sujet Re: L'identification sur le serveur serveur pop3 d'Orange a échoué. dans Webmail Orange

L'identification sur le serveur serveur pop3 d'Orange a échoué.

verdy_p — Wed, 16 May 2018 09:52:55 GMT

Depuis 12 jours j'ai le même problème signalé chaque jour par Gmail qui lui non plus ne peut pas se connecter au serveur POP3 d'Orange (erreur "[AUTH] Authorization failed")

Pourtant je n'avais riue nchangé à la configuration.

Qu'à cela ne tienne, vérification faire, mon compte chez Orange (qui utilise encore une adreses @pseudo0312.fr) est toujours là je me connecte bien à l'espace client, et n'ai aucun problème à me connecter au webmail, et aucune anomalie détectée, ni aucune demande.b

Donc j'esssaye de resynchroniser Gmail, mais pas moyen.

Donc je sors de Gmail et me dirigé vers le client Mail de mon smartphone (Android): lui aussi ne parvient plsu à se connecter au POP3 d'Orange (pop.wanadoo.fr était bien configuré, ainsi que SSL demandé, et le port 995)

Je retape mon mot de passe, là encore ça échoue (et toujours aucun problème avec le webmail d'Orange.

Je lance alors l'appli "Courrier" de Windows 10 (avec les instructions données par Orange sur la façon de le configurer), même chose ! Impossible de la connecter.

J'essaye cette fois avec Outlook version de Microsoft Office) lui non plus ne se connecte pas.

J'essaye avec Thunderbird, pas moyen non plus.

A chaque fois l'authentification échoue.

Donc je vais dans le compte Client Orange, je demande à changer le mot de passe (au passage je n'utilise que des mots de passe sûr avec un générateur de mots de passes uniques et un coffre fort qui gère mes centaines de mots de passe). Pensant qu'Orange a modifié les règles sur les mots de passe (stupidemetn il n'accepte que les lettres majuscules ou minuscules ou chiffres 0 à 9, le tout en ASCII sans accent, mais il n'accepte plus les ponctuations/symboles et accents ou caractères non latins). Je vérifie les critères: au moins 8 caractères ASCII (chiffres ou lettres) et pas plus de 16 (pourquoi????). J'essaye avec 16 caractères et je confirme le nouveau mot de passe (au passage je change aussi le mot de passe du compte Orange en ligne). Je confirme avec le code par SMS envoyé par Orange Je me reconnecte sur le portail ORange et je vais lire les mails. Pas de problème avec le Webmail Orange.

Nouvelle tentative avec Gmail (je change là aussi le mot de passe, le meêm que je viens de mettre avec les paramètres du Webmail Orange). Et là encore, erreur d'authentification. Même chose avec Thunderbird, l'appli Courier de Windows 10, ou Office Outlook, ou avec mon mobile Android. Toujours pas moyen de s'authentifier au serveur POP3 d'Orange (en essayant aussi bien pop.wanadoo.fr que pop.orange.fr), à chaque fois ça mouline pendant plusieurs secondes, puis j'ai une erreur d'authentification.

Aucun mopyen de lire les mails chez Orange autre part qu'avec son horrible webmail !

Là je demande le support client (seul contact; leur "echat"), qui répond que "POP3" est une "configuration avancée" et qu'ils ne la supportent pas. Aucun moyen de faire remonter l'incident.

Donc sachez-le: Orange ne VEUT PLUS donner AUCUN support pour sa messagerie avec le POP3/SMTP standard (ou même IMAP car j'ai essayé aussi, et l'authentification échoue également), il ne supporte plus QUE son webmail via son portail publicitaire, très peu pratique, mal fichu, avec des filtres antispams largement défaillants (limitation ridiculement basse de ses listes rouges et listes blanches, filtres bahésiens par défaut qui sont des passoire, rendu direct des mails au format HTTP qui contiennent des scripts malveillants, etc... Non le webmail d'Orange je n'en veut pas et de toute façon ce n'est PAS du mail standard (le webmail d'Orange est totalement propriétaire et bourrés d'espions tiers qui regardent vos courriers privés)

Comment faire: Orange a visiblement planté volontairement ses serveurs POP3 ou ajouté de nouvelles restrictions non documentées. Rien dans le supprot d'Orange n'indique que la configuration a changé. Cela a cessé de marcher du jour au lendemain il y a une douzaine de jours.

