Est-ce qu'on peut m'expliquer pourquoi le webmail de free n'est pas en
https ?
FiLH
--
Le fondement du constat bourgeois, c'est le bon sens, c'est-à-dire
une vérité qui s'arrête sur l'ordre arbitraire de celui qui la parle.
Roland Barthes.
http://www.filh.org
Est-ce qu'on peut m'expliquer pourquoi le webmail de free n'est pas en https ?
Ca serait grostesque.
Le flux mail et les mots de passe ne sont pas crypte quand il sont transmis de serveur en serveur, alors pourquoi mettre du https a la fin ?
Hein ? keskiraconte là ?
Le mot de passe pop/webmail et autre ne circule qu'entre le navigateur et le serveur mail
Si tu veux securiser le contenu d'un mail ou sa provenance, crypte le mail lui-meme avec PGP ou autre.
Ah tu parles d'hypothetiques mdp envoyés par mail ? Plus personne ne fait ca :-D
John Deuf
FiLH :
Heu.. c'est joli ton histoire mais bon quand ton spyware est écrit sur le disque, à ce momment il est décrypté ! Donc un bon anti-viruse de base suffit. Qu'un webmail soit crypté ou non
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque machine. Le traffic internet est scanne directement quand il arrive par le proxy. Il existe des proxy/firewall qui decryptent le flux https pour le scanner, mais ils sont au moins 2 fois plus chers.
-- John Deuf
FiLH :
Heu.. c'est joli ton histoire mais bon quand ton spyware est écrit
sur le disque, à ce momment il est décrypté ! Donc un bon anti-viruse
de base suffit. Qu'un webmail soit crypté ou non
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque
machine.
Le traffic internet est scanne directement quand il arrive par le proxy.
Il existe des proxy/firewall qui decryptent le flux https pour le scanner,
mais ils sont au moins 2 fois plus chers.
Heu.. c'est joli ton histoire mais bon quand ton spyware est écrit sur le disque, à ce momment il est décrypté ! Donc un bon anti-viruse de base suffit. Qu'un webmail soit crypté ou non
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque machine. Le traffic internet est scanne directement quand il arrive par le proxy. Il existe des proxy/firewall qui decryptent le flux https pour le scanner, mais ils sont au moins 2 fois plus chers.
-- John Deuf
JustMe
John Deuf a écrit
FiLH :
Heu.. c'est joli ton histoire mais bon quand ton spyware est écrit sur le disque, à ce momment il est décrypté ! Donc un bon anti-viruse de base suffit. Qu'un webmail soit crypté ou non
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque machine.
des entreprises mal gérees en tous cas
Le traffic internet est scanne directement quand il arrive par le proxy. Il existe des proxy/firewall qui decryptent le flux https pour le scanner, mais ils sont au moins 2 fois plus chers.
tiens, tu as des noms ?
John Deuf a écrit
FiLH :
Heu.. c'est joli ton histoire mais bon quand ton spyware est écrit
sur le disque, à ce momment il est décrypté ! Donc un bon anti-viruse
de base suffit. Qu'un webmail soit crypté ou non
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque
machine.
des entreprises mal gérees en tous cas
Le traffic internet est scanne directement quand il arrive par le proxy.
Il existe des proxy/firewall qui decryptent le flux https pour le scanner,
mais ils sont au moins 2 fois plus chers.
Heu.. c'est joli ton histoire mais bon quand ton spyware est écrit sur le disque, à ce momment il est décrypté ! Donc un bon anti-viruse de base suffit. Qu'un webmail soit crypté ou non
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque machine.
des entreprises mal gérees en tous cas
Le traffic internet est scanne directement quand il arrive par le proxy. Il existe des proxy/firewall qui decryptent le flux https pour le scanner, mais ils sont au moins 2 fois plus chers.
tiens, tu as des noms ?
JustMe
(supersedes )
John Deuf a écrit
FiLH :
Heu.. c'est joli ton histoire mais bon quand ton spyware est écrit sur le disque, à ce momment il est décrypté ! Donc un bon anti-viruse de base suffit. Qu'un webmail soit crypté ou non
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque machine.
des entreprises mal gérees en tous cas
Le traffic internet est scanne directement quand il arrive par le proxy. Il existe des proxy/firewall qui decryptent le flux https pour le scanner, mais ils sont au moins 2 fois plus chers.
tiens, tu as des noms ? Je vais bientot monter un projet comme ca
Heu.. c'est joli ton histoire mais bon quand ton spyware est écrit
sur le disque, à ce momment il est décrypté ! Donc un bon anti-viruse
de base suffit. Qu'un webmail soit crypté ou non
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque
machine.
des entreprises mal gérees en tous cas
Le traffic internet est scanne directement quand il arrive par le proxy. Il
existe des proxy/firewall qui decryptent le flux https pour le scanner,
mais ils sont au moins 2 fois plus chers.
tiens, tu as des noms ? Je vais bientot monter un projet comme ca
Heu.. c'est joli ton histoire mais bon quand ton spyware est écrit sur le disque, à ce momment il est décrypté ! Donc un bon anti-viruse de base suffit. Qu'un webmail soit crypté ou non
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque machine.
des entreprises mal gérees en tous cas
Le traffic internet est scanne directement quand il arrive par le proxy. Il existe des proxy/firewall qui decryptent le flux https pour le scanner, mais ils sont au moins 2 fois plus chers.
tiens, tu as des noms ? Je vais bientot monter un projet comme ca
John Deuf
JustMe :
Hein ? keskiraconte là ?
Le mot de passe pop/webmail et autre ne circule qu'entre le navigateur et le serveur mail
Non, je parle du mot de passe entre ton logiciel de mail (Outlook par exemple) et le serveur POP ou SMTP.
