01Net : Vous venez de proposer à l’IETF (principale instance de standardisation du Net) les deux
textes fondateurs d’une nouvelle technologie d’authentification des mails : DKIM. Quel en est le principe de base ?
Eric Allman : En gros, lorsque vous envoyez un courrier électronique depuis votre ordinateur, celui-ci passe d’abord par le serveur de mail de votre entreprise ou de votre fournisseur d’accès. Avec DKIM
[DomainKeys identified mail, NDLR], ce serveur va signer électroniquement le contenu du mail et une partie de son en-tête. Cette signature va apparaître dans l’en-tête du courrier. Elle est là pour prouver que votre
message a bien été envoyé par ce serveur. A l’autre extrémité, le serveur de mail de votre destinataire va demander confirmation que votre serveur a bien généré la clé en question. Si ce n’est pas le cas, alors le mail reçu par le
destinataire est peut-être un spam.L’utilisateur devra-t-il changer quelque chose à son logiciel de mail ?
Non, c’est le principe même de la technologie. Tout se passe au niveau du serveur, et l’expéditeur n’a pas besoin de mettre à jour son logiciel. Idem pour le destinataire, la technologie reste totalement transparente.Jusqu’à présent, DKIM avait été présenté comme l’?”uvre conjointe de Cisco et Yahoo. Qu’en est-il réellement ?
A l’origine, DKIM est effectivement la jonction entre DomainKeys (DK) de Yahoo et d’Internet Identified Mail (IIM) de Cisco. Mais depuis un an, beaucoup d’entreprises sont intervenues dans le processus de réflexion et
de mise au point, parmi lesquelles Alt-N Technologies, AOL, Earthlink, PGP, Sendmail, Strongmail, Verisign… et même Microsoft ! En fait, si l’on veut que cette technologie soit acceptée par la communauté, il ne faut pas
qu’elle soit rattachée trop intimement à un seul acteur. Il s’agit réellement d’une initiative issue d’un large consensus. On m’a demandé de porter la proposition (cosignée par des gens de Yahoo, PGP et Cisco)
certainement parce que j’étais perçu comme un acteur indépendant.Lors du
récent sommet sur l’authentification du mail, vous avez déclaré : ‘ Si quelqu’un tente de rentabiliser [les systèmes d’authentification des
mails], cela ne marchera jamais et nous perdrons tous ‘. Mais vous avez ajouté que certaines parties du système, à l’exception des standards de base, pourraient devenir rentables. A quoi pensiez-vous ?
On peut imaginer que de nouveaux logiciels permettent de personnaliser le système depuis le poste de l’utilisateur. L’internaute pourrait par exemple constituer sa propre liste blanche ou noire d’expéditeurs. Par
ailleurs, d’autres services viendront très certainement se greffer sur les systèmes d’authentification. Je pense particulièrement aux systèmes dits de ‘ réputation ‘ où un mail est considéré comme valable
s’il est issu d’une source authentifiée et réputée. SpamNet et Vipul’s Razor en sont deux exemples… gratuits. Enfin, les systèmes capables de gérer la politique antispam d’une entreprise vont également être amenés
à prendre en compte ces technologies.DKIM semble s’opposer à Sender-ID proposé par Microsoft. Les considérez-vous comme concurrents ?
Honnêtement, je les crois complémentaires. D’ailleurs, Sender-ID est déjà livré actuellement avec nos serveurs de messagerie. DKIM leur sera adjoint très prochainement.Sender-ID a du mal à s’y retrouver lorsqu’un internaute retransmet un mail authentifié à un autre internaute. DKIM rencontre quant à lui des problèmes lorsqu’un mail authentifié est envoyé à une liste de
diffusion (mailing-list). Ces limites techniques ne vont-elles pas freiner l’adoption de ces deux technologies ?
Techniquement, ces problématiques ne sont pas insurmontables. Je ne pense pas qu’elles freinent le déploiement de ces technologies, notamment parce que les enjeux de la lutte antispam sont très importants.Quand pensez-vous que DKIM sera opérationnel ?
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