Et depuis même ceux qui m'envoient des mails que j'attends se prennent des "bounces" en retour. Orange m' planté ma boite mail et ne veut strictement rien faire. Elle est maintenant presque inutilisable.

Note: ma boite mail Orange est celle d'un ancien abonnement Orange d'il y a près de 20 ans! Jamais elle ne m'a plantée. Même au gré de mes changements d'opérateurs internet, et déménagement, elle était toujours là et fiable (même si le spam était mal filtré). C'était devenu un "accès libre". Mon compte client Wanadoo est toujours valide, je m'y connecte et il mentionne toujours "Accès internet illimité". Mes coordonnées sont actualisées aussi.

Bref: ARRIVEZ-VOUS à utiliser le serveur POP3 d'Orange avec un quelconque agent mail sur PC ou Android (Thunderbird, Windows 10 Courrrier, Outlook, Android Mail) ou avec un autre webmail (Gmail ou un autre), Et comment ?

Pour moi cela ne fonctionne plus avec ces paramètres:

serveur POP3: pop.wanadoo.fr (ou pop.orange.fr)

port: 995

sécuration SSL: oui

identifiant: l'adresse de messagerie Orange (avec ou sans @pseudo0312.fr ou @Ancien Membre.fr)

mot de passe: exactement le même celui qui marche avec le Webmail d'Orange

Note: je ne peux pas tester avec le numéro mobile à 10 chiffres (06xxxxxxxx@orange.fr) car je n'ai pas de mobile Orange.

Et tout changement de mot de passe n'a aucun effet pour les connexions avec un client POP3 (application sur PC sous Windows, ou Linux, ou depuis un mobile Android). Mais il est pris en compte immédiatement et fonctionne avec le webmail d'Orange.

Les serveurs POP3 d'Orange ont bien un problème sérieux depuis une douzaine de jours. Et je suppose que le service Webmail d'Orange n'a pas besoin de s'authentifier lui-même au serveur POP3 (au sein du réseau interne d'Orange) pour lire nos mails et les afficher sur la page web.

Mais impossible de retourner l'anomalie à Orange: leur service ne prend en charge QUE le webmail. Leur eChat me renvoie à une page où il n'y a aucune possbilité de remonter un incident, uniquement une adresse postale, ou le service commercial qui s'occupe de la facturation et des abonnements (je ne suis plus abonné Orange, mais j'ai toujorus un compte et un contrat Orange valide sur "l'accès libre").

J'ai essayé d'utiliser l'Accès libre avec un vieux modem mais là aussi même quand je suis connecté avec, pas moyen de lire les mails en POP3. Ensuite je suis allé chez quelqu'un ui avait une ligne mobile Orange pour utiliser le partage de connexion Internet sur sa ligne, et là encore mon PC portable ou mon mobile ne peuvent pas se connecter non plus (authentification a échoué, vérifiez le mot de passe).

Et pas le peine de me dire que je me plante dans la saisie du mot de passe, alors que je ne me plante pas du tout quand le webmail d'Orange me le demande (je fais du copier-coller depuis un bloc note sécurisé, il n'y a aucun moyen de me tromper, mais même en tapant le mot de passe manuellement je n'y arrive pas non plus (et j'ai vérifié aussi que je ne me plantais pas avec le verrouillage majuscule que j'utilise rarement)

Ensuite j'ai pensé que le serveur POP3 d'Orange ne savait plus gérer les mots de passe trop long: leur doc indique qu'il faut 8 à 16 caractères. J'ai essayé en indiquant seulement 8 caractères (seulement des lettres ou chiffres, aucune espace ni ponctuation: Orange est stupide sur ce point, ce n'est pas sécurisé du tout !). CA ne marche pas non plus en POP3 (mais ça marche avec le webmail). Après j'ai essayé en mettant que des minuscules ou que des majuscules (Orange ne veut pas de ça il faut au moins une lettre de chaque type, donc j'essaye avec 1 majuscule, des minuscules et quelques chiffres, et même résultat: Webmail OK, mais POP3 ne marche toujours pas).