Ah tu parles d'hypothetiques mdp envoyés par mail ? Plus personne ne fait ca :-D
Non je ne parles pas de ca, pourquoi ? Ce n'est pas moi qui veut securiser mes emails avec du https, demande a Filh la raison.
-- John Deuf
JustMe :
Hein ? keskiraconte là ?
Le mot de passe pop/webmail et autre ne circule qu'entre le
navigateur et le serveur mail
Non, je parle du mot de passe entre ton logiciel de mail (Outlook par
exemple) et le serveur POP ou SMTP.
Ah tu parles d'hypothetiques mdp envoyés par mail ? Plus personne ne
fait ca :-D
Non je ne parles pas de ca, pourquoi ?
Ce n'est pas moi qui veut securiser mes emails avec du https, demande a
Filh la raison.
Le mot de passe pop/webmail et autre ne circule qu'entre le navigateur et le serveur mail
Non, je parle du mot de passe entre ton logiciel de mail (Outlook par exemple) et le serveur POP ou SMTP.
C'est vrai que blinder la porte d'entrée de la maison alors que les fenêtres sont grandes ouvertes n'a aucun sens.
Les gens moyens comprennent pas que la sécurité c'est toute une chaîne ou si un seul élément est compromis, alors la sécurité n'existe plus.
C'est beau quand même de voir les gens moyens et leur illusion de la sécurité.
John Deuf
JustMe :
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque machine.
des entreprises mal gérees en tous cas
Pourquoi "mal gerees" ?
Il faut un equilibre entre le risque et les protections. Trop de protections est aussi mauvais que pas assez.
Si on considere le cout d'achat, de maintenance, de mise a jour d'un antivirus sur chaque machine et le ralentissement que ca peut occasionner (les entreprises n'ont pas forcement des parc recents), le choix s'un scannage de flux uniquement sur le firewall et le serveur de messagerie (par exemple) est parfois preferable.
Le traffic internet est scanne directement quand il arrive par le proxy. Il existe des proxy/firewall qui decryptent le flux https pour le scanner, mais ils sont au moins 2 fois plus chers.
tiens, tu as des noms ? Je vais bientot monter un projet comme ca
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque
machine.
des entreprises mal gérees en tous cas
Pourquoi "mal gerees" ?
Il faut un equilibre entre le risque et les protections.
Trop de protections est aussi mauvais que pas assez.
Si on considere le cout d'achat, de maintenance, de mise a jour d'un
antivirus sur chaque machine et le ralentissement que ca peut
occasionner (les entreprises n'ont pas forcement des parc recents), le
choix s'un scannage de flux uniquement sur le firewall et le serveur de
messagerie (par exemple) est parfois preferable.
Le traffic internet est scanne directement quand il arrive par le
proxy. Il existe des proxy/firewall qui decryptent le flux https pour
le scanner, mais ils sont au moins 2 fois plus chers.
tiens, tu as des noms ? Je vais bientot monter un projet comme ca
Dans la plupart des entreprise, il n'y a pas d'antivirus sur chaque machine.
des entreprises mal gérees en tous cas
Pourquoi "mal gerees" ?
Il faut un equilibre entre le risque et les protections. Trop de protections est aussi mauvais que pas assez.
Si on considere le cout d'achat, de maintenance, de mise a jour d'un antivirus sur chaque machine et le ralentissement que ca peut occasionner (les entreprises n'ont pas forcement des parc recents), le choix s'un scannage de flux uniquement sur le firewall et le serveur de messagerie (par exemple) est parfois preferable.
Le traffic internet est scanne directement quand il arrive par le proxy. Il existe des proxy/firewall qui decryptent le flux https pour le scanner, mais ils sont au moins 2 fois plus chers.
tiens, tu as des noms ? Je vais bientot monter un projet comme ca
Ou de deployer une CA locale qui permettra de decoder le flux SSL sans que tu ne t'en rendes compte :-D
Nan. Une session SSL suppose 1) la signature du certificat du serveur par une autorité reconnue par le client 2) l'échange de clés publiques 3) l'échange d'une clé privée chiffrée par un algorithme asymétrique. La connaissance de la clé privée est limitée au périmètre client / serveur. Aucun "go-between" ne peut décoder le flux SSL à l'insu du client.
-- Cyril, du Havre
JustMe :
Ou de deployer une CA locale qui permettra de decoder le flux SSL sans
que tu ne t'en rendes compte :-D
Nan. Une session SSL suppose 1) la signature du certificat du serveur
par une autorité reconnue par le client 2) l'échange de clés publiques
3) l'échange d'une clé privée chiffrée par un algorithme asymétrique.
La connaissance de la clé privée est limitée au périmètre client /
serveur. Aucun "go-between" ne peut décoder le flux SSL à l'insu du
client.
Ou de deployer une CA locale qui permettra de decoder le flux SSL sans que tu ne t'en rendes compte :-D
Nan. Une session SSL suppose 1) la signature du certificat du serveur par une autorité reconnue par le client 2) l'échange de clés publiques 3) l'échange d'une clé privée chiffrée par un algorithme asymétrique. La connaissance de la clé privée est limitée au périmètre client / serveur. Aucun "go-between" ne peut décoder le flux SSL à l'insu du client.
-- Cyril, du Havre
Cyril
JustMe :
Parce que ca coute plus cher (cpu plus puissante, flux reseaux plus gourmands, certificat a acheter)
Tout un chacun peut monter une infrastructure PKI.
-- Cyril, du Havre
JustMe :
Parce que ca coute plus cher (cpu plus puissante, flux reseaux plus
gourmands, certificat a acheter)
Tout un chacun peut monter une infrastructure PKI.
