Thunderbird の OAuth 対応状況など

[Cai]

自分の環境の Thunderbird のセキュリティ設定などを見直していた時に気づいたことのまとめです。
修正、新規情報提供歓迎。

OAuth 2.0 対応 (歴代リリースノートから抜粋+α)
・Gmail
　・Google カレンダー (アドオン Provider for Google Calendar)
　・連絡先 (アドオン CardBook など)
・Yahoo! Mail (JAPAN ではなく .com)
・Microsoft 365 (Office 365 など 法人・団体向けのみ)
・AOL
・Yandex
・Mail.ru

OAuth 2.0 非対応、サービス本体のパスワードとは別にメール専用のパスワードを利用
・Microsoft 365 (日本向け Personal など個人向けで 2 段階認証を有効にした場合。アプリパスワードを発行)
・ドコモメール (d アカウントのパスワードとは別に IMAP アクセス専用のパスワードが発行される)

OAuth 2.0 非対応、サービス本体のパスワードとメールパスワードが同じ
・Microsoft 365 (日本向け Personal など個人向けで 2 段階認証を有効にしない場合)
・Yahoo! メール (JAPAN。2 段階認証を有効にした場合でも IMAP での認証には影響しない)

# もともとは Microsoft 365 Personal で OAuth2 使えないか試した結果、現状では無理っぽいという結論に至ったのが発端です。
# ・サーバー imap-mail.outlook.com だと「対応していない認証方式」
# ・サーバー mail.office365.com だと「個人アカウントは利用できない。職場または学校アカウントを使え」

[Cai]

# もともとは Microsoft 365 Personal で OAuth2 使えないか試した結果、現状では無理っぽいという結論に至ったのが発端です。
# ・サーバー imap-mail.outlook.com だと「対応していない認証方式」
# ・サーバー mail.office365.com だと「個人アカウントは利用できない。職場または学校アカウントを使え」

Microsoft 365 Personal でサーバーとしてこれまでの (POP|IMAP|SMTP)-mail.outlook.com ではなくoutlook.office365.com、smtp.office365.com を指定できるようになりましたが、個人向けでは OAuth2 は相変わらず非対応のようです。
# RFC 8314 で STARTTLS ではなく Implicit TLS (POPS: 995, IMAPS:993, SMTPS:465) が推奨されるようになって 3 年以上経ちますが、SMTP は STARTTLS (587) のみ対応は変わらず

[watrous]

outlook.jp等でOauth2ができない件ですが、IMAP接続し
CAPABILITY接続すると、以下のように　XOAUTH2はサポートされているので、
IMAPサーバー側はOauth2はサポートされているが、Thunderbird側で
Oauth2の認証をしに行くときのURLが違うのかなぁと思っていました。
法人向けは法人テナントのAzureADを見に行くと思うのですが、outlook.jp等は
何処見に行ってるんでしょうかね。



* OK The Microsoft Exchange IMAP4 service is ready. [VABZAEMAUABSADAAMQBDAEEAMAAxADEAMwAuAGoAcABuAHAAcgBkADAAMQAuAHAAcgBvAGQALgBvAHUAdABsAG8AbwBrAC4AYwBvAG0A]
0001 CAPABILITY
* CAPABILITY IMAP4 IMAP4rev1 AUTH=PLAIN AUTH=XOAUTH2 SASL-IR UIDPLUS ID UNSELECT CHILDREN IDLE NAMESPACE LITERAL+
0001 OK CAPABILITY completed.

[Cai]

個人アカウントだと outlook.office365.com、smtp.office365.com でも OAuth2 を使えない件ですが

Bug 1685414 Office365 OAuth2 Implementation uses Confidential Client instead of Public Client access

Thunderbird 側でのバグがあったようです。
nightly (108) およびベータ版 (107) では修正済み、リリース版 (102) でも近日中に修正の見込みです。
(Thunderbird for Android になる予定の K-9 Mail では個人アカウントにも OAuth2 で問題なくアクセスできたのでデスクトップ版の問題として Bug 1799259 として報告したら、duplicated として誘導されました)

SMTP で Implicit TLS (465) を使えず STARTTLS (587) のみ対応しているのは変わりなく。

[Cai]

個人アカウントだと outlook.office365.com、smtp.office365.com でも OAuth2 を使えない件ですが

Bug 1685414 Office365 OAuth2 Implementation uses Confidential Client instead of Public Client access

Thunderbird 側でのバグがあったようです。
nightly (108) およびベータ版 (107) では修正済み、リリース版 (102) でも近日中に修正の見込みです。

https://bugzilla.mozilla.org/show_bug.c ... 685414#c57
来週リリースの 102.7.0 にて修正が適用されます。

[Cai]

個人アカウントだと outlook.office365.com、smtp.office365.com でも OAuth2 を使えない件ですが

Bug 1685414 Office365 OAuth2 Implementation uses Confidential Client instead of Public Client access

Thunderbird 側でのバグがあったようです。
nightly (108) およびベータ版 (107) では修正済み、リリース版 (102) でも近日中に修正の見込みです。

https://bugzilla.mozilla.org/show_bug.c ... 685414#c57
来週リリースの 102.7.0 にて修正が適用されます。

https://thunderbird.topicbox.com/groups ... t-shipping

Due to an oauth issue missed during beta testing, Thunderbird 102.7.0 which would have shipped today will be abandoned. Once a suitable patch is available for the oauth issue we will build, test and ship 102.7.1.

