On 12/07/2017 10:11 PM, Raphael Mazelier wrote: > Le 07/12/2017 à 19:51, fr...@jack.fr.eu.org a écrit : > >> Autoriser le trafic en clair, c'est punir le bon avec le mauvais, en >> fragilisant l'ensemble de ton système, pour tous (et pas que pour le >> gueux avec son fax) >> >> Si ce type veut supporter son système antédiluvien, c'est son choix, >> mais qu'il l'assume seul. >> >> Vive le TLS obligatoire; >> > > En quoi TLS/SSL assure une meilleure sécurité ? certes cela ne coute pas > bien cher de nos jours et c'est pas pire. > Mais bon clairement si l'on recherche à échanger des informations > confidentielles ce n'est certainement pas le mail qu'il faut utiliser. > (à la limite avec du GPG/PGP et encore). > J'ai un peu de mal avec les discours du type : on est secure parce qu'on > a activé du 's' partout ; surtout quand il est dogmatique; aka les mecs > qui ne font pas sont des idiots. C'est bien plus compliqué que cela. La > sécurité c'est aussi/souvent d'abord une analyse de risque, et des > procédures adaptés en conséquences.
Exemple de scénario : il faut supporter des clients qui se connectent depuis des wifi ouverts sans ouvrir à tous les vents les boîtes mail ni broadcaster les mots de passe. Je ne sais pas si beaucoup de monde gère un serveur mail qui ne doit pas supporter ce genre de cas d'usage. Autant je suis d'accord normalement sur l'idée de l'analyse de risque avant de hurler à la faille de sécurité, autant au moins mettre une couche de chiffrement quand il y a des mots de passes qui transitent ça m'a l'air du strict minimum, surtout maintenant que c'est quasi-gratuit et qu'on ne peut plus argumenter qu'il y a plus important à faire pour moins cher. Et tout ça sans lien avec la sécurité des communications, qui est encore un autre sujet, pour le coup nettement plus compliqué à gérer correctement. _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
