Serveur POP avec SSL : une question

[daf]

Bonjour à tous,

PlanetHoster propose un serveur POP avec chiffrement SSL : très bien. Cependant, en configurant un compte de courriel sur Thunderbird, je m'avise que le mot de passe du compte POP est envoyé en clair (« méthode d'authentification : mot de passe normal »).

Lorsqu'on règle le compte sur « mot de passe chiffré », Thunderbird renvoie ce message d'erreur :

Ce serveur POP3 ne semble pas gérer les mots de passe chiffrés. Si vous venez juste de définir le compte, veuillez modifier la « Méthode d'authentification » pour « Mot de passe normal » dans le menu « Paramètres des comptes | Paramètres serveur ».​

Je me demande, dans ce cas, quel est l'intérêt d'une connexion POP en SSL. En effet, quelle importance que le contenu des messages soit chiffré si le mot de passe ne l'est pas ? (À moins que quelque chose ne m'échappe...)
Même remarque sur le SMTP chiffré (port 465) mis à disposition par PlanetHoster.

Je serais curieux de lire les avis de la communauté là-dessus...

 

[foxlegend]

Le mot de passe est envoyé dans le flux SSL... Il ne transite donc pas en clair...

 

[marouani]

Il n'y aurai pas un tuto sur le sujet, ça m'intéresse beaucoup !!!

 

[foxlegend]

Quel genre de tutoriel ?

 

[daf]

Le mot de passe est envoyé dans le flux SSL... Il ne transite donc pas en clair...

Sûr de sûr ? Pourquoi Thunderbird parle-t-il de « mot de passe normal » et non « chiffré » ?

 

[foxlegend]

Absolument sûr de moi. J'ai monté un MTA récemment.
Pour les mots de passe chiffrés, il faut que le module gérant les authentifications gère les mots de passe chiffrés. Je n'ai pas réussi à le faire avec PAM (mais ça doit être possible, je ne suis pas admin sys).

Ensuite "mot de passe chiffré" n'a que peu de logique dans le sens où les méthodes de chiffrages sont (extrêmement) nombreuses si le client mail ne propose pas le choix d'une méthode. Et je crois que c'est le cas (je vérifierai dans Thunderbird et Outlook).

Si vous souhaitez être rassuré, utilisez Wireshark pour voir les paquets transmis et si votre mot de passe est diffusé en clair

 

[marouani]

Quel genre de tutoriel ?

La mise en place d'un systeme email sécurisé sur les hébergements PH

 

[Balam]

Bonjour

je pense qu'il faille configurer le SSL depuis le CPanel pour pouvoir l'utiliser

PH propose un SSL mais leur aide serait un plus ^^ ( pas de ssl pour la boutique d'un site ... heureusement que je passe par des moyen de paiement ssl externe ^^ )

 

[marouani]

Oui j'aimerai bien un tuto validé par PH, en fonction de la configuration de leurs serveurs ...

 

[daf]

je pense qu'il faille configurer le SSL depuis le CPanel pour pouvoir l'utiliser

Si c'est d'utiliser les serveurs POP et SMTP en SSL que tu parles, non, il n'est pas nécessaire de configurer un certificat SSL dans cPanel. Il suffit juste d'entrer les bons paramètres dans ton client de messagerie. Ces paramètres sont spécifiés dans la section "comptes courriels" de cPanel, puis, dans la liste des comptes existants, choix "More > Configurer email client".

 

[daf]

Si vous souhaitez être rassuré, utilisez Wireshark pour voir les paquets transmis et si votre mot de passe est diffusé en clair

Sur vos conseils j'ai installé Wireshark (beau logiciel, au passage) et je n'ai, en effet, pas trouvé de mot de passe en clair.
Cela dit, pouvez-vous me dire sur quel paquet est transmis le mot de passe (crypté) ? Est-ce sur le paquet "Client key exchange, change cipher spec, encrypted handshake message" ?

Plus étonnant, j'ai regardé les paquets échangés lors d'une connexion POP non cryptée tout ce qu'il y a de plus standard (port 110) et, là non plus, je n'ai pas trouvé de mot de passe en clair.