nutzer bei Google durchgeführt werden. Diese zusätzlichen Prüfungen stellen sicher, dass nur der beabsichtigte Benutzer Zugriff auf sein Konto hat, sei es über einen Browser, ein Gerät oder eine Anwendung. Diese Änderungen wirken sich auf alle Anwendungen aus, die einen Benutzernamen und/oder ein Passwort an Google senden.
• Um Ihre Benutzer besser zu schützen, empfehlen wir Ihnen, alle Ihre Anwendungen auf OAuth 2.0 zu aktualisieren. Wenn Sie dies nicht tun, müssen Ihre Benutzer zusätzliche Schritte unternehmen, um weiterhin auf Ihre Anwendungen zugreifen zu können.
• Zusammenfassend: Wenn Ihre Anwendung derzeit einfache Passwörter zur Authentifizierung bei Google verwendet, empfehlen wir Ihnen dringend, die Unterbrechung der Benutzer durch den Wechsel zu OAuth 2.0 zu minimieren.

Quelle: Neue Sicherheitsmaßnahmen wirken sich auf ältere (Nicht-OAuth 2.0) Anwendungen aus (Google-Blog zur Online-Sicherheit)

Möchten Sie der Erklärung noch etwas hinzufügen? Ton aus in den Kommentaren. Möchten Sie mehr Antworten von anderen technisch versierten Stack Exchange-Benutzern lesen? Sehen Sie sich hier den vollständigen Diskussionsthread an.