| Voir le sujet précédent :: Voir le sujet suivant |
| Auteur |
Message |
morphnt niveau 4Age: 45 Suresnes Arme(s): Classique
|
|
|
|
| Michel Rotta a écrit: | Le protocole SMTP qui permet l'envoie de message n'est pas sécurisé.
Cela signifie que n'importe quel micro, connecté à internet, peut envoyer à n'importe quel serveur de messagerie un message donnant n'importe quel nom de courriel de n'importe quel serveur ...
En fait, le serveur qui reçoit le courriel n'a aucun moyen d'en vérifier la provenance. Seul, très petite, barrière, il peut (ce n'est pas une obligation) noter l'adresse IP de l'expéditeur. Et même là, cette adresse est soumise à variation dans le temps si l'expéditeur n'a pas d'adresse fixe, ce qui est le cas pour la majorité des postes de particulier.
Microsoft à voulu mettre en place un système de vérification, essentiellement basé sur une obligation de concordance entre le nom du serveur et l'adresse IP, mais les procédés licence logiciels proposées par $$krosoft étaient incompatible avec la licence GNU utilisée par les logiciels libres et qui constitue un grand nombre de serveur de messagerie. Derrière cette tentative forcée de mise en place d'une "norme" $$krosoft, il y avait la volonté de faire disparaître les logiciels libres de la face du monde des serveurs de messagerie. Dommage, un bon système d'authentification des expéditeurs de courriel permettrait de limiter largement les courriels infectés par des virus et les pourriels (spam). Quant le fric prend le dessus sur les besoins humains...
Juste une remarque, la collecte d'adresse courriel par des moteurs de recherche (style google, yahoo et autres), c'est du fantasme, ces moteurs collectes toutes les informations des sites pour faciliter les recherches sur les sites, pas pour envoyer des courriels. Par contre, il existe des moteurs de collecte d'adresse qui récupèrent les adresses pour les spameurs, il existe aussi des générateur d'adresse qui partent des noms de domaine et qui crée des adresses possible , , ...
Les virus récupèrent leurs adresses sur les postes infectés. |
Je suis pas tout a fais d'accord avec toi je viens d'en faire l'experience car a partir d'une application j'appelle une classe java "Javamail" pour envoyé un mail.
Certains smtp ne demande aucune authentification et ne possede aucune securite et correspondent donc a ce que tu as decris
mais il existe differents niveau de securité plus ou moins fiables.
Certains smtp demande une authentification et seul ceux qui ont une adresse mail sur ce meme domaine peuvent envoyé un mail avec la verification du login mot de passe comme si il se connecté en pop.
D'autres permettent l'envoie uniquement a partir de certaines plage d'ip "Cas de mon client"
Il existe également un protocol SSL mais j'en sais pas plus concernant sa .
Et enfin certains FAI empeche d'envoyé des mails via un autre smtp
Conclusion des moyens de securite existes il permettent d'evité que n'importe ki envoie de mail a partir des serveur existant sur le net "reste a activé les bonne options" neanmoins tout le monde peut monté son propre server stmp et envoyé en masse des mail avec comme adresse d'expediteur une information bidon neanmoins il est toujours possible de savoir plus ou moins d'ou sa viens via les informations d'en tete d'un mail.
_________________
.... |
|
| Revenir en haut |
|
 |
| Laurent Tiko Rédacteur Age: 60 Arme(s): classique
|
|
|
|
| Michel Rotta a écrit: | Le GROS problème de Norton ce n'est pas tant son prix que le fait qu'il bouffe des ressources énormes.
C'est de plus en plus une usine à gaz. Il a des problèmes à supporter sa croissance. |
Justement c'est un des points abordés:
Il n'est finalement pas mal plaçé sur ce point là par rapport à la compétition.
C'est plus la performance générale de sécurité qui me préoccupe
J'ai jamais aimé les trucs plus chers et qui marche moins bien... 