Je pense que le serveur pop3 ne reconnait plsu comme valide mon identifiant du fait qu'il contient un souligné (_) avant le @ de l'adresse email (ce qui est le cas depuis 20 ans et a toujorus fonctionné et est parfaitement standard et valide et documenté!). Un "ingénieur" nouveau venu a bidouillé les logiciels du POP3, ajouté des filtres et rejeté certaines entrées pourtant standard: Orange confie trop souvent la gerstion de ses logiciels à diverses sociétés qui oublient de documenter ce qu'elles font, il n'y a pas de trace dans les commentaires pour dire "attention, lisez cette RFC", et pas de plan de formation.

Ce n'est pas la première fois chez Orange! Les violations récurentes des RFC sont monnaies courantes et causent de fréquentes incompatibilités. Orange a toujours très mal géré le mail avec des implémentations propriétaires, des oublis dans les règles de sécurité pourtant obligatoires, des renvois abusifs de mails, de grosses erreurs de gestion des règles strandard de routage, des filtres antispam défaillants, un comportement défaillant en cas de spam (les serveurs SMTP d'Orange servent de relais pour spammer "anonymement" d'autres serveurs de messagerie grace aux "bounces" vers des adresses "spoofées" incluses dans les spams, serveurs DNS qui renvoient des données non authentiques ou maquillées, etc...).

La qualité de service chez Orange est évaluée sur ça marche à peu près, et tant que ça marche chez 80% des clients, le reste ils s'en foutent. Et Orange collectionne de tels défauts: Deux défauts comme ça et cela donne 80%*80% = 64% des clients satisfaits, même si Orange relève la barre, vu le nombre de défauts de conformités qui se cumule, il ne doit plsu rester grand monde supportant la config standard prévue, et quand Orange se rend compte que trop de clients ralent, ils finissent par rajouter de grosses rustines de contournement, en contournant les règles de sécurité et l'orfonnancemetn des services (ils règlent un problème et en ajoute un autre qui sera ensuite oublié, et la rustine reste et mê mdevient nécessaire au point qu'il peut remettre la rustine qui ne devrait servir à rien le jour où on change toute la roue!)

[EDIT: Titre modifié suie déplacement de post].

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

Daniel35 — Wed, 16 May 2018 09:53:19 GMT

Pas bonjour non plus @verdy_p

..."Note: ma boite mail Orange est celle d'un ancien abonnement Orange d'il y a près de 20 ans! Jamais elle ne m'a plantée. Même au gré de mes changements d'opérateurs internet, et déménagement, elle était toujours là et fiable (même si le spam était mal filtré). C'était devenu un "accès libre..."

Si cet email n'est plus lié à aucun contrat chez orange, pas même à une ligne "fixe" chez orange, de toute façon tu es en sursis. Cet email peut être supprimé d'un jour à l'autre tout à fait légalement par orange.

Profite d'y avoir accès pour transférer tes mails importants vers une autre adresse, à défaut de faire fonctionner un client de messagerie.

Pour ma part je n'ai aucun soucis pour mes différentes adresses orange et wanadoo, et cela avec Gmail et Email sous android, ou Thunderbird sur PC.

Avec les paramètres standard: adresse complète + MdP, pop.orange.fr/995/SSL, ou imap.orange.fr/993/SSL

Cordialement

Daniel35

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

verdy_p — Wed, 16 May 2018 09:54:00 GMT

Note: Il semble bien que le problème soit un problème de certificat SSL sur le POP3 d'Orange.

