Les sources de Sendmail infectées

Posté par  . Modéré par Fabien Penso.
Étiquettes :
0
9
oct.
2002
Pirate
Après OpenSSH, il y a quelques temps, c'est au tour du serveur FTP de Sendmail d'être compromis. L'intrus a déposé des sources de la version 8.12.6 contenant un cheval de Troie qui s'exécute pendant la compilation, se connecte sur le port 6667 d'une machine fixe et ouvre un shell... Le même qu'OpenSSH quoi ! L'intrusion date du 28/09/2002, et pour le moment sendmail.org a fermé l'accès ftp.
Ceux qui auront pris le soin de vérifier la signature GPG/PGP l'auront remarqué...

Aller plus loin

  • # encore ???

    Posté par  . Évalué à -10.

    En tout cas, ceux qui font ce genre de truc sont tres forts; infecter avec le meme type de code deux projets pour lesquels la securite est une composante importante, ca laisse a reflechir...
    Mais bon : vivent les systemes avec packages et les updates automatiques !!! C'est moins charmant que ./configure ; make ; make install, mais ca evite les soucis... ;)

    • [^] # Re: encore ???

      Posté par  . Évalué à 10.

      ... ça laisse à réfléchir
      La sécurité de l'appli qu'ils développent n'a pas forcément grand-chose à voire avec l'admin qui a mis le serveur en place et qui le mentient...

      vivent les systemes avec packages et les updates automatiques

      Mouais, tu peux aussi avoir des troyens dans des binaires. Au contraire, il vaut mieux passer par les sources.

      ce qu'il faudrait, c'est surtout que *tout* package/source/etc soit signé, avec un test à l'install. Ça devrait être obligatoire, après tout rpm, apt et les outils de ports de BSD doivent pourvoir le faire. Mais il faut éduquer tout le monde.

      • [^] # Re: encore ???

        Posté par  . Évalué à 2.

        après tout rpm, apt et les outils de ports de BSD doivent pourvoir le faire

        Je confirme que pour apt c'est en cours.

        • [^] # Re: encore ???

          Posté par  . Évalué à 1.

          certains outils liés à rpm, comme autorpm ( http://www.autorpm.org(...)) peuvent le faire. Je pense que ça ne devrait pas être dur d'ajouter ça à urpmi.
          Bon, je me met au perl, et je m'y colle :)

          • [^] # Re: encore ???

            Posté par  . Évalué à 1.

            urpmi le fait deja , ainsi tout les paquets sont signés et root a les clés publiques , a noter que plf signe aussi ses paquets mais faut importer la clé.

          • [^] # Re: encore ???

            Posté par  . Évalué à 1.

            c'est deja le cas, si tu recuperes pas les clefs sur le site de plf puis que t'update aviplay, tu vas voir ce qui va se passer ...

            faut te mettre au perl et au python.

        • [^] # Re: encore ??? apt-check-sigs !

          Posté par  . Évalué à 3.

          j'explique l'usage de apt-check-sigs sur ma page
          "maintenance facile de debian stable/testing/unstable avec apt"
          http://free2.org/d/(...)

          cet utilitaire va être intégré à la prochaine version d'apt

          voir la news sur ma page:
          http://linuxfr.org/2002/08/23/9368,0,0,3,1.php3(...)

  • # mais qui utilise encore sendmail ???

    Posté par  . Évalué à 3.

    non, je ne veux pas laisser de troll inutile mais bon y'a postfix, exim, mailq qui sont quand même réputés plus sûrs, plus faciles à configurer, plus maintenables, plus mieux quoi... :-)

  • # LL

    Posté par  . Évalué à 1.

    Quelles merdes ces logiciels libres!
    On y trouve toujours des failles de securite.

    Cela dit, avec les sources disponibles pour tout le monde, pas etonnant que des rigolos s'amusent a les miodifier.

    Pas de risque que cela arrive avec les sources des logiciels proprio, qui sont bien gardees, et pour lesquelles il n'y apas ce genre de surprise.

    • [^] # Re: LL

      Posté par  (site web personnel) . Évalué à 2.

      trop gros, passera pas

      • [^] # y'a jamais de troyens/espions/backdoors dans les .exe :)

        Posté par  . Évalué à 1.

        C'est drôle mais surtout très très faux: ce qui est en cause ici n'est pas l'open-source mais la sécurité d'un serveur ftp qui pourrait très bien diffuser aussi des softs non libres pour windows vérolés.