_________________
En Angleterre, tout est permis, sauf ce qui est interdit. En Allemagne, tout est interdit, sauf ce qui est permis. En France, tout est permis, même ce qui est interdit. En U.R.S.S., tout est interdit, même ce qui est permis (Winston Churchill) |
|
| Revenir en haut |
|
|
| Michel Rottaniveau 6 Arme(s): Poulie, sagaie, plan
|
|
|
|
| Pour l'anti-virus j'utilise AVG qui marche bien, mais n'est pas dans le test |
|
| Revenir en haut |
|
|
| CédricG Administrateur Age: 47 Morsang sur Orge (91) Arme(s): Classique
|
|
|
|
Oui mais tant qu'il est possible d'ouvrir ou de trouver un SMTP non sécurisé, c'est tout l'édifice qui n'est pas sécurisé. Donc la remarque de Michel reste valable même si effectivement certains serveurs se protègent un peu.
_________________
Tir à l'arc et informatique en même temps, le bonheur! |
|
| Revenir en haut |
|
|
| Michel Rottaniveau 6 Arme(s): Poulie, sagaie, plan
|
|
|
|
Pour Morphnt.
Mon explication est volontairement simple.
En fait, le protocol SMTP est à double facettes.
Il sert entre un client de messagerie vers un serveur de messagerie, il fait alors office de serveur relais.
Il sert aussi entre serveurs de messagerie, jusqu'au serveur final.
Mon discour ne concerne que le serveur final (celui qui héberge la boite au lettre de destination), qui lui, est bien obligé de recevoir tout ce qui lui arrive, de n'importe qui, our le remettre au destinataire.
Ton discour concerne le serveur intermédiaire, dit relais SMTP qui permet généralement d'envoyer des mails. Rien n'empèche un client d'envoyer directement sur le serveur de destination. En pratique, cela n'est pas fait ainsi et l'on passe par un serveur relais, généralement chez son provider.
Un serveur SMTP qui ne demande aucune authentification sur le réseau est un trou énorme de sécurité. Il existe des association d'administrateur qui testent régulièrement les serveurs de messagerie pour de telles fautes de sécurités, écrivent à l'administrateur du serveur et le "blacklist" jusqu'à correction. Ces serveurs n'ont donc pas d'intéret ici.
| Citation: | | Certains smtp demande une authentification et seul ceux qui ont une adresse mail sur ce meme domaine peuvent envoyé un mail avec la verification du login mot de passe comme si il se connecté en pop. |
La c'est des serveurs relais correctement configuré, la norme. Mais sans intéret d'un niveau de sécurité puiqu'ils le sont.
| Citation: | D'autres permettent l'envoie uniquement a partir de certaines plage d'ip "Cas de mon client"
Il existe également un protocol SSL mais j'en sais pas plus concernant sa . |
La c'est aussi une configuration, généralement au niveau du FW qui protège le serveur SMTP. Elle est compatible avec la protection précédante. Elle est très limitative pour les accés en déplacement. Et ne concerne que le serveur relais, donc sans intéret.
| Citation: | | Et enfin certains FAI empeche d'envoyé des mails via un autre smtp |
Ils essayent. Cela peut être efficace pour bloquer des virus qui s'auto envoient. C'est même une bonne solution. Ce sont les FW du réseau du FAI qui s'en chargent. Par contre, c'est très limitatif pour ceux qui héberge leur serveurs SMTP ou qui utilisent depuis chez eux ceux de l'entreprise ... Wanadoo s'y était risqué et est revenu en arrière depuis plusieurs années.
| Citation: | | Conclusion des moyens de securite existes il permettent d'evité que n'importe ki envoie de mail a partir des serveur existant sur le net "reste a activé les bonne options" neanmoins tout le monde peut monté son propre server stmp et envoyé en masse des mail avec comme adresse d'expediteur une information bidon neanmoins il est toujours possible de savoir plus ou moins d'ou sa viens via les informations d'en tete d'un mail. |
Tout dépend de qui veut envoyer quoi.
Mais une personne qui ne veut pas être repérée quant elle spam est difficiellement repérable par un bon informaticien. Donc pour le commun des mortels...