OAuth 関連の問題のため、バージョン 102.7.0 はリリースされずスキップされるようです。
バグ修正が完了したら、102.7.1 としてリリースされるとのこと。

[Cai]

https://thunderbird.topicbox.com/groups ... t-shipping

Due to an oauth issue missed during beta testing, Thunderbird 102.7.0 which would have shipped today will be abandoned. Once a suitable patch is available for the oauth issue we will build, test and ship 102.7.1.

OAuth 関連の問題のため、バージョン 102.7.0 はリリースされずスキップされるようです。
バグ修正が完了したら、102.7.1 としてリリースされるとのこと。

スキップすると言っていたはずが

https://www.thunderbird.net/en-US/thund ... easenotes/

102.7.0 出ました。

https://mozillazine.jp/?p=7980

Microsoft 365 の法人アカウントの OAuth2 認証に関する不具合が確認されているため、Thunderbird 102.7.0 への自動アップデートは行われない。この問題の影響を受けるユーザーは、バージョン 102.7.0 へのアップデートは行わず近日中にリリース予定のバージョン 102.7.1 を待つべきである。詳細は「既知の問題」セクションを参照されたい。ヘルプメニューの “Thunderbird について” より手動でバージョン 102.7.0 へアップデートすることは可能である。

自動アップデートは行われず、ヘルプメニューからの手動アップデートのみとなります。

[諸行無常]

インフォメーションとして:
下記で公式アナウンスがされていましたが、
Mozilla を介した場合の（エンドユーザーへの）広報手段を改善して欲しいものです…
Important: Thunderbird 102.7.0 And Microsoft 365 Enterprise Users
January 17, 2023

[maji]

諸行無常 さん、maji です。

Mozilla を介した場合の（エンドユーザーへの）広報手段を改善して欲しいものです…

以下の場所に公式リリース出てましたね。

Thunderbird — Release Notes (102.7.0) — Thunderbird
January 19, 2023
https://www.thunderbird.net/en-US/thund ... easenotes/

mozillazine.jp の方はこちら(↓)。

MozillaZine.jp » Blog Archive » Thunderbird 102.7.0 がリリースされた
https://mozillazine.jp/?p=7980

では。

[Cai]

今は
Bug 1810760 Data in Origin header breaks Microsoft oAuth authentication
https://bugzilla.mozilla.org/show_bug.cgi?id=1810760
こちらが該当バグになります。
Daily では修正済み、ベータ版・リリース版への反映はまだです。

https://hg.mozilla.org/comm-central/fil ... viders.jsm

問題のファイルを見てみましたが、OAuth2 周りはサービスごとにハードコードされてるんですね。
もう少しうまいこと標準化できなかったんでしょうか？
もう一つ気づきましたが、109beta で Fastmail にも対応しているようです。
https://www.thunderbird.net/en-US/thund ... easenotes/

new: Thunderbird now supports OAuth2 for Fastmail

[諸行無常]

maji さんからの返信 についてですが、
投稿された一連の内容（返信など）は、スレッドとして残存する事になるため、誤解を解消する観点から、スルーせずに、解説を加えておきます。

Thunderbird は、
かつては Mozilla のプロジェクトでしたが、Mozilla のプロジェクトから分離し、完全に独立して設立された「別会社」に完全移行化されました。
その新会社は、Mozilla との資本関係はなく、独立した会社の収益（寄付金とサブスクリプション）で完結しています。

つまり、
Thunderbird のインフォメーションは「Thunderbird Blog」が担っているのですが、Mozilla がホストする「リリースノートなど」にリアルタイムで連動しておらず、遅延したり、忘れられてしまったり（例えば、メジャーバージョンのアップグレードの自動更新要領）が儘見受けられます。
ホストとの関係が不十分なため、
Mozilla を介したインフォメーション（リリースノートなど）が要領を得ないのです。

今回も、
Mozilla からは二日遅れでの発表でしたが、実際には Cai さんが嘆かれた事例が生じています。
私の前便（返信）は、その嘆きを受けての追加情報（公式 Blog）を明示したものです。

MozillaZine.jp » Blog Archive » Thunderbird 102.7.0 がリリースされた
https://mozillazine.jp/?p=7980
は、その追加情報（公式 Blog）を踏まえて、再編集されました。

以上、
「前便の意図」と「公式アナウンスの経緯」を明確にするための解説です。
トピック「Thunderbird の OAuth 対応状況など」を汚したくはないので、これにて。

[Cai]

MozillaZine.jp » Blog Archive » Thunderbird 102.7.0 がリリースされた
https://mozillazine.jp/?p=7980
は、その追加情報（公式 Blog）を踏まえて、再編集されました。

ニュース記事を公開後に再編集した事実はありません。
リリースノート自体にも最初から Known Issue として M365 OAuth2 の問題は Thunderbird Blog エントリへの誘導付きで挙げられており、冒頭の赤字の注意書きも掲載されていました。

[Cai]

https://archive.mozilla.org/pub/thunder ... es/build1/

102.7.1 candidate build1 がビルドされています。
明日あたりには正式にリリースされそうです。

[Cai]

https://archive.mozilla.org/pub/thunderbird/candidates/102.7.1-candidates/build1/

102.7.1 candidate build1 がビルドされています。
明日あたりには正式にリリースされそうです。

Daily (111)、ベータ版 (110) では機能したパッチですが、リリース版 (102) では他のバグ修正も必要で現状では機能しないことが発覚したようです (Bug 1810760 のコメント 25 以降)。

[Cai]

Daily (111)、ベータ版 (110) では機能したパッチですが、リリース版 (102) では他のバグ修正も必要で現状では機能しないことが発覚したようです (Bug 1810760 のコメント 25 以降)。

102 向けのワンオフなパッチが提出されています。が、まだチェックインされていません。

# Daily、ベータは前のパッチで修正済みなので新しいパッチは適用されません