“E-Mail made in Germany” – this is quality and security. They claim.
It reminds me a bit of last year’s iCloud hack. You could do the same with GMX. Their response is at the bottom of this post.
The german mail provider GMX Mail accepts plain text connections via POP3, IMAP and SMTP. It allows users to authenticate but when the authentication is successful, they cannot proceed, as the connection is plain text. Below an example for IMAP:
root@kali:~/mail# telnet imap.gmx.net 143 Trying 212.227.17.170... Connected to imap.gmx.net. Escape character is '^]'. * OK [CAPABILITY IMAP4rev1 CHILDREN ENABLE ID IDLE LIST-EXTENDED LIST-STATUS LITERAL+ MOVE NAMESPACE SASL-IR SORT SPECIAL-USE THREAD=ORDEREDSUBJECT UIDPLUS UNSELECT WITHIN STARTTLS AUTH=LOGIN AUTH=PLAIN] IMAP server ready H migmx123 107874 IMAP-0MUPSY-1aMB442ITa-00R1KS tag login XXXX@gmx.at "wrong" tag NO authentication failed tag login XXXX@gmx.at "wrong1" tag NO authentication failed tag login XXXX@gmx.at "XXXXXXXXXXXXXXXXXX" tag NO [PRIVACYREQUIRED] Fehler beim Abruf Ihrer GMX E-Mails. Ihre Verbindung ist nicht verschluesselt. Aktivieren Sie SSL in Ihrem Mailprogramm. Anleitungen: https://ssl.gmx.net
The answer says that the connection is not encrypted and encryption must be activated. Anyway, the credentials have already been sent to the server in plain text which allows an attacker to sniff the credentials and to access the mailbox.
The same applies to plain text connections using POP3 and SMTP.
Furthermore, the provider informs users about unsuccessful login attempts in order to warn users about potential attackers. A warning appears when logging into the e-mail account via the web interface, as seen in the screenshot below, which says “3 unsuccessful login attempts”.
These failed login attempts seem to be counted for logins via:
- webinterface
- encrypted IMAP (port 996)
- encrypted POP3 (port 995)
The following authentication vectors are not counted (thus no warning is given), even though the credential validity can be checked, e.g. for brute-force attacks:
- unencrypted IMAP (port 143)
- unencrypted POP3 (port 110)
- unencrypted SMTP (port 25)
- encrypted SMTP (ports 587 via STARTTLS and 465)
There seems to be no restriction on the number of guesses and no login throttling. So have fun.
GMX was first notified on 16 February 2016. They answered that the product they offer is free and GMX cannot provide free support – unfortunately. And… they are happy if they could have helped me.
Sehr geehrtes GMX Mitglied, vielen Dank für Ihre E-Mail. GMX FreeMail ist ein kostenloses Produkt. Wir bitten um Ihr Verständnis, dass wir Ihnen deshalb keinen schriftlichen Support anbieten können. Umfangreiche, kostenlose Hilfe zu allen Funktionen von GMX FreeMail finden Sie unter https://hilfe.gmx.net/. Gerne sind wir auch persönlich für Sie da. Rufen Sie uns dazu einfach unter der unten genannten Telefonnummer an. Wenn Sie uns über unsere 0900-Servicerufnummer nicht erreichen, kann dies an einer Rufnummernsperre für Sonderrufnummern liegen. [...] Wir freuen uns, wenn wir Ihnen weiterhelfen konnten. Mit freundlichen Grüßen Ihr technischer GMX Kundenservice
The second notification was sent on 17 February. Their responded on 01 March that this is no security issue.
Sehr geehrter Herr Molnar, vielen Dank für Ihre Anfrage, die zur Bearbeitung an unsere Fachabteilung weitergegeben wurde. Selbstverständlich haben wir Ihr Anliegen überprüft. In Anlehnung an Ihre E-Mail teilen wir Ihnen gerne mit, dass es sich bei den von Ihnen angesprochenen Punkten nicht um sicherheitskritische Aspekte innerhalb unserer Infrastruktur handelt. Die Gefahr, dass die Zugangsdaten bei der Übermittlung im Klartext abgegriffen werden können, besteht in der Tat. Allerdings ist hierbei zu beachten, dass diese Gefahr vom verwendeten E-Mail-Client ausgeht und in keiner Weise von unseren Systemen. Um dieser entgegenzuwirken, muss das E-Mail-Programm eine verschlüsselte Verbindung aufbauen, bevor die Credentials übermittelt werden. Hierzu empfehlen wir die Verwendung von TLS für POP3 und IMAP. Dass im Falle einer unverschlüsselten Kommunikation in Verbindung mit einem falschen Passwort im Vergleich zu richtigen Credentials eine andere Meldung zurückgegeben wird, kann auch nicht als sicherheitskritisch eingestuft werden, zumal damit keinerlei Informationen über die Existenz eines Accounts wiedergegeben werden. Weiterhin wird in Ihrer E-Mail aufgeführt, dass keine Informationen bezüglich fehlerhafter Logins über SMTP, POP3 und IMAP kommuniziert werden. Ein Sicherheitsrisiko bringt dies nicht mit sich. Mit freundlichen Grüßen [Name removed] Ihr GMX Kundenservice
E-Mail made in Germany. I feel secure now. Do you?