        De + ce genre de troyen, très rare, dans le code source est découvert en quelques jours maximum avec la commande diff par la communauté open-source (cf le précédent dans openSSL) avant même que les distribs n'aient besoin de faire un diff pour s'en rendrent compte elles-aussi.

        Evidemment un diff sur un binaire non libre ne permet pas de distinguer une amélioration d'un troyen ou d'un espion/backdorr, d'où la prolifération de ces features dans les softs proprios.

    • [^] # Re: LL

      Posté par  . Évalué à 0.

      Qui sait, ces infiltrations font peut-être partie d'un plan marketing d'une certaine firme de Redmond, visant à décrédibiliser notre OS favori...

      Plus sérieusement, arrive-t-on à retrouver le fautif dans tout ça ? (traces, diff, log cvs ?)

    • [^] # Re: LL

      Posté par  . Évalué à 0.

      C'est vrai que c'est une merde les logiciels libres. Ils ont pas droit a BugBear ou klez. Pourtant, c'est marrant ces petits programmes qui envoient des fichiers du disque dur au autres.

    • [^] # Re: LL

      Posté par  (site web personnel) . Évalué à 0.

      si miodifier n'est pas une fote d'ortografe prend garde a ce que miod ne tombe pas sur ton commentaire :)

      Trop gros même pas -1

  • # Une idée comme ça

    Posté par  . Évalué à 4.

    Ce serait pas mal d'avoir une arborescence standardisée pour ce genre de sites ftp, il suffirait ensuite d'avoir un logiciel à qui on donne l'url du tar.gz et qui s'occuperait de downloader le source et la signature puis vérifierait la signature. Une automatisation de ce genre limiterait les conséquences d'évenements de ce type.

    • [^] # Re: Une idée comme ça

      Posté par  (site web personnel) . Évalué à 8.

      un peu comme ca, quoi ?

      http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/ports-usi(...)

      Utilisable dans toutes les bonnes crémeries estampillées BSD

      • [^] # Re: Une idée comme ça

        Posté par  . Évalué à 2.

        Je pensais plutôt à un système indépendant de l'OS/de la distrib et qui se contenterait de downloader, pas d'aussi compiler/installer le truc.

    • [^] # Re: Une idée comme ça

      Posté par  . Évalué à 3.

      Un peu comme l'installateur de Mandrake pour les rpm (check du md5sum et vérification de la signature PGP).

    • [^] # Re: Une idée comme ça

      Posté par  . Évalué à -4.

      T'es atteind de flémingite aigue ou quoi ;-)
      C pas un effort surhumain que de vérifier des sources quand même!
      En y réfléchissant un peu ( oula pas trop quand même faut y'aller doucement) ça fait un fichier de signature a télécharger en plus, et une ligne de commande pour la vérifier.
      Ouah, tu te rends compte de l'effort que tu vas devoir fournir ;-) Prépare toi physiquement avant sinon tu vas te fouler le petit doight en appuyant sur entrer.

      Nan franchement des fois faut arêter d'abuser.

      • [^] # Re: Une idée comme ça

        Posté par  . Évalué à 2.

        Je sais que c'est loin d'être la mer à boire mais je serais quand même curieux de savoir le nombre de personnes faisant cet effort (très peu à mon avis).

      • [^] # Re: Une idée comme ça

        Posté par  (Mastodon) . Évalué à 2.

        Oui, bien sur. Mais est-ce que les "gens ordinaires" pensent à faire cette manip toute bête ? Pas certains que ce soit le cas. Alors que si cette vérification simple est automatisé, il n'y a plus de frein.
        Mais dans le fond, c'est vrai que c'est si peu de chose qu'on se demande pourquoi ça n'est pas simplement la norme ...

        • [^] # Re: Une idée comme ça

          Posté par  . Évalué à 2.

          Mais est-ce que les "gens ordinaires" pensent à faire cette manip toute bête ?
          Je crois que par gens ordinaires, tu veux parler de personnes qui utilisent leur ordinateur pour naviguer, envoyer du courrier, etc...
          Je ne pense pas que ces derniers compilent leurs softs depuis les sources... Cela demande un minimum de connaissance du système. configure, make, make install ne marchent pas toujours du premier, l'install peut avoir à se faire dans un point de l'arborescence où l'auteur ne l'avait pas prévu, etc.
          Ces pré-supposés établis, quelqu'un qui installe des softs depuis les sources possède la technique nécessaire à la vérif des signatures (PGP/MD5), et comme il procède de façon méthodique pour que ledit programme s'installe avec les bonnes options là où il faut.

