E-Mails mit PHP lesen

[Nipec]

Guten Abend zusammen,

ich versuche eine Applikation um eine Funktionalität zu erweitern, mit der Benutzer Ihre E-Mails (lokal gespeichert im Maildir-Format, Dovecot als MDA) einsehen können. Nach längerer Recherche kenne ich nun zwei Wege, um dies zu bewerkstelligen:

1. IMAP - entweder per fsockopen oder über die php-imap Extension. Das Problem hierbei ist, dass ich das Benutzer-Passwort beim Login zwischenspeichern muss, da dieses bei jedem IMAP-Verbindungsaufbau benötigt wird und ich den Benutzer nicht bei jeder IMAP-Aktion um dieses Passwort bitten möchte. Ich hab mir für dieses Vorgehen zwei Implementierungen von Webmail-Programmen angesehen:
   1. Roundcube speichert nach erfolgreicher Authentifizierung das Benutzer-PW mit symmetrischer Verschlüsselung (Schlüssel ist in einer PHP-Konfigurationsdatei hinterlegt) in der Session ab und greift auf dieses zu, sobald eine IMAP-Verbindung benötigt wird.
   2. SquirrelMail speichert das Benutzer-PW nach erfolgreicher Authentifizierung in einem Cookie. Auch hier wird symmetrische Verschlüsselung eingesetzt, allerdings wird bei jedem Benutzer-Login ein neuer Schlüssel generiert und dieser in der Session gespeichert.
2. Lass ich Dovecot und Apache (mod_php) mit dem gleichen Linux Benutzer und der gleichen Linux Gruppe laufen, so kann ich auf das Maildir mit PHP (opendir(), ...) direkt zugreifen und E-Mail-Dateien auslesen.

Welche dieser Varianten ist die Sicherste und gibt es noch Weitere?

Grüße

Nipec

[Arne Drews]

Ich würde 1 wählen, mit der Option, die Verbindungsdaten verschlüsselt in einer DB zu halten, solange die aktive Session läuft.

[alf4712]

IMAP ist schon deswegen sicherer, weil du nicht weisst, was Dovecot denn so mit den Dateien in Zukunft macht. Sollten die mal das Format der gespeicherten Dateien - oder die Ordnerstruktur - ändern bist du am Nachbessern und Nachprogrammieren. IMAP ist ein "genormtes" Protokoll und du weisst, was du bekommst, wenn du das Protokoll ordentlich ausführst. Egal wie Dovcot intern die Mails speichert.

[tomBuilder]

Dovecot erlaubt ja mehrere authenticationen, somit ist es möglich das userlogin vom scriptlogin zu trennen.
falls es aber nur ums ansehen geht, mag ja auch ein parallele auslieferung genügen.