PEBKAC #6813

Nous réalisons un site (Extranet) pour un client, qui est une agence gouvernementale. Un système automatique doit envoyer des e-mails. Bien entendu, l'application fonctionne très bien sur nos machines de développement, mais pas sur la recette du client. L'ensemble est hébergé sur son infrastructure, avec un serveur dédié à la messagerie.

Nous lui demandons donc l'ouverture du port 25, pour tester l'accès SMTP (via un bon vieux telnet, et par VPN).
Il transmet la demande aux responsables de l'informatique, qui nous prennent immédiatement en ligne : « Mais enfin, on ne peut pas vous laisser prendre le contrôle de notre réseau comme ça, vous vous rendez compte de la faille ?... ». PEBKAC.

PEBKAC #6813 proposé par CrazyCat le 30/01/2013 | 17 commentaires | 👍🏽 👎🏽 +167

Qu'ils téléchargent OpenOffice !
(Ouais, ça commence à devenir lourd comme blague :'))

Commentaire #76596 écrit par X3N le 30/01/2013 à 17h52 | 👍🏽 👎🏽

Agence gouvernementale ? J'avais bien pensé à quelque chose mais c'est une administration indépendante, pas une agence.

Commentaire #76609 écrit par Clapiote le 30/01/2013 à 18h17 | 👍🏽 👎🏽

Ils n'ont pas entièrement tord. Le port 25 est une cible privilégiée des virus à SPAM.
Mais par VPN c'est vrai que le risque est très réduit.

Il parait que pour gérer la sécurité d'un réseau il faut être parano. ;)

Commentaire #76613 écrit par OzoneGrif le 30/01/2013 à 18h37 | 👍🏽 👎🏽

Tant qu'à faire demande leur de lancer la requête.
Tu peux ajouter une fonctionnalité diagnostique au moteur du site.
Ou simplement faire un log d'erreur.

Commentaire #76614 écrit par but2ene le 30/01/2013 à 18h38 | 👍🏽 👎🏽

J'ai envie de dire bonne parano et surtout pour une agence gouvernementale, ça change par rapport à ce que l'on peut voir ailleurs... mais bon ouvrir le port 25 veut pas dire ouvert à tous :]

Commentaire #76632 écrit par huguette le 30/01/2013 à 19h56 | 👍🏽 👎🏽

Agence gouvernementale ?
Alors vous pourrez toujours attendre pour votre accès...
Une demande comme celle là mettra au moins deux mois avant de donner suite... et encore...
Pour vous donner une idée, je vais être embauché dans une entreprise bossant pour l'armée (entre autre) et pour avoir le droit de lire des documents tout ce qu'il y a de plus banal il me faut attendre une habilitation qui prend au minimum 6 mois avant obtention...

Commentaire #76635 écrit par xTG le 30/01/2013 à 20h09 | 👍🏽 👎🏽

J'imagine pas ce que ça doit être pour les mises a jours...

Commentaire #76643 écrit par Vordano le 30/01/2013 à 20h15 | 👍🏽 👎🏽

Surtout que comme je l'ai précisé, c'est un serveur de recette, donc assez limité (accessible seulement en interne et par quelques machines reconnues). Alors le port 25 accessible à 5 utilisateurs "de confiance", ça ne va pas aller chercher loin.
Et pour la prise de contrôle du réseau par SMTP... Je ne trouve toujours pas l'exploit :)

Commentaire #76664 écrit par CrazyCat le 30/01/2013 à 22h54 | 👍🏽 👎🏽

« Amusant ». J'ai également travaillé par le même ministère et je n'ai pas attendu mon habilitation pour commencer à travailler, ce qui m'a d'ailleurs un peu choqué... 6 mois plus tard, j'étais toujours en poste, sans nouvelle de la dite habilitation (j'apprendrais plus tard que l'avis était négatif mais que l'autorité responsable avait décidé de ne pas le suivre).
Il fallait avouer que les données dites confidentielles n'avaient pas vraiment de raisons de l'être quand le moins client DNS était capable de fournir la réponse (c'était les adresses IP, oui, oui).

Commentaire #76666 écrit par SurcouF le 30/01/2013 à 23h16 | 👍🏽 👎🏽

As-tu juste mentionné le port 25 ou as-tu commis l'irréparable en prononçant le mot « telnet » ?
Aussi surprenant que cela puisse paraître, j'ai déjà rencontré certains administrateurs qui ont pensé que je voulais me connecter en telnet (le protocole)...

Commentaire #76667 écrit par SurcouF le 30/01/2013 à 23h18 | 👍🏽 👎🏽

ah tiens, je suis content de pas être tout seul à noter ça, pebkac déjà posté sur le sujet ... à se demander d'où ils sortent ces admins réseau (et aussi le firewall qui permet d'ouvrir tout sauf le telnet ... j'ai toujours pas eu ma réponse sur le sujet, histoire de savoir quoi ne surtout pas utiliser si un jour j'ai un choix à faire) ?

Commentaire #76669 écrit par globideuh le 30/01/2013 à 23h35 | 👍🏽 👎🏽

D'un autre coté, si vous utilisez telnet au lieu de netcat...

Commentaire #76685 écrit par Palu le 31/01/2013 à 03h35 | 👍🏽 👎🏽

En même temps, que quelqu'un qui n'y connaît manifestement rien se méfie je trouve ça bien, mieux vaut être trop parano que pas assez... (bon après si c'est pour tomber dans l'idée que tu veux lui pourrir son réseau c'est sûr, ça va être très pénible)

Commentaire #76713 écrit par Chymaille le 31/01/2013 à 09h59 | 👍🏽 👎🏽

Exactement comme pour le principe de précaution en compta ; je préfère un excès de méfiance qu'un manque

Commentaire #76738 écrit par Puppeteer le 31/01/2013 à 11h39 | 👍🏽 👎🏽

Pour les mises à jour d'OS il faut compter 6 à 10mois (sauf pour les correctifs de faille zero-day qui sont étudiés en priorité).
Pour les logiciels bien plus. On passe enfin à Office 2007, l'étude ayant été terminé l'an passé.
Même topo pour les correctifs de faille zero-day pour les logiciels (genre IE récemment, il est toujours désactivé pour le moment, le patch n'a pas encore été vérifié entièrement).

Commentaire #76765 écrit par xTG le 31/01/2013 à 13h49 | 👍🏽 👎🏽

As-tu précisé (ou sont ils au courant) que tu passais via un VPN ? Parce que s'ils pensent que tu veux passer en clair, je comprend sa crainte (bien qu'un peu exagéré, je te l'accorde) !

Commentaire #76861 écrit par Navi le 31/01/2013 à 18h39 | 👍🏽 👎🏽

J'aime bien la partie "vous laisser prendre le contrôle de notre réseau".... Déjà la confiance règne, et même si chez eux c'est tendu niveau sécurité (ce que je peux comprendre), j'ai envie de demander: Ils ont déjà configuré un pare-feu ou est-ce que c'est un prestataire qui leur fait d'habitude?
Nan, parce que ouvrir un port en n'autorisant que du SMTP, c'est pas le genre de truc qui permet de "prendre le contrôle" du réseau de leur boite. Ou alors j'ai un sacré retard sur le sujet...

Commentaire #77901 écrit par Youplà le 06/02/2013 à 15h22 | 👍🏽 👎🏽