        • [^] # Re: Une idée comme ça

          Posté par  . Évalué à 2.

          Oui, bien sur. Mais est-ce que les "gens ordinaires" pensent à faire cette manip toute bête ? Pas certains que ce soit le cas. Alors que si cette vérification simple est automatisé, il n'y a plus de frein.

          Pas d'accord avec toi.
          Tout automatiser derrière de belle GUI sans rien dire aux utilisateurs, c'est la méthode microsoft. ça conduit a des gens qui se croient informaticiens pasque tout se fait en clicouillant sur un ch'tit bouton tout joli.
          Mais le problème majeur c'est que l'info c tous sauf juste de ch'tit boutons.

          On retombe dans l'analogie à 2 francs euros. Si tu file des bagnoles a tous le monde en disant juste que l'accélérateur c'est la pédale de droite, ça finit droit dans le mur avec des jolis carnages.
          Ben AMHA l'info c pareil, c pas en masquant le processus derrière une joli GUI que ça resoudras les pbs. Il faudrait mieux que les utilisateurs soient au courant de ce qu'ils font, pourquoi il le font, et ce qu'ils risquent en ne le faisant pas. Mais bon l'espoir fait vivre :-)

          • [^] # Re: Une idée comme ça

            Posté par  (Mastodon) . Évalué à 1.

            Non, en fait je ne pensais pas à une "jolie GUI" ou un clickodrome, mais simplement à quelque chose comme décrit plus haut : favoriser le contrôle au moment de l'installation. Sans aller peut être jusqu'au truc tout automatisé basé sur des structurations de FTP standardisés, on pourrait admettre des aides du type "tâche dans le makefile" ou au moins "mise en garde bien placée dans le README ou l'INSTALL".
            Par ailleurs, je ne serais pas étonné d'apprendre que le comportement majoritaire des utilisateurs soit "confiance a priori" envers les sites FTP (à tord, apparement ...)
            NB : et tant que j'y pense : n'oublions pas qu'"automatiser" ne veut pas dire "masquer".

    • [^] # Re: Une idée comme ça

      Posté par  (Mastodon) . Évalué à 1.

      Un peu comme l'installeur de Gentoo. C'est exactement ce qu'il fait.

  • # Secu globale

    Posté par  . Évalué à 9.

    >En tout cas, ceux qui font ce genre de truc sont >tres forts; infecter avec le meme type de code deux >projets pour lesquels la securite est une >composante importante, ca laisse a reflechir...

    La véritable question est :
    On t'il un bon sys admin qui fait la sécu de serveur ?

    La sécu du code c'est bien mais la sécurité globale c'est mieux.

    • [^] # Re: Secu globale

      Posté par  (site web personnel) . Évalué à 5.

      > La véritable question est :
      > On t'il un bon sys admin qui fait la sécu de serveur ?

      moi je me demande si la question n'est pas plutot:

      la sécurité n'est-elle pas un pari perdu d'avance?

      • [^] # Re: Secu globale

        Posté par  . Évalué à 3.

        En fait on oublis trop souvent que la sécurité est un tous.

        Certes on ne pouras jammais empecher les failles dans les soft mais on peux limiter la casse en faisant un audit régulier du serveur qui contiens les sources.

        En fait ce que je voudrais savoir c'est quelle exploits le pirate a utilise ?

        Cela me donne une idée, pour éviter ce type de probléme il faudrait monter une petite équipe bénévole qui auditerons les serveurs opensources.

        Bien sur il faudrat l'aval de leurs proprio.

        Mais bon si les gens qui télécharge vérifier le md5sum + la signature, il n'y aurait pas ce genre de probléme, cela serait detecter + rapidement mais bon c'est utopiste car ne l'oublion pas le seul mayon qu'on peut pas sécuriser c'est l'homme.

    • [^] # Re: Secu globale

      Posté par  (site web personnel) . Évalué à 3.

      Eternelle question de la cuirasse et de l'epée.

      Mais si le serveur était à jour, n'y a t'il pas un exploit trouvé par un petit malin et non rendu public ?

      Et enfin, il existe toujours la possibilité pour un FTP de proposer des répertoires gréalablement gravés sur un CDROM et donc, infalsifiables...

      Ou des partitions montées en lecture seule... Au moins pour la partie download...

      Mais c'est vrai que ça la fout mal. Mais pas plus que le NIMDA au sein du support de Microsoft.

      :(

      • [^] # Re: Secu globale

        Posté par  . Évalué à 1.