J'ai essayé de créer une autre adresse mail xxxxxx@orange.fr

j'y accède avec le webmail d'Orange sans problème

Mais quand je demande à Gmail d'ajouter cette nouvelel adresse, Gmail indique:

Impossible d'établir une connexion sécurisée SSL avec pop.orange.fr.[ Aide ]

Bref les certificats de sécurité SSL des serveurs POP3 d'Orange sont obsolètes ou ont été mal renouvelés. Impossible de se connecter via les serveurs pop.orange.fr ou pop.wanadoo.fr sur le port 995 demandé: la demande de certificat valide échoue ou retourne un certificat expiré ou pas paramétré pour le bon domaine donc pas utilisable sur ces serveurs POP.

Du coup le cryptage nécessaire de la session ne peut avoir lieu. Les anciens certificats fournissent des clés publiques de cryptage incorrectes, et donc pas moyen de transmettre de façon sécurisée les login/mot de passe demandés (même si ce sont les bons). L'authentification échoue là aussi.

Ce n'est donc pas un problème de mauvais login ou mauvais mot de passe. C'est bien un problème du serveur POP3 (ou bien une attaque de sécurité externe qui a eu lieu sur ces serveurs, sur lesquels des certificats incorrects autorisés pour des tiers malveillants ont été installés.

A mon avis Orange ferait mieuxs de s'inquiéter et ses abonnés aussi! ceux qui parviennent à se conencter en POP3 aux serveurs de mail d'Orange ont de forte chance d'avoir tous leurs email captés et écoutés poru aller dérober des mots de passe d'autres services ou des demandes d'autorisation (auxquelles ce seront des robots qui iront utiliser les liens à usage unique avant les abonnés légitimes).

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

verdy_p — Wed, 16 May 2018 09:54:16 GMT

Non cet email est associé à un compte ouvert depuis longtemps en illimité.

Il n'y a nulle indication dans le comtpe client que ce compte va fermer, il n'y a eu aucun changemen contractuel.

Comme je le disais l'erreur est un problème de certificat SSL invalide sur les serveurs POP3 d'Orange.

Je viens de tester avec des outils de débogage de SSL et c'est bien le cas. Ces certificats sont faux et compromis.

Impossible d'établir une connexion sécurisée SSL avec pop.orange.fr.[ Aide ]

Le serveur a renvoyé l'erreur : "SSL error: unknown CA (alert 48)".

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

verdy_p — Wed, 16 May 2018 09:54:30 GMT

Si des serveurs d'Orange ont eu des certificats de sécurité compromis, il ne faut pas s'étonner alors de la grosse panne qui a eu lieu ces derniers jours chez Orange pour presque tous les réseausx mobiles français, plein de sites, et même chez d'autres fournisseurs comme OVH, et des très forts ralentissements observés quand des passerelles de secours ont été installées en urgence avec toute une série de liens VPN et pleins de routes IPv6 également fermées par les opérateurs de réseaux tiers. On aimerait avoir des explications publique d'Orange sur la nature de ces pannes (qui ont commencé depuis le vendredi soir du pont du 1er mai).

Orange doit complètement revoir la sécurité de ses serveurs et de son intranet et la façon dont il gère et sécurisé son portefeuille de sécurité (notamment ses signatures de certificats PKI) et ceux qui peuvent y accéder pour configurer le réseau.

