Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11

SMPT sécurisé

13 réponses
Avatar
siger
Bonjour,

J'entends souvent parler en ce moment de SSL pour les courriel. Ce que
je trouve sur le web est qu'on a le choix, mais je cherche des critères
de choix.

Y a t-il des inconvéniants ?

Pourquoi le "non sécurisé existe toujours ?

--
siger

10 réponses

1 2
Avatar
Eric Demeester
siger (13 Apr 2013 19:54:54 GMT - fr.comp.mail) :

Bonjour,

J'entends souvent parler en ce moment de SSL pour les courriel. Ce que
je trouve sur le web est qu'on a le choix, mais je cherche des critères
de choix.



Il existe d'autres protocoles de sécurisation des échanges de courriels,
comme le SMTP AUTH avec identifiant et mot de passe cryptés, mais dans
ce cas, seule la connexion est sécurisée, le reste des échanges passe en
clair, d'où l'intéret de SSL (ça s'appelle TLS maintenant, au passage,
voir :
http://fr.wikipedia.org/wiki/Transport_Layer_Security#Navigateurs_web)

à l'origine utilisé en HTTP, qui établit un tunnel crypté entre le
client et le serveur.

Y a t-il des inconvéniants ?



Pas à ma connaissance, à part un léger ralentissement des échanges
client/serveur à cause du cryptage décryptage à la volée.

Pourquoi le "non sécurisé existe toujours ?



Parce que certains logiciels (clients et serveurs) ne supportent pas ce
protocole, par exemple.
n
--
Eric
Avatar
Jean-Marc Pigeon
On Sat, 13 Apr 2013 19:54:54 +0000, siger wrote:

Bonjour,

J'entends souvent parler en ce moment de SSL pour les courriel. Ce que
je trouve sur le web est qu'on a le choix, mais je cherche des critères
de choix.

Y a t-il des inconvéniants ?

Pourquoi le "non sécurisé existe toujours ?



Bonjour,

2 Modes de transmission crypté, TLS et SSL (mais
fondamentalement TLS et SSL sont la meme encryption).

L'intérêt d'un lien en mode TLS est de pouvoir être
établit a la discrétion de l'émetteur sur un lien en clair (SMTP),
lorsque vous voulez soumettre un courrier, vous devez (généralement)
utiliser AUTH, l'accès AUTH du protocole SMTP est loin d'être crypté,
Il s'agit simplement d'un encodage Base64.

Donc si vous voulez vous AUTHentifier (pour utiliser votre
serveur email en mode relayage) et que vous ne voulez pas
transmettre votre mot de passe en 'clair'. Il est
souhaitable de passer en mode TLS.
au niveau du lien on a donc la sequence suivante
SMTP -> EHLO -> [TLS] -> [AUTH (si relayage)] -> FROM -> RCPT[s] -> DATA

SMTP, port 25 est le port d'echange entre serveur Email (TLS optionnel).
MSA, port 587 est le port de soumission d'un email (mode usager ->
serveur, TLS optionnel).
SMTPS, port 465 est un crypte (SSL) des le depart (pas besoin d'etablir
TLS, mode usager -> serveur).

Les echanges entre serveur se font sur le port SMTP (avec
encryption, optionnelle, a la demande de l'emetteur).
Meme si la liaison entre les deux serveurs est crypté, les stockages
sur les serveurs sont en clair. La seule facon de proteger
la confidentialite de votre courrier est de crypte le courriel,
mais cela necessite que vos correspondants connaissent votre
clef publique (et reciproquement) et cela n'a rien a voir
avec le fait que la transmission du Email soit crypté ou non...
Avatar
siger
Eric Demeester a écrit :

siger (13 Apr 2013 19:54:54 GMT - fr.comp.mail) :

J'entends souvent parler en ce moment de SSL pour les courriel.
Ce que je trouve sur le web est qu'on a le choix, mais je cherche
des critères de choix.



Il existe d'autres protocoles de sécurisation des échanges de
courriels, comme le SMTP AUTH avec identifiant et mot de passe
cryptés, mais dans ce cas, seule la connexion est sécurisée, le
reste des échanges passe en clair, d'où l'intéret de SSL (ça
s'appelle TLS maintenant, au passage, voir :
http://fr.wikipedia.org/wiki/Transport_Layer_Security#Navigateurs_
web)

à l'origine utilisé en HTTP, qui établit un tunnel crypté entre le
client et le serveur.

