soul^keeper

Administrateur

Niveau : 5
N° de Membre : 1

Ancienneté : 100% Participation : 19% Inscription: 22 Feb 2002
Localisation: La Défense
Age: 48
Messages: 16623
Sujets Lancés : 2412

[SECURITE] AntiSpam : le point de vue d'Eric Allman (Sendmail)

Citation: Eric Allman (Sendmail) : « Les dispositifs d'authentification des mails doivent rester gratuits » <i>De passage à Paris pour un meeting de l'IETF, Eric Allman, directeur de la technologie de Sendmail et inventeur du premier serveur de mail en 1981, livre sa vision de la nouvelle arme antispam : l'authentification des mails.</i> Serge Courrier , 01net., le 04/08/2005 à 16h50 01Net : Vous venez de proposer à l'IETF (principale instance de standardisation du Net) les deux textes fondateurs d'une nouvelle technologie d'authentification des mails : DKIM. Quel en est le principe de base ? Eric Allman : En gros, lorsque vous envoyez un courrier électronique depuis votre ordinateur, celui-ci passe d'abord par le serveur de mail de votre entreprise ou de votre fournisseur d'accès. Avec DKIM [DomainKeys identified mail, NDLR], ce serveur va signer électroniquement le contenu du mail et une partie de son en-tête. Cette signature va apparaître dans l'en-tête du courrier. Elle est là pour prouver que votre message a bien été envoyé par ce serveur. A l'autre extrémité, le serveur de mail de votre destinataire va demander confirmation que votre serveur a bien généré la clé en question. Si ce n'est pas le cas, alors le mail reçu par le destinataire est peut-être un spam. L'utilisateur devra-t-il changer quelque chose à son logiciel de mail ? Non, c'est le principe même de la technologie. Tout se passe au niveau du serveur, et l'expéditeur n'a pas besoin de mettre à jour son logiciel. Idem pour le destinataire, la technologie reste totalement transparente. Jusqu'à présent, DKIM avait été présenté comme l'oeuvre conjointe de Cisco et Yahoo. Qu'en est-il réellement ? A l'origine, DKIM est effectivement la jonction entre DomainKeys (DK) de Yahoo et d'Internet Identified Mail (IIM) de Cisco. Mais depuis un an, beaucoup d'entreprises sont intervenues dans le processus de réflexion et de mise au point, parmi lesquelles Alt-N Technologies, AOL, Earthlink, PGP, Sendmail, Strongmail, Verisign... et même Microsoft ! En fait, si l'on veut que cette technologie soit acceptée par la communauté, il ne faut pas qu'elle soit rattachée trop intimement à un seul acteur. Il s'agit réellement d'une initiative issue d'un large consensus. On m'a demandé de porter la proposition (cosignée par des gens de Yahoo, PGP et Cisco) certainement parce que j'étais perçu comme un acteur indépendant. Lors du récent sommet sur l'authentification du mail, vous avez déclaré : « Si quelqu'un tente de rentabiliser [les systèmes d'authentification des mails], cela ne marchera jamais et nous perdrons tous ». Mais vous avez ajouté que certaines parties du système, à l'exception des standards de base, pourraient devenir rentables. A quoi pensiez-vous ? On peut imaginer que de nouveaux logiciels permettent de personnaliser le système depuis le poste de l'utilisateur. L'internaute pourrait par exemple constituer sa propre liste blanche ou noire d'expéditeurs. Par ailleurs, d'autres services viendront très certainement se greffer sur les systèmes d'authentification. Je pense particulièrement aux systèmes dits de « réputation » où un mail est considéré comme valable s'il est issu d'une source authentifiée et réputée. SpamNet et Vipul's Razor en sont deux exemples... gratuits. Enfin, les systèmes capables de gérer la politique antispam d'une entreprise vont également être amenés à prendre en compte ces technologies. DKIM semble s'opposer à Sender-ID proposé par Microsoft. Les considérez-vous comme concurrents ? Honnêtement, je les crois complémentaires. D'ailleurs, Sender-ID est déjà livré actuellement avec nos serveurs de messagerie. DKIM leur sera adjoint très prochainement. Sender-ID a du mal à s'y retrouver lorsqu'un internaute retransmet un mail authentifié à un autre internaute. DKIM rencontre quant à lui des problèmes lorsqu'un mail authentifié est envoyé à une liste de diffusion (mailing-list). Ces limites techniques ne vont-elles pas freiner l'adoption de ces deux technologies ? Techniquement, ces problématiques ne sont pas insurmontables. Je ne pense pas qu'elles freinent le déploiement de ces technologies, notamment parce que les enjeux de la lutte antispam sont très importants. Quand pensez-vous que DKIM sera opérationnel ? Domain Keys est déjà opérationnel chez Gmail et Yahoo. Pour DKIM, je parierai pour le début 2006. Mais les administrateurs peuvent déjà se préparer à son déploiement.

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 92 Jours, 20 Heures, 22 Minutes, 21 Secondes en ligne