ヤフーは、ユーザーと自社の電子メールサービス間の接続を自動的に暗号化し始めており、ライバルのGmailがほぼ4年間にわたって採用してきた重要なセキュリティ層を追加しているが、少なくとも1人のセキュリティ専門家によると、その実装には改善の余地があるという。
Yahoo!メールは2012年末からフルセッションHTTPS（HTTP経由のSSL/TLS暗号化）をサポートしていましたが、この機能を利用するにはユーザーがオプトインする必要がありました。同社は火曜日、10月に表明した、1月8日までにすべてのユーザーに対してデフォルトで暗号化を有効にするという約束を果たしました。
「Yahoo!メールをご利用の際は、ウェブ、モバイルウェブ、モバイルアプリ、IMAP、POP、SMTPのいずれの場合でも、デフォルトで100%暗号化され、2,048ビットの証明書で保護されています」と、Yahoo!のコミュニケーション製品担当シニアバイスプレジデント、ジェフ・ボンフォルテ氏はブログ記事で述べています。「この暗号化は、メール、添付ファイル、連絡先、そしてメール内のカレンダーとメッセンジャーにも適用されます。」
これは大きな一歩だが、SSL Labs および SSL Pulse プロジェクトを運営するセキュリティ企業 Qualys のアプリケーション セキュリティ リサーチ担当ディレクター、Ivan Ristic 氏によると、同社の HTTPS 実装はサーバー間で一貫性がなく、場合によっては技術的に安全でないこともあるようだ。
例えば、Yahoo!の一部のHTTPSメールサーバーでは、ほとんどのクライアントでRC4を優先暗号として採用しています。「RC4は弱いと考えられているため、使用しないか、どうしても使用しなければならない場合は最後の手段として使用することをお勧めします」とRistic氏は述べています。
login.yahoo.com などの他のサーバーは、主に AES 暗号を使用していますが、BEAST や CRIME などの既知の攻撃に対する緩和策がありません。CRIME は、login.yahoo.com でまだ有効になっている TLS 圧縮と呼ばれる機能をターゲットにしています。
Risticがチェックしたサーバーはいずれも、将来サーバーの秘密鍵が漏洩した場合でも、以前にキャプチャされたSSLトラフィックの復号を不可能にする機能であるForward Secrecyをサポートしていません。これは、Diffie-Hellman Ephemeral（DHEまたはECDHE）鍵共有プロトコルの特性です。Yahoo!のサーバーは、従来のRSA鍵交換を使用しています。
Google の Gmail 向け SSL 構成は 2011 年から前方秘匿性をサポートしており、Facebook と Twitter もこれを実装しています。
近年、SSLに対する様々な理論的および実践的な攻撃が実証されているため、セキュリティ専門家はガロア/カウンタモード（GCM）で機能する暗号の使用も推奨しています。これらの暗号はプロトコルの最新バージョンであるTLS 1.2でのみ利用可能ですが、Yahoo!のすべてのサーバーがTLS 1.2をサポートしているわけではありません。
「暗号化に関しては、Yahooがサーバーを整備するのに時間が必要であることは認めるべきだと思いますが、彼らは計画や実行内容についてもっと透明性を高める必要があるかもしれません」とリスティック氏は述べた。「例えば、『まだこれらの対策は実施していませんが、今後の対応スケジュールはこうです』といった内容の発表があれば良かったと思います」
ヤフーの今回の動きは、セキュリティ専門家やプライバシー擁護団体から長年にわたり、メールのHTTPS化を求める声が上がっていたことを受けてのものだ。米国国家安全保障局（NSA）と英国政府通信本部（GCHH）による大規模なインターネット監視が最近明らかになり、ヤフーが諜報機関によるユーザーデータ収集の主要な標的となっていることが浮き彫りになったことも、こうした圧力をさらに強めたとみられる。
元NSA契約職員エドワード・スノーデンが漏洩した極秘文書によると、NSAは2012年に1日だけでYahoo!から44万件以上の電子メールアドレス帳を収集したが、Hotmailからはおよそ10万件、Facebookからは8万2000件、Gmailからは3万3000件を収集した。
Gmail は 2010 年からデフォルトで HTTPS を採用しており、Hotmail に取って代わった 2012 年 7 月に開始された Microsoft の Outlook.com メール サービスにも最初からこの機能が搭載されていました。また、Facebook は 2012 年 11 月に、デフォルトで HTTPS をユーザーに展開し始めました。すべての企業は、フルセッション HTTPS を標準設定にする前に、しばらくの間、オプトイン ベースでサポートしていました。
NSAのデータ収集プログラムに関するメディア報道を受け、Yahoo!はメール以外の暗号化にも取り組みを拡大することになった。Yahoo!のCEO、マリッサ・メイヤー氏は11月、2014年第1四半期末までに、データセンター間でやり取りされる情報を暗号化し、Yahoo!との間でやり取りされるすべてのデータフローを暗号化するオプションをユーザーに提供する計画を発表した。
