spip-contrib-extensions/nospam - nospam - SPIP on GIT

/master

  • Sécurité des échanges et bonnes pratiques client/serveur ?

    De plus en plus, je constate sur les réseaux d’entreprise, la présence d’antivirus ou de proxy transparents surchargeant la chaine de certification des navigateurs, indiquant par là qu’il y a un « men in the middle » sur le réseau, c’est à dire un tiers qui peut analyser tout le trafic, en toute impunité et légalité.

    – Impunité : on ne peut rien y faire
    – Légalité : c’est le réseau d’entreprise, pas moyen de râler

    La théorie veut que le https, c’était pour assurer que les données circulent entre le serveur et le navigateur sans pouvoir être déchiffrées par un tiers. Et donc, désormais, sur la plupart des réseaux d’entreprise, ce n’est plus le cas.

    Sur SeenThis, et SPIP en général, il me semble, il y a ce type de protection pour le mot de passe à l’authentification... même si le mot de passe est envoyé en clair dans un mail à l’origine... en somme, il y a un bout de protection.

    Mais vous, dans vos applications, vous faites comment ?

    Dans nos applications Web, on tente de lutter contre ces dérives du chiffrement en chiffrant des éléments, les mots de passe en particulier. On utilise un chiffrement asymétrique à base de clef privée et publique pour envoyer les données du navigateur au serveur. Et on se rend compte qu’il va falloir aussi le faire dans l’autre sens, à ce rythme... pour aussi protéger certains échanges dans l’autre sens.

    Sommes-nous les seuls à envisager ces options que j’ai envie de qualifier d’extrêmes ?