Ma conclusion (et je suis loin d'être le seul). Le protocol SNMP n'est PAS sécurisé lors de la réception d'un courriel par le serveur de destination (je complète un peu). Il n'existe PAS, aujourd'hui, d'artifices technique pour y arriver. On peut sécuriser relativement les serveurs SMTP qui font du relais.
En fait, il existe une solutions permettant de valider, un peu, le niveau de validitabilité d'un message en vérifiant si l'adresse DNS du nom du serveur prétenduement utilisée est bien l'adresse IP utilisé pour l'envoie. Si le message n'est pas passé par des relais. Donc cela ne peut être qu'un élément d'appréciation, pas un motif de rejet. C'est un des éléments vérifiés par les logiciels anti spam.
D'autre solutions existent (senderIP de $$krosoft par exemple) mais elle sont encore trop confidentiel et trop propriétaire que pour pouvoir se répendre sur le net. |
|
| Revenir en haut |
|
|
| Laurent Tiko Rédacteur Age: 60 Arme(s): classique
|
|
|
|
| Michel Rotta a écrit: | | Pour l'anti-virus j'utilise AVG qui marche bien, mais n'est pas dans le test |
Moi j'ai antivir sur le portable, mais c'est vraiment moyennement sûr ce genre de truc...
Les mises à jour de signatures toutes les semaines alors que les nouveaux virus se répondent dans le monde en 48h ! 
Pareil pour Norton: mises à jour tous les 2-3 jours au mieux !
A noter que j'ai trouvé Bitdefender 8 en version free avec remises à jour en apparence illimitée ! La limitation c'est qu'il n'y a pas de filtrage en temps réel. Mais pour revérifier à intervales régulier un système, c'est surement plus efficace que les AVG, Avast et autre Antivir ! 
_________________
En Angleterre, tout est permis, sauf ce qui est interdit. En Allemagne, tout est interdit, sauf ce qui est permis. En France, tout est permis, même ce qui est interdit. En U.R.S.S., tout est interdit, même ce qui est permis (Winston Churchill) |
|
| Revenir en haut |
|
|
| morphntniveau 4 Age: 45 Suresnes Arme(s): Classique
|
|
|
|
Ok Michel merci pour c precisions
_________________
.... |
|
| Revenir en haut |
|
|
| Michel Rottaniveau 6 Arme(s): Poulie, sagaie, plan
|
|
|
|
Ben AVG c'est une mise à jours tout les jours.
Donc sécurité correct.
Et c'est le deuxième maillon, il y a un anti-virus sur le serveur de messagerie, un autre bien sur.
Et deux FW entre le net et le poste.
Et un anti-spam sur le serveur de messagerie, plus celui de thunderbird
Et spybot en prime
Et le FW du poste est configuré par moi. Donc si un truc veut sortir, je le sais immédiatement.
Un peu parano le gars ? oui sans doute |
|
| Revenir en haut |
|
|
| Laurent Tiko Rédacteur Age: 60 Arme(s): classique
|
|
|
|
| Michel Rotta a écrit: | Ben AVG c'est une mise à jours tout les jours.
Donc sécurité correct.
Et c'est le deuxième maillon, il y a un anti-virus sur le serveur de messagerie, un autre bien sur.
Et deux FW entre le net et le poste.
Et un anti-spam sur le serveur de messagerie, plus celui de thunderbird
Et spybot en prime
Et le FW du poste est configuré par moi. Donc si un truc veut sortir, je le sais immédiatement.
Un peu parano le gars ? oui sans doute |
:wink: En fait j'ai peur que même en étant parano on soit loin du compte...
http://www.clubic.com/actualite-22150-yahoo-victime-du-phishing.html
_________________
En Angleterre, tout est permis, sauf ce qui est interdit. En Allemagne, tout est interdit, sauf ce qui est permis. En France, tout est permis, même ce qui est interdit. En U.R.S.S., tout est interdit, même ce qui est permis (Winston Churchill) |
|
| Revenir en haut |
|
|
| Michel Rottaniveau 6 Arme(s): Poulie, sagaie, plan
|
|
|
|
Le phishing n'est jamais qu'une méthode élaborée de social ingénieurie.