        Oui et la marmotte elle m'est le chocolat dans le paier d'allus !

        Plus sérieusement tu te vois allez chez ton herbergeur mettre un CDROM dans le lecteur de CD ?

        Non le plus simple c'est de sécuriser la distrib et de signer et de vérifier les sommes md5sums + la signature.

        Il faut éduquer les gens c'est tous.

        Tans qu'as une exploits inconnu why not mais bon on ne peux faire que spéculer vu qu'on ne c'est pas comment il s'y pris.

        Je le répete la seule solution viable c'est d'éduquer les gens

  • # Pourquoi...

    Posté par  . Évalué à 2.

    ... est-ce que les pirates ne modifient pas la signature ?

    • [^] # Re: Pourquoi...

      Posté par  . Évalué à -2.

      C'est bon! Je viens de trouver...
      Scorez pas trop négatif... merci :-)

      • [^] # Re: Pourquoi...

        Posté par  . Évalué à -1.

        Et pour les autres ?
        Fait touner :)

    • [^] # Re: Pourquoi...

      Posté par  . Évalué à 10.

      Parce que ce sont des gentils pirates.

    • [^] # Re: Pourquoi...

      Posté par  (site web personnel) . Évalué à 2.

      Pourquoi ils piqueraient pas les clefs privees des personnes qui font les packages ?

  • # 1 admin sur 2 est un maso

    Posté par  . Évalué à 7.

    D'après http://www.bbv.com/SMTP-Survey.htm(...) :
    39.59% de sendmail + 7.95% d'ex*****-biiip-, ça donne 47.54% de maso chez les admin, soit prèsque 1 sur 2.

    Et encore, si je compte jusqu'au 6ieme position comprise, ça fait ... 2 sur 3

    • [^] # Re: 1 admin sur 2 est un maso

      Posté par  (site web personnel) . Évalué à 7.

      Vaudrait mieux compter dans l'autre sens :
      2,24 % de postfix, et 1,53 % d'exim, ça fait 96,23 % d'admins masochistes.
      Y'a encore du boulot à faire pour sécuriser le réseau...

    • [^] # Re: 1 admin sur 2 est un maso

      Posté par  . Évalué à -4.

      SendMail est robuste et tient beaucoup mieux la charge qu'un postfix par exemple...

      C'est sûr qu'exim convient parfaitement pour une petite station avec l'ADSL... et puis c'est plus facile à configurer.

      Quand il s'agit de gérer les EMails de centaines d'utilisateurs, on attend une solution qui tient la route et qui soit évolutive... du béton quoi... (une authentification Db, la sauvegarde sur un Db, un interfaçage avec d'autres progs, ... etc).

      • [^] # Re: 1 admin sur 2 est un maso

        Posté par  (site web personnel) . Évalué à 2.

        Quand il s'agit de gérer les EMails de centaines d'utilisateurs, on attend une solution qui tient la route et qui soit évolutive... du béton quoi... (une authentification Db, la sauvegarde sur un Db, un interfaçage avec d'autres progs, ... etc).

        Et tu parles de Sendmail pour faire ça ? MOUAHAHAHHAHAHAAAAAAAAAAAAAAAAAAA !!!!!!!!!

        Pourquoi faire simple quand vous pouvez faire compliqué ? Vous aussi, utilisez sendmail !

        Pour ton info, puisque tu sembles ne pas y connaître grand-chose, tout ce que tu décris peut parfaitement se faire avec exim et postfix, et de façon beaucoup plus simple et plus robuste.

        • [^] # Re: 1 admin sur 2 est un maso

          Posté par  (site web personnel) . Évalué à 4.

          MOUAHAHAHHAHAHAAAAAAAAAAAAAAAAAAA !!!!!!!!!

          Génial comme argument, je suis sur qu'il est convaincu.

          Je pense qu'avec un ou deux AAAAA de plus ça passait nickel !

          (-1)

        • [^] # Re: 1 admin sur 2 est un maso

          Posté par  . Évalué à 1.

          Puisque tu sembles t'y connaître beaucoup plus...
          (PS: Je n'ai jamais dit que les autres MTA ne pouvaient pas faire ce que j'écris entre parenthèses, le problème, c'est COMMENT ils le font!)

