Email : authentification, intégrité et délivrabilité – état de l’art, limites et retours expérimentaux
Les standards SPF, DKIM et DMARC sont aujourd’hui largement déployés et les outils d’audit concluent souvent à des configurations « conformes ». Pourtant, sur le terrain, ces mêmes environnements restent régulièrement exploitables.
Entre forwarding abusif, mutualisation des infrastructures SMTP, relais ouvert ou dépendances excessives à des services tiers, de nombreux scénarios d’attaque passent sous le radar des outils classiques.
Ce talk propose une approche différente : partir de configurations considérées comme sûres, et démontrer comment elles peuvent malgré tout être contournées. À travers des cas réels et une méthodologie d’analyse enrichie, cette présentation met en lumière l’écart entre conformité et sécurité effective.
Le courrier électronique demeure un pilier central des communications numériques, tout en restant l’un des vecteurs d’attaque les plus exploités. Héritier d’un protocole historiquement conçu dans un modèle de confiance, l’écosystème SMTP s’est progressivement enrichi de mécanismes de sécurité destinés à corriger des faiblesses structurelles initiales, sans toutefois les éliminer complètement.
Cette présentation propose un état des lieux des pratiques actuelles en matière de sécurité des emails, enrichi par des cas concrets observés lors d’audits en entreprise. Elle vise à confronter les standards théoriques, leur mise en œuvre effective et les usages opérationnels rencontrés sur le terrain. Dans ce contexte, un constat récurrent émerge : les outils d’audit classiques concluent fréquemment à des configurations conformes et peu risquées. Pourtant, ces mêmes environnements peuvent rester exploitables en pratique. Cet écart s’explique notamment par une analyse souvent limitée à la conformité des standards, sans prise en compte des relations de confiance implicites et des dépendances réelles entre services.
Un premier constat majeur est que l’envoi de courriels « moderne » repose désormais largement sur des solutions tierces d’emailing, de routage et de messagerie managée. Historiquement issues des offres d’hébergement mutualisé, ces approches se sont généralisées avec l’adoption massive des suites collaboratives cloud. Aujourd’hui, ces services ne sont plus seulement choisis pour des raisons techniques comme la délivrabilité, la scalabilité ou la conformité, mais parce qu’ils constituent un standard de facto du marché. Ne pas s’y appuyer peut représenter un désavantage compétitif, tant en termes de fiabilité que de rapidité de mise en œuvre. En contrepartie, cette externalisation introduit des chaînes de confiance plus complexes et déporte une partie des mécanismes de sécurité vers des tiers.
Cette mutualisation s’accompagne de problématiques spécifiques, notamment le partage d’infrastructures SMTP entre différents types de services, y compris entre offres professionnelles et services grand public. Cela peut conduire à des recouvrements de plages d’adresses IP autorisées, introduisant des situations ambiguës du point de vue des mécanismes d’authentification, en particulier SPF.
Il sera notamment abordé les mécanismes d’authentification aujourd’hui considérés comme fondamentaux :
- SPF, avec ses objectifs initiaux, mais aussi ses limites dans des environnements mutualisés ou fortement externalisés, notamment liées aux mécanismes d’inclusion SPF, à la délégation implicite de confiance qu’ils induisent et à la difficulté d’identifier précisément les services réellement autorisés à émettre ;
- DKIM, en tant que mécanisme d’intégrité cryptographique ;
- DMARC, conçu comme une politique de coordination, dont l’efficacité dépend fortement de la cohérence globale de l’écosystème.
Ces mécanismes sont également étudiés dans la perspective de leurs limites opérationnelles. Malgré leur adoption large, ils ne constituent pas une protection suffisante à eux seuls, comme le montrent plusieurs études récentes, illustrant l’écart persistant entre conformité aux standards et sécurité effective.
La présentation mettra en évidence plusieurs scénarios d’attaque concrets, exploitant des configurations pourtant considérées comme valides, tels que :
- les abus liés au transfert automatique d’emails (forwarding) ;
- la présence de relais ouvert;
- la mutualisation d’infrastructures SMTP entre services professionnels et grand public, pouvant conduire à des relations de confiance implicites
Enfin, une attention particulière est portée aux mécanismes de protection contre les attaques de type interception (MITM), tels que DNSSEC, DANE ou MTA-STS. Bien que pertinents, ces dispositifs reposent sur un contrôle fin de la configuration DNS et de l’infrastructure de messagerie, ce qui limite leur applicabilité dans des environnements reposant sur des services managés.
Ces différents constats sont rapprochés des configurations réellement rencontrées en entreprise, en particulier dans les environnements complexes de multinationales, où l’écosystème de messagerie repose sur de multiples services tiers. Cette dépendance forte à des solutions d’emailing, de routage et de messagerie managée conduit fréquemment à des combinaisons de politiques hétérogènes, parfois incohérentes, et à un manque de maîtrise globale de la chaîne de mail par les équipes de sécurité.
L’objectif n’est pas de proposer une analyse offensive exhaustive, mais de démontrer, à partir de situations réelles, pourquoi une configuration conforme n’est pas nécessairement une configuration sécurisée.
Je suis spécialiste en sécurité offensive, avec un focus particulier sur la cyber exposition et l’Attack Surface Management (ASM). Mon travail se concentre sur la reconnaissance orientée OSINT, au cours de laquelle j’identifie les cibles, cartographie les structures organisationnelles et analyse les actifs exposés sur Internet afin de détecter des points d’entrée potentiels.
Je conçois et développe des outils qui me permettent d’identifier les risques de manière passive ou active, tout en adoptant une approche non agressive vis-à-vis des systèmes et des utilisateurs. J’ai un intérêt particulier pour la création d’outils pouvant servir de points d’entrée ou de leviers d’appui à des opérations Red Team, en fournissant une vision claire et exploitable de la surface d’attaque externe.
Parmi les sujets qui m’intéressent particulièrement figurent l’audit de configurations de messagerie, le patch management et, plus largement, l’amélioration continue de la posture de sécurité des organisations à travers une meilleure maîtrise de leur exposition sur Internet.