Je pense que c'est lié à une faille de sécurité importante non résolue (type Spectre/Meltdown) ou négligée et qu'il y a bien eu des attaques extérieures malveillantes. Les pannes observées en france ont été remarquées par la presse. Et Orange devrait s'en expliquer auprès des autorités de sécurité intérieure ou extérieure et aussi devrait fournir des éléments à ses clients pour qu'ils sachent ce qu'ils doivent vérifier, les systèmes qui sont à débrancher et réautoriser avec de nouvelles clés. Orange devra aussi indemniser. Ce qui s'est passé sur les 4 grands réseaux mobiles partout en France (et surtout chez Orange) est plutôt inquiétant (et même si le réseau est en partie revenu, le remplacement des VPN de secours pour rétablir le routage normal ne peut se faire sans longues vérifications sur l'état de plein de routeurs et services. En attendant le service Internet en France est encore significativement dégradé (environ +10ms de plus en moyenne par route en IPv6 comme en IPv4, et chez plusieurs fournisseurs d'accès des débits parfois divisés encore par 10, j'ai eu jusqu'à 1% seulement du débit utilisable pendant le pont du 1er mai, avec plusde 7% de pertes de trames, sauf avec le réseau Bouygues Telecom qui semblait le seul épargné, et OVH/Completel qui était le moins touché mais l'a été, ce qui n'est plus le cas apparemment; le réseau Orange n'est toujours pas complètement opérationnel et son trafic interne est encore en partie dérouté et écheminé par les réseaux concurrents dont OVH, Bouygues, Free, et plusieurs CDN avec des routes entre certaines régions françaises qui doivent transiter par le Royaume-Uni ou les Pays-Bas via Level 3, et des serveurs de contenus à destination de la France qui ont été déplacés sur d'autres CDN européens mais avec une moins bonne qualité de diffusion; même Google affiche encore des performances dégradées pour Youtube vers la France et surtout chez abonnés Orange/Sosh et vers les mobiles de tous les opérateurs en France). Netflixx aussi constate les problèmes sérieux (c'est en train de s'améliorer mais lentement).

Chez Free les plus gros problèmes sont résorbés (on a toujorus +10ms par les VPN, mais les débits vers tous les opérateurs sont à nouveaux excellents... sauf avec Orange qui est encore loin de ce qu'il affichait!), Free semble avoir choisi de rerouter en utilisant OVH/Completel et non plus Orange, après avoir pendant quelques jours essayé chez SFR/NC (qui n'a pas tenu la charge), mais une partie du trafic franco-français de Free reste encore routé par le Royaume-Uni (Free a eu des gros problèmes à cause de la configuration de son routage full IPv6 simplifié, il a du fragmenter son réseau, et il y a eu des problèmes de gestion des MTU en IPv6, car ICMPv6 ne fonctronnait pas comme il faut avec ses abonnés mobiles et ADSL-IPv6 dont l'IPv4 est maintenant partagé en NAT avec 4 clients par IPv4 chacun ayant des tranches de ports TCP/UDP alloués, mais aussi une configuration spéciale d'ICMPv4 utilisant des numéros de commande décalés pour transprter ICMPv4 via l'ICMPv6 modifié, qui lui aussi était tombé et ne fonctionnait plus durant le pont du 1er mai dans toutes les régions hors des villes des zones de haute densité: la téléphonie fixe de Free ne fonctionnait plus non plus et dépendait de la collecte IPv6 via le réseau Orange; Free a du reconfigurer tout un tas de routeurs sur plein de NRO/NRA et mettre en place des VPN nettement plus lents).

Quant à la latence sur le réseau Orange, elle n'est plus voisine de 1 à 10 ms en fibre (comme avant le 1er mai), elle est remontée à plus de 24 ms (il doit y avoir au moins 2 niveaux de VPN pour ses abonnés avant qu'ils atteignent la plateforme nationale d'Aubervillier, et je ne suis pas sûr que tous les routeurs d'Orange ont pu se mettre à jour via des VPN lents et cela doit nécessiter des tas d'interventions "manuelles" pour se connecter sur chacun d'eux et transférer les règles de routage on installer un monitoring à distance, et les routeurs n'ont peut-être pas assez de puissance CPU pour servir de terminaison à des VPNs, Orange a du faire appel à des serveurs hébergés dans les régions chez d'autres opérateurs).

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

PhilDur — Wed, 16 May 2018 09:54:49 GMT

Même si ce n'est pas dans tes habitudes :

Bonjour verd_p

... Bref: ARRIