Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !

Gmail va afficher une alerte pour les emails envoyés sans chiffrement TLS, DKIM et SPF

Et le chiffrement des emails sinon ?
Internet 2 min
Gmail va afficher une alerte pour les emails envoyés sans chiffrement TLS, DKIM et SPF
Crédits : iStock/ThinkStock

Google continue de renforcer ses alertes pour les éléments non sécurisés. Cette fois, c'est pour les emails échangés avec des personnes dont le service n'utilise pas TLS, ou dont l'expéditeur ne peut pas être identifié par SPF/DKIM. Tout un programme.

En plein #SaferInternetDay, Google a décidé de mettre en place une nouvelle fonctionnalité au sein de Gmail. En effet, depuis longtemps, la société est engagée pour tout ce qui touche à l'échange chiffré par TLS des emails entre serveurs, qu'il ne faut pas confondre avec le chiffrement du contenu du message (qui n'est pas vraiment la priorité de Google).

Elle avait mis en place une section dans son Transparency report évoquant ce point de manière détaillée, afin notamment de mettre en avant les bons et mauvais élèves.

Services qui n'utilisent pas TLS : un cadenas rouge sera affiché

Désormais, cette information sera un peu plus visible, comme annoncé il y a quelques semaines. En effet, si vous recevez ou que vous envoyez un message à un tiers qui utilise un service qui transmet les emails de manière non chiffrée, une icône apparaîtra sous la forme d'un cadenas rouge ouvert. Une manière de vous rappeler que ce n'est pas parce que vous demandez le chiffrement de l'échange qu'il est utilisé et que tous les serveurs n'utilisent pas encore TLS. 

Chiffrement Gmail Alerte

SPF/DKIM sur le devant de la scène avec un avatar mystère

De la même manière, si un email est envoyé par un compte qui ne peut pas être authentifié, un avatar sous la forme d'un point d'interrogation rouge sera affiché. Là aussi il faut rappeler qu'envoyer un email depuis n'importe quelle adresse est chose aisée.

Depuis quelques années, des normes comme SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail) permettent d'associer un nom de domaine à une adresse d'expéditeur afin de s'assurer de leur validité et ainsi lutter contre le spam. En leur absence, il vous sera donc signalé par cette icône qu'il faut faire attention au contenu de l'email.

Comme le dit Google, ces indicateurs ne signifient pas que les emails concernés sont dangereux, mais qu'il faut se méfier. C'est aussi sans doute une manière de forcer à une utilisation plus massive de ces normes, un peu à la manière du référencement favorisé des sites HTTPS ou la volonté de considéré à terme les sites se limitant à HTTP comme des sources non sécurisées.

Chiffrement Gmail Alerte

Reste que Google avait annoncé il y a près de deux ans des solutions pour mettre en place un chiffrement du contenu des emails, en complément de l'échange entre serveurs. Le projet semble aujourd'hui abandonné, ce que l'on ne peut que regretter. Les engagements d'une société comme Google pour la sécurité ne pouvant simplement s'arrêter là où l'examen du contenu de nos emails s'avère nécessaire pour son modèle économique publicitaire.

20 commentaires
Avatar de El_Barto INpactien
Avatar de El_BartoEl_Barto- 09/02/16 à 17:54:18

Enfin.

Avatar de SebGF Abonné
Avatar de SebGFSebGF- 09/02/16 à 18:16:31

Les engagements d'une société comme Google pour la sécurité ne pouvant simplement s'arrêter là où l'examen du contenu de nos emails s'avère nécessaire pour son modèle économique publicitaire.

Roooh vous exagérez là avec ce vilain procès d'intention.

Ils doivent bien avoir un argument sécuritaire à deux balles pour justifier le fait qu'ils prônent la sécurité jusqu'à une certaine limite. :D

Bref, Google quoi.

Édité par SebGF le 09/02/2016 à 18:16
Avatar de Neliger INpactien
Avatar de NeligerNeliger- 09/02/16 à 18:19:48

Des mesures inutiles, et qui seront probablement mal comprises des utilisateurs.

Avatar de anonyme_47da8d4ad4eb955aa025af080b0387df INpactien

Au moins quand ils en filent une copie à la NSA, ils sont vraiment sûr de l'identité de vos correspondants.

Édité par Fyr le 09/02/2016 à 18:24
Avatar de DarkMoS INpactien
Avatar de DarkMoSDarkMoS- 09/02/16 à 19:01:05

Spf et Dkim c'est de l'anti spoofing au niveau du nom de domaine, pour identifier les serveurs qui sont autorisés à envoyer ou faire transiter les emails. Faut encore y rajouter un record dmarc pour donner instruction aux serveurs emails de rejeter les emails frauduleux ou des les mettre en quarantaine sinon tout seul ça sert à rien en pratique...

Avatar de nextdrOp INpactien
Avatar de nextdrOpnextdrOp- 09/02/16 à 20:30:25

pas tout à fait.
mais avec le tissu économique actuel, et donc, la partie SI dans les tpe, et même pme, est absente.
La considération de ces services/protocoles est nulle. J'ai énormément de problème dans notre secteur d'activité, car nous sommes sous gapps, et de ce fait, nous rencontrons de plus en plus de soucis à recevoir des emails. J'ai beau expliqué à certains pourquoi, le message ne passe pas.
C'est pour cela que je n'ai pas géré DMARC pour l'instant...

Avatar de boogieplayer Abonné
Avatar de boogieplayerboogieplayer- 09/02/16 à 21:02:42

Bon, bah ça va nous faire des devis à faire pour les clients ça :transpi:

J'imprime la news et je m'en sers comme justification commerciale :windu:

Avatar de ben5757 Abonné
Avatar de ben5757ben5757- 09/02/16 à 22:15:14

 Depuis quelques années, des normes comme SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail)
permettent d'associer un nom de domaine à une adresse d'expéditeur afin
de s'assurer de leur validité et ainsi lutter contre le spam. En leur
absence, il vous sera donc signalé par cette icône qu'il faut faire
attention au contenu de l'email.

=> Vous allez peut être dire que je chipote, mais il me semble que ces deux normes protègent un domaine expéditeur en assurant son intégrité et non pas l'adresse complète de l'expéditeur ( qui comprend la partie domaine et identification de l' utilisateur).

Enfin c'est surement ce que vous vouliez dire mais je trouve la formulation ambigu. 

Édité par ben5757 le 09/02/2016 à 22:16
Avatar de 127.0.0.1 INpactien
Avatar de 127.0.0.1127.0.0.1- 09/02/16 à 23:12:41

Dans un monde où les échanges sont chiffrés, ceux qui ont accès au contenu en clair obtiennent un avantage sur les concurrents.

Hors-sujet ? Peut-être, ou peut-être pas...

Édité par 127.0.0.1 le 09/02/2016 à 23:12
Avatar de GentooUser INpactien
Avatar de GentooUserGentooUser- 10/02/16 à 01:56:41

Heu non, SPF et DKIM ont leur propre systeme de policy.

DMARC rajoute le retour d'informations au postmaster (utile pour détecter les erreurs de configuration ou les violations)

Il n'est plus possible de commenter cette actualité.
Page 1 / 2