Contenu | Rechercher | Menus

Annonce

Si vous avez des soucis pour rester connecté, déconnectez-vous puis reconnectez-vous depuis ce lien en cochant la case
Me connecter automatiquement lors de mes prochaines visites.

À propos de l'équipe du forum.

#1 Le 24/08/2007, à 16:28

B@rtounet

smtp: breche de sécurité... authentificité de l'emméteur

Bonjour,
je me pose une question toute bete...
n'est ce tout de meme pas une énorme breche de sécurité que de pouvoir envoyer sous n'importe qu'elle identité un mail...

avec un smtp meme bien configuré, on peut prendre l'identité de n'importe qui...
on a pas encore trouvé de moyen pour pallier à ce probleme..??

Hors ligne

#2 Le 24/08/2007, à 16:33

xelator

Re : smtp: breche de sécurité... authentificité de l'emméteur

c'est exact (et très drôle d'ailleurs enfin bref lol)
mais je crois que certains serveurs smtp règlementent  plus que d'autre non ?

Hors ligne

#3 Le 24/08/2007, à 16:36

u4you

Re : smtp: breche de sécurité... authentificité de l'emméteur

Bonjour,
il existe le smtp-auth qui est une extention du protocole smtp.

http://fr.wikipedia.org/wiki/Internet_m … entication


-=O.    U 4 you   .O=-
            F4AHW

Hors ligne

#4 Le 24/08/2007, à 17:17

Uggy

Re : smtp: breche de sécurité... authentificité de l'emméteur

B@rtounet a écrit :

n'est ce tout de meme pas une énorme breche de sécurité que de pouvoir envoyer sous n'importe qu'elle identité un mail...

avec un smtp meme bien configuré, on peut prendre l'identité de n'importe qui...

Oui... Il faut se remettre dans le contexte d'arpaNet..etc... quand seulement 3 universités etaient connectées entre elles.... ils pouvaient pas deviner que ca allait prendre un peu d'ampleur... et donc n'ont pas pensé a ces aspects...


B@rtounet a écrit :

on a pas encore trouvé de moyen pour pallier à ce probleme..??

On ne peux pas modifier le protocole SMTP en cours de route...
Par contre on peut mettre du SPF et des choses dans le genre....

Hors ligne

#5 Le 24/08/2007, à 17:19

Uggy

Re : smtp: breche de sécurité... authentificité de l'emméteur

u4you a écrit :

Bonjour,
il existe le smtp-auth qui est une extention du protocole smtp.

http://fr.wikipedia.org/wiki/Internet_m … entication

Cela permet de s'authentifier pour avoir le droit d'envoyer un mail...
Ca ne permet pas d'empecher de forger un MAIL FROM ou un From.

Hors ligne

#6 Le 24/08/2007, à 17:31

u4you

Re : smtp: breche de sécurité... authentificité de l'emméteur

Apres il y a  aussi une extension STARTTLS définie par la norme RFC2487 qui permet l'authentification forte des clients SMTP (avec certificat) ainsi que l'authentification forte des serveurs SMTP (certificat) et 'une session TLS (chiffrée) entre les 2 serveurs (MTA-MTA) ou entre le client et le serveur (UA-MTA),.

...y'a toujours des solutions...

pour aller encore plus loin, on peux signer le message avec clef publique (PGP par exemple)  ... etc

bref les moyens pour authentifier sont nombreux autant au point de vue soft que hardware ... wink

apres sur la question de savoir d'ou vient un message, faut passer par les logs des relay ... ca c'est une autre histoire ... lol


-=O.    U 4 you   .O=-
            F4AHW

Hors ligne

#7 Le 26/08/2007, à 20:20

B@rtounet

Re : smtp: breche de sécurité... authentificité de l'emméteur

Uggy a écrit :
B@rtounet a écrit :

n'est ce tout de meme pas une énorme breche de sécurité que de pouvoir envoyer sous n'importe qu'elle identité un mail...

avec un smtp meme bien configuré, on peut prendre l'identité de n'importe qui...

Oui... Il faut se remettre dans le contexte d'arpaNet..etc... quand seulement 3 universités etaient connectées entre elles.... ils pouvaient pas deviner que ca allait prendre un peu d'ampleur... et donc n'ont pas pensé a ces aspects...


B@rtounet a écrit :

on a pas encore trouvé de moyen pour pallier à ce probleme..??

On ne peux pas modifier le protocole SMTP en cours de route...
Par contre on peut mettre du SPF et des choses dans le genre....

si j'ai bien compris, les spf vont permettre de dire que tel serveur smtp est bien autorisé à envoyé des mails pour ce domaine, mais cela n'empeche pas au sein de ce domaine de prendre n'importe quell identité non??

Dernière modification par B@rtounet (Le 26/08/2007, à 20:21)

Hors ligne

#8 Le 26/08/2007, à 22:39

Uggy

Re : smtp: breche de sécurité... authentificité de l'emméteur

B@rtounet a écrit :

si j'ai bien compris, les spf vont permettre de dire que tel serveur smtp est bien autorisé à envoyé des mails pour ce domaine, mais cela n'empeche pas au sein de ce domaine de prendre n'importe quell identité non??

Je reformule autrement:
Tu as 2 "trucs" SPF...
-1- Dans tes DNS de ton domaine... tu mets l'entrée qui dit:
Pour avoir un HELO ou un MAIL FROM: en @mondomaine.com il faut venir de telle et telle IP...
Dans le cas contraire, vous autres pouvez rejeter le mail etc...
-2- Sur ton serveur SMTP entrant, tu peux mettre une "vérification" SPF (par exemple avec Postfix) qui justement regarde pour chaque mail, quelles sont les IPs qui ont le droit d'envoyer... et donc tu pourras toi rejeter des mails entrants...

Apres rien n'empeche de:
- Etre un spammeur, mettre une entree SPF et envoyer des spams avec l'IP déclaree...
- Etre un spammeur, et d'envoyer des MAIL FROM:<> vides, mais mettre des From: to@to.com
- Etre un spammeur, et d'envoyer des MAIL FROM:<> avec des domaines qui n'ont pas de SPF
etc...

Hors ligne

#9 Le 26/08/2007, à 22:46

B@rtounet

Re : smtp: breche de sécurité... authentificité de l'emméteur

Oui même si je ne le formule pas comme ca, c'est comme cela que je l'avais compris...
Par contre je trouve que le spf est un belle avancée, mais pas vraiment utilisable à l'heure actuelle.
bien que je l'ai implémentée dans mon DNS pour mon serveur de mail, j'ai été obligé de désactiver la vérification de ces spf pour les serveurs de mails émetteurs, sans quoi de nombreux mails légitimes seraient refusés.... ( bien qu'ils soient mal configurés je te l'accorde...)

Dernière modification par B@rtounet (Le 26/08/2007, à 22:46)

Hors ligne