          Mais puisque tu touches à fond... tu dois sûrement connaître USENIX&SAGE... et la revue ";login:". Dans le volume 26 d'aout 2001 (prêt d'Antoine Duval!! :) ), je trouve page 6:

          (ou page 2 du PDF suivant: http://www.usenix.org/publications/login/2001-08/openpdfs/apropos.p(...) )


          I had a rather heated discussion with another system administrator the other day. It was Monday morning after the cutover to a new mail server, and we were encountering the usual glitches that go along with such an upgrade. I tripped across the first in the list of things we d need to fix when I sent some email to one of the managers who was out on vacation. Shortly thereafter I got an error message in my mailbox saying that smrsh couldn't run the vacation program. I was tracking down the fix for vacation when the other administrator showed up at my cube. When I shared with him what I was trouble-shooting he launched into a diatribe of derogatory comments about sendmail saying that it was antiquated, overly complicated and, just like BIND, needed to be replaced.

          It was probably the culmination of the morning, which already felt like a full day, but I took issue with his comments about sendmail and BIND. I agreed that sendmail's configuration file wasn't for the faint of heart, but insisted that programs like sendmail and BIND, indeed the IP protocols themselves, were not antiquated. In fact, I argued, they are on the short list of programs and protocols that have scaled to the size of the Internet and remain viable and robust; obviously an accomplishment worthy of respect.

          (Gens pressés et décideurs lisez à partir de là!! :) )
          This isn t the first time I ve heard disparaging comments about these programs. For some reason, people love to hate them, and often the more publicly, the better. It s as if by vocally calling attention to perceived flaws in these programs, they feel they boost their own technical stature.Many times, however, the people making the disparaging comments don t have first-hand knowledge of the programs they re criticizing. Such was the case with my fellow admin; in the course of his ranting he revealed, Postfix is so much easier and can do everything I need; I never could figure out that .cf file, anyway!

          I happen to like sendmail.cf files.Maybe it s because I like a challenge? But I can appreciate that others may prefer something simpler to use.What I ve become less tolerant of is folks randomly criticizing some of these great examples of networking applications. The fact that these programs and protocols scale and perform today as they have is a tribute to their design and garners my respect on that account alone. Experience shows that it s not that easy to get this right. Why, oh why, do folks want to berate the few examples which have?

          by Tina Darmohray Tina Darmohray, coeditor of ;login:, is a computer security and networking consultant.


          Rien à ajouter... merci d'avoir lu! :)

          • [^] # Re: 1 admin sur 2 est un maso

            Posté par  (site web personnel) . Évalué à 2.

            C'est très bien, mais ça ne change rien au fait que techniquement, sendmail est complètement à la rue.

            • [^] # Re: 1 admin sur 2 est un maso

              Posté par  . Évalué à 2.

              Bon, il ne faut pas lire aussi vite...
              Il faut prendre un peu le temps... et surtout.. se montrer modeste quand on ne gère que son PC ou ceux d'une association.

              Gérer des milliers d'EMails c'est critique dans les entreprises...

              Ce qui est bizarre ce qu'ayant fait de la physique vous devriez savoir que certains phénomènes microscopiques ne peuvent pas s'extrapoler à des phénomènes macroscopiques, non ?!

              Je le répète, le problème n'est pas vraiment au niveau des capacités des MTA, mais au niveau de la manière dont TECHNIQUEMENT ils gèrent les emails, et donc comment ils se comportent pour une certaine masse d'EMails.

              • [^] # Re: 1 admin sur 2 est un maso

                Posté par  (site web personnel) . Évalué à -1.

                Sors de ton trou, postfix et surtout qmail tiennent beaucoup mieux la charge que sendmail.

                • [^] # Re: 1 admin sur 2 est un maso

                  Posté par  . Évalué à 3.

                  Mais puisqu'on te dit que plus le fichier de conf est complique, plus l'appli va vite!

                  C'est pourtant pas complique a comprendre, si?
                  :-)

                  • [^] # Re: 1 admin sur 2 est un maso

                    Posté par  (site web personnel) . Évalué à 2.

                    je dis peut-être une connerie mais il me semble que club-internet utilise postfix. Et il ne me semble pas que l'on parle de centaine de poste mais plutot de dizaines de milliers.

                    "La première sécurité est la liberté"

                    • [^] # Re: 1 admin sur 2 est un maso

                      Posté par  . Évalué à 1.

                      sans parler de caramail qui est passé de sendmail a posftix y a 2-3 mois et qui bizzarrement fonctionne beaucoup mieux depuis , et la on parle de plusieurs ( dizaines ? ) millions de mail par jour , mais non posftix bien sur gere pas la charge ppff....