Rien de bien neuf.
Il faut toujours garder son esprit attentif.
C'est là où un logiciel comme FF avec l'enregistrement des mot de passe peut donner une alert par non fonctionnement. Je m'explique. Quant on arrive sur la bonne page, les mots de passe se renseignent automatiquement. On peut donc ce poser des questions s'ils ne se renseignement pas automatiquement.
A ce niveau, l'attaque des serveurs DNS et le remplacement d'enregistrements légitimes est bien plus dangereuse.
En terme de sécurité informatique, la paranoya est un outil de survie. |
|
| Revenir en haut |
|
|
| Laurent Tiko Rédacteur Age: 60 Arme(s): classique
|
|
|
|
| Michel Rotta a écrit: |
C'est là où un logiciel comme FF avec l'enregistrement des mot de passe peut donner une alert par non fonctionnement. Je m'explique. Quant on arrive sur la bonne page, les mots de passe se renseignent automatiquement. On peut donc ce poser des questions s'ils ne se renseignement pas automatiquement.
|
Là je découvre un truc: au contraire j'ai pour habitude d'enregistrer le moins de mots de passe possible dans la machine pour diminuer le risque de me faire piller par un hacker... Cà n'empêche pas un logiciel de voir ce que je tape au clavier ou le flux sécurisé, mais je me disais que ce que je faisais était le moins risqué.
Là du coup je ne suis plus sûr de rien  
_________________
En Angleterre, tout est permis, sauf ce qui est interdit. En Allemagne, tout est interdit, sauf ce qui est permis. En France, tout est permis, même ce qui est interdit. En U.R.S.S., tout est interdit, même ce qui est permis (Winston Churchill) |
|
| Revenir en haut |
|
|
| bowbarniveau 4 Age: 47
|
|
|
|
| Laurent Tiko a écrit: |
Là je découvre un truc: au contraire j'ai pour habitude d'enregistrer le moins de mots de passe possible dans la machine pour diminuer le risque de me faire piller par un hacker... Cà n'empêche pas un logiciel de voir ce que je tape au clavier ou le flux sécurisé, mais je me disais que ce que je faisais était le moins risqué.
Là du coup je ne suis plus sûr de rien |
heu je crois que tu ne risques pas grand chose pour les mots de passe, je crois que firefox les criptés avec une clé de 24 octets, si j'ai bien tout compris. Donc il faut réussir à rentrer sur ton ordi puis ensuite décripter les mots de passe..... |
|
| Revenir en haut |
|
|
| Michel Rottaniveau 6 Arme(s): Poulie, sagaie, plan
|
|
|
|
Le criptage, c'est une option sur FF, il faut l'activée. Après, effectivement, ils sont bien protégé mais je ne connais pas la longeur de la clef. Si elle fait 24o, soit 192b, c'est déjà pas mal pour une liste de passes sur ton poste.
Sauf si tu accédes à des sites dont la CIA souhaiterait l'accés  |
|
| Revenir en haut |
|
|
| Aragornniveau 5 Age: 64 ASD Stadium Arcieri Besozzo Arme(s): Classique
|
|
|
|
| Michel Rotta a écrit: | | Le phishing n'est jamais qu'une méthode élaborée de social ingénieurie. |
le phishing informatique est récent (pas tant que ça...). mais le phishing en général ça a toujours éxisté... prendre un taxi à Paris où à Naples la nuit pour s'en rendre compte...
Se faire passer pour autre chose c'est l'ABC de l'arnaque...
_________________
Christian Deligant [aka "I am NOT a coach" ]
Ne jamais discuter avec un idiot: d'abord il t'abaisse à son niveau, puis il t'abat grâce à son expérience... |
|
| Revenir en haut |
|
|
|
Calendrier 
Calendrier