Y a t-il des inconvéniants ?



Pas à ma connaissance, à part un léger ralentissement des échanges
client/serveur à cause du cryptage décryptage à la volée.



Merci Eric et Jean-Marc pour ces réponses.

Maintenant je me pose la question sur un plan pratique : est-ce utile,
avantageux etc. d'utiliser ça ? (je suis chez Free, avec plusieurs
comptes mél).
Je ne trouve rien sur le web qui me faisse avoir un avis entre le
"il est urgent de passer en SSL"
et le "c'est de la parano, ça sert à rien".

--
siger
Avatar
Eric Demeester
siger (27 Apr 2013 08:42:27 GMT - fr.comp.mail) :

Bonjour,

Maintenant je me pose la question sur un plan pratique : est-ce utile,
avantageux etc. d'utiliser ça ? (je suis chez Free, avec plusieurs
comptes mél).



Si le serveur de courrier et le logiciel client le permettent, autant
passer en SSL/TLS, ça ne mange pas de pain.

Je ne trouve rien sur le web qui me faisse avoir un avis entre le
"il est urgent de passer en SSL"
et le "c'est de la parano, ça sert à rien".



C'est à mon avis peu utile quand on est chez soi. Ça le devient plus
quand on relève ou envoie son courrier depuis des points d'accès Wifi
publics, où il est facile pour des malveillants d'intercepter les
échanges.

En fait, ce n'est généralement pas le contenu des courriers qui les
intéressent, mais la récupération du couple identifiant / mot de passe,
afin d'utiliser ton compte à ton insu, pour envoyer du spam par exemple.

Puisque tu fréquentes les forums internes de Free, tu sais que ça arrive
régulièrement.

--
Eric
Avatar
siger
Eric Demeester a écrit :

siger (27 Apr 2013 08:42:27 GMT - fr.comp.mail) :

Je ne trouve rien sur le web qui me faisse avoir un avis entre le
"il est urgent de passer en SSL"
et le "c'est de la parano, ça sert à rien".



C'est à mon avis peu utile quand on est chez soi. Ça le devient
plus quand on relève ou envoie son courrier depuis des points
d'accès Wifi publics, où il est facile pour des malveillants
d'intercepter les échanges.

En fait, ce n'est généralement pas le contenu des courriers qui
les intéressent, mais la récupération du couple identifiant / mot
de passe, afin d'utiliser ton compte à ton insu, pour envoyer du
spam par exemple.

Puisque tu fréquentes les forums internes de Free, tu sais que ça
arrive régulièrement.



En effet.

Mais :
http://www.free.fr/assistance/2407-interet-et-fonctionnement.html

"L'authentification SMTP est strictement inutile si la connexion
utilisée lors de l'envoi d'eMails appartient au réseau Free.
Cette option est clairement destinée à l'envoi d'eMails depuis une
connexion appartenant à un opérateur différent."

Ça ressemble à ce que tu dis, mais pas complètement. Par exemple, je
comprend ici que si j'utilise Freewifi le SSL ne sert à rien. Et que
pour la réception non plus, quelque soit le wifi.

Et même plus que ça : s'ils prennent la peine de préciser ça en rouge,
ça laisse entendre qu'il n'est pas conseillé de l'utiliser sur le
réseau Free, non ?


--
siger
Avatar
Eric Demeester
siger (27 Apr 2013 13:30:03 GMT - fr.comp.mail) :

Bonjour,

http://www.free.fr/assistance/2407-interet-et-fonctionnement.html
Ça ressemble à ce que tu dis, mais pas complètement. Par exemple, je
comprend ici que si j'utilise Freewifi le SSL ne sert à rien. Et que
pour la réception non plus, quelque soit le wifi.



C'est bien résumé.

Et même plus que ça : s'ils prennent la peine de préciser ça en rouge,
ça laisse entendre qu'il n'est pas conseillé de l'utiliser sur le
réseau Free, non ?



Il précisent que c'est inutile sur le réseau Free. De là à en déduire
qu'ils déconseillent de l'utiliser, il y a un pas que je ne franchirai
pas.

Pour simplifier, je te suggère de passer systématiquement en
authentification SSL/TLS.

