安全隐患

1. 他们是否有可能在不共享凭据的情况下通过 TLS 隧道从他们自己的服务器而不是客户端设备进行身份验证？

不，要使服务器建立连接，它必须知道凭据。而且我们知道服务器确实建立了连接，而不是客户端，因为我捕获了来自运行 Outlook 3.0.46 (315) 的 Android 平板电脑的所有数据包，并且绝对没有一个数据包进入配置的 IMAP 和 SMTP 服务器，但相当一些人去了微软的地址。即使他们的邮件堡垒充当 HTTP CONNECT 代理，我们也希望看到来自我的服务器的 TLS 证书，但我没有。

同样，当我向第三方发送邮件时，第一跳邮件服务器是 mail.outlook.com，它必须对我的邮件服务器进行身份验证才能通过它发送邮件。这就是 SMTP 标头中的所有内容，供收件人查看。

因此，是他们的服务器进行连接，而不是客户端通过隧道。这意味着他们的服务器知道您的密码，即使只是暂时的。

2. 这是否意味着中间服务器能够在将邮件推送到客户端之前读取邮件？

是的，它确实。

3. 这种行为是否记录在案或已知？

这很难说。他们捆绑的文档并没有清楚地描述我所看到的，但是那里的文档数量惊人。

值得注意的是，这种行为有一个合法的技术驱动因素——您的设备可能在其中移动的各种电话和无线网络可能会阻止对邮件服务的访问；这是入口过滤曾经起飞的唯一领域。通过强制您通过总部 Microsoft 进行通信，他们可以确保邮件协议不会从源头被阻止...

...这对你来说是否值得是另一个问题。

安卓客户端总是如此。微软尚未完全解决这个问题。希望在接下来的几个月里，tls 1.2 将成为标准，android 将不得不升级其操作系统以支持它。