En fait je sais pas qui blâmer entre TrendMicro et les académies car
j'ai l'impression que l'anti-spam/virus/çafaitlecaféaussi TrendMicro est
en frontal direct et que c'est lui qui gère toute la stack tls avec le
client/serveur et que seulement "quand c'est bon" il va passer au
postfix qui est derrière.
Maintenant la question étant, est-ce que les académies ont la main la
dessus ou bien est-ce une solution en mode boite noire et dans ce cas
TrendMicro serait le problème ?
En tout cas même dans le cas où les académies auraient la main, elle
fait rêver la config par défaut... (DH à 1024 bits, ciphers non PFS, du
SEED, du 3DES...)
On 16/01/2022 22:07, Julien Escario wrote:
Salut,
Marrant, j'étais tombé sur un problème similaire avec le domaine
ac-strasbourg.fr. Doit-on comprendre que c'est la norme de faire un peu
n'importe quoi avec le TLS sur le mail dans les académies ?
Au rectorat de Strasbourg, ils ont pris la peine de mettre du DNSSEC et
de diffuser la validation du certificat auto-signé dans DANE. Bref,
c'était propre de ce point de vue.
A Orleans, c'est carrément le YOLO total sur le TLS en mail.
Le site hardenize aide bien pour donner des preuves de misconf :
https://www.hardenize.com/report/ac-orleans-tours.fr/1642366693#email
https://www.hardenize.com/report/ac-strasbourg.fr/1642366721#email
Je passe sur les incohérences de NS, l'absence totale d'IPv6, etc ...
Tu peux faire un mail aux postmasters mais il faut déjà trouver
l'adresse qui est bien cachée au fin fond du site du rectorat. Et pour
Strasbourg, j'aurais mieux fait de pisser dans un violon.
Bon courage,
Julien
Le 16/01/2022 à 16:29, Juan Isoza a écrit :
Bonjour,
J'ai des problèmes d'envoi de mail avec deux domaines, suivant l'OS
des serveurs.
Je reproduit le problème de négociation TLS avec "openssl s_client".
Pour les domaines ac-orleans-tour.fr <http://ac-orleans-tour.fr> et
trendmicro.com <http://trendmicro.com>; je lance
openssl s_client -connect mx1.ac-orleans-tours.fr:25
<http://mx1.ac-orleans-tours.fr:25> -starttls smtp
openssl s_client -connect sjdc-itpf-03.udc.trendmicro.com:25
<http://sjdc-itpf-03.udc.trendmicro.com:25> -starttls smtp
Sous Ubuntu 18.04 ou Debian 10, les 2 domaines fonctionnent
Sous Centos 8.4, seul trendmicro fonctionne
Sous Ubuntu 20.04 ou Debian 11; les 2 domaines sont refusé
Tous ces systèmes on des versions openssl basée sur la 1.1.1
Pour ac-orleans-tour, le message suivant apparait:
140117515637376:error:141A318A:SSL routines:tls_process_ske_dhe:dh key too
small:../ssl/statem/statem_clnt.c:2149:
J'aimerais comprendre, et éventuellement savoir si on doit écrire aux
postmaster...
Merci et bonne année!
_______________________________________________
Liste de diffusion du %(real_name)s
http://www.frsag.org/
_______________________________________________
Liste de diffusion du %(real_name)s
http://www.frsag.org/
_______________________________________________
Liste de diffusion du %(real_name)s
http://www.frsag.org/
