Mutt [1] ist ein Klassiker unter den textbasierten Mailclients. Allerdings ist die Software schon knapp 30 Jahre alt und es existieren in der Entwickler-Community einige Spannungen, weil oftmals eingereichte Patches nicht angenommen werden. Als Konsequenz wurde vor einigen Jahren daher ein Fork der Software erzeugt, der als NeoMutt [2] bekannt ist. Letzteres soll in diesem Monat als Beispiel dienen, wie Sie ohne den Einsatz von Passwörtern auf Ihr Gmail-Postfach zugreifen. Der Verzicht auf Passwörter ist ja gerade in Zeiten, in denen immer mehr von Zero-Trust-Security [3] die Rede ist, ein wichtiger Baustein. Das Verwenden von Passwörtern kann gerade beim Zugriff auf Services großer Anbieter, wie beispielsweise Google, ein Sicherheitsproblem darstellen, da hiermit zumeist der Zugang zu einer Vielzahl an unterschiedlichen Diensten des Anbieters möglich ist.

Dieses Problem lässt sich jedoch relativ leicht lösen, indem Sie auf einfache Passwörter verzichten und stattdessen applikationsspezifische Zugangstoken einsetzen. Diese können entweder als statische Token vorliegen, die Sie manuell erzeugen und dann dauerhaft für den Zugang zu einem Service einsetzen, oder Sie greifen stattdessen auf das Protokoll OAuth2 [4] zurück. Letzteres nutzt, sehr vereinfacht dargestellt, eigentlich auch nichts anderes als dynamische Token, die Sie dann für einen bestimmten Zeitrahmen zur Autorisierung an einem Service einsetzen können. Danach verlieren diese Token jedoch ihre Gültigkeit und das Protokoll kümmert sich darum, ein neues Token von einem Authorization-Server zu beziehen.

Wollen Sie das OAuth2-Protokoll zur Autorisierung eines Clients einsetzen, muss der Client dieses natürlich unterstützen. NeoMutt stellt einen OAuth2-Support für die Mailprotokolle IMAP, POP3 und SMTP mithilfe eines externen Skripts [5] zur Verfügung. Bevor Sie dieses jedoch in die NeoMutt-Konfiguration aufnehmen können, sind einige Anpassungen notwendig. So müssen Sie neben einer "client_id" und einem "client_secret" auch einen GPG-Key im Skript hinterlegen. Um zu verstehen, was es damit auf sich hat, ist ein kurzer Abstecher in den OAuth2-Protokollablauf hilfreich.