Comme ça, tous tes comptes et toutes tes machines seront configurés
pareil, et tu seras paré le jour où tu devras faire transiter des
courriers sortant depuis le réseau d'un autre opérateur.

--
Eric
Avatar
Sergio
Le Sat, 27 Apr 2013 15:42:29 +0200, Eric Demeester a écrit :

Il précisent que c'est inutile sur le réseau Free. De là à en déduire
qu'ils déconseillent de l'utiliser, il y a un pas que je ne franchirai
pas.

Pour simplifier, je te suggère de passer systématiquement en
authentification SSL/TLS.

Comme ça, tous tes comptes et toutes tes machines seront configurés
pareil, et tu seras paré le jour où tu devras faire transiter des
courriers sortant depuis le réseau d'un autre opérateur.



Je conseille également pour des raisons de sécurité :
Un "spyware" peut intercepter des mail non cryptés. Beaucoup plus
difficile si la liaison est sécurisée.

Déjà eu des problèmes (en réception) avec un antivirus (Avast) qui
altérait les pièces jointes. La solution a été d'utiliser une connexion
cryptée qui empêche l'antivirus de mettre son nez dans ce qui ne le
regarde pas...
Avatar
Eric Demeester
Sergio (27 Apr 2013 13:54:40 GMT - fr.comp.mail) :

Bonsoir,

Déjà eu des problèmes (en réception) avec un antivirus (Avast) qui
altérait les pièces jointes. La solution a été d'utiliser une connexion
cryptée qui empêche l'antivirus de mettre son nez dans ce qui ne le
regarde pas...



De toute façon, c'est un non sens de faire analyser les flux de courrier
par un anti-virus.

--
Eric
Avatar
Jean-Marc Pigeon
On Sat, 27 Apr 2013 08:42:27 +0000, siger wrote:

[...]

Merci Eric et Jean-Marc pour ces réponses.

Maintenant je me pose la question sur un plan pratique : est-ce utile,
avantageux etc. d'utiliser ça ? (je suis chez Free, avec plusieurs
comptes mél).
Je ne trouve rien sur le web qui me faisse avoir un avis entre le "il
est urgent de passer en SSL"
et le "c'est de la parano, ça sert à rien".



L'interet de SSL est de proteger ton mot de passe des indiscrétions
locales (reseau local ou WFI).
Ma recommendations est d'utiliser une configuration unique
(disons, port MSA+TLS+authentification), de cette facon quelque
soit ta facon de poster un courrier (Free ou autre) tu es toujours
protege et l'acces a ton compte ne sera pas ouvert a touts vents.
Ne pas oubliez qu'un postage TLS (ou SSL) protege le lien mais pas le
contenu du Email (comme si l'enveloppe etait suffisement epaisse
pour empecher la lecture par transparence), a nouveau, meme avec SSL|TLS
les courriers
transitent en claire sur les serveurs, la seule facon de proteger
un courrier c'est de le chiffrer. Alors la, seul ton correspondant
sera capable de le dechiffrer (j'espere que je suis clair dans mon
explication de la nuance entre chiffrement du lien et chiffrement du
courrier).
Avatar
siger
Jean-Marc Pigeon a écrit :

L'interet de SSL est de proteger ton mot de passe des
indiscrétions locales (reseau local ou WFI).
Ma recommendations est d'utiliser une configuration unique
(disons, port MSA+TLS+authentification), de cette facon quelque
soit ta facon de poster un courrier (Free ou autre) tu es toujours
protege et l'acces a ton compte ne sera pas ouvert a touts vents.
Ne pas oubliez qu'un postage TLS (ou SSL) protege le lien mais pas
le contenu du Email (comme si l'enveloppe etait suffisement
epaisse pour empecher la lecture par transparence), a nouveau,
meme avec SSL|TLS les courriers
transitent en claire sur les serveurs, la seule facon de proteger
un courrier c'est de le chiffrer. Alors la, seul ton
correspondant sera capable de le dechiffrer (j'espere que je suis
clair dans mon explication de la nuance entre chiffrement du lien
et chiffrement du courrier).



Oui, c'est clair.

Ce qui ne l'est pas est que sur la page de Free ils disent que pour la
réception le SSL ne sert à rien, pourtant il faut bien que le mot de
passe arrive au serveur...

--
siger
1 2