          • [^] # Re: 1 admin sur 2 est un maso

            Posté par  . Évalué à 3.

            J'aime bien sa phrase: "I happen to like sendmail.cf files.Maybe it s because I like a challenge?"
            Les gens qui choissisent des choses compliquees, non pas parce qu'elles sont plus puissantes que les choses simples, mais parce que cela leur donne l'impression d'appartenir a une pseudo elite, sont, comme on disait dans l'ancien temps, des fats.

            • [^] # Re: 1 admin sur 2 est un maso

              Posté par  (site web personnel) . Évalué à 3.

              Je dirais même que c'est l'une des principales raisons pour laquelle sendmail est encore aussi répandu. Les administrateurs barbus incapables de se recycler dans autre chose que la production de fichiers de configuration de sendmail et bind ne veulent absolument pas montrer que le travail qu'ils font ne sert à rien et qu'il pourrait être remplacé par quelques questions debconf. Si le patron de l'administrateur voit les fichiers de conf imbittables, il se dit « oh là là, il est fort mon admin, il fait des fichiers de conf sendmail et il recompile sa kernelle, c'est un homme, un vrai ». Si l'admin commence à installer son noyau et son postfix en cliquant dans synaptic ou drakemachin, le patron va commencer à se demander pourquoi il le paye ou va lui demander de faire plus de boulot.

              • [^] # Re: 1 admin sur 2 est un maso

                Posté par  . Évalué à 3.

                Tu decris n'importe quelle profession ou les gens font tout pour faire croire qu'ils sont indispensables!

                Les exemples sont trouvables a la pelle, evidemment!

            • [^] # Re: 1 admin sur 2 est un maso

              Posté par  . Évalué à 1.

              Est-ce que pour toi le "challenge" fait forcément référence à la pédanterie? Pour aimer ça, il faut être élitiste?
              C'est sur que dans ce cas, c'est douteux (préférer un logiciel parce qu'il est difficile à configurer est plutôt tordu). Mais la phrase sortie de son contexte pourrait juste montrer un gars qui fait quelque chose de difficile par jeu.

            • [^] # Re: 1 admin sur 2 est un maso

              Posté par  (site web personnel) . Évalué à 2.

              I happen to like sendmail.cf files.Maybe it s because I like a challenge

              Je crois que le commentaire veut surtout dire que la personne fait de l'humour, et qu'elle se moque un peu d'elle même.

              Quelqu'un qui fait de l'humour ne peut pas fondamentalement avoir tort.

              Sinon, pour en rajouter une couche :
              par défaut postfix n'est pas configuré en open-relay,
              postfix s'interface très bien avec spam-assassin
              postfix n'as pas de problème de HOP (les mails qui bounce, bounce, bounce, bounce, bounce ....)
              postfix tient bien la charge.
              ....

              Et, il est vrai que dire d'un programme (protocole) qu'il est mauvais parce qu'il est vieux est un argument fallacieux.

              @++

      • [^] # Re: 1 admin sur 2 est un maso

        Posté par  . Évalué à 0.

        Ben faut du lotus Notes alors :-) warrff
        ça porte bien sont nom ce truc tellement c de la merde.
        M'enfin maintenant parait qu'il faut plus dire de mal d'ibm pasqu'il sont gentils (cf sondage linuxfr), alors bon j'arrête là.

    • [^] # Re: 1 admin sur 2 est un maso

      Posté par  (site web personnel) . Évalué à 5.

      Qmail je ne suis pas d'ac (pr les 2/3)
      On peut tout faire avec, il est robuste, évolutif et simple

      • [^] # Re: 1 admin sur 2 est un maso

        Posté par  . Évalué à 1.

        Ca fait un moment que j'ai pas suivi son évolution ... y'a toujours autant de patchs dans tous les sens ?

        <zut je viens de marcher dedans />

    • [^] # Re: 1 admin sur 2 est un maso

      Posté par  (site web personnel) . Évalué à 1.

      Sauf qu'ici, il y a peu de chances que ce soit Sendmail à proprement parler qui soit en cause mais plutôt le serveur (FTP) qui en héberge les sources. Ce n'est pas pareil.
      On pourrait très bien imaginer quelqu'un mettre un trojan du même genre sur un serveur Debian ou un miroir Debian primaire, mais ça ne ferait pas pour autant que les logiciels de la Debian en eux-même ne sont pas sécurisés.
      Sinon, il faudrait aussi trouver une alternative à OpenSSH, vu que ce qui est arrivé voici quelques mois ...


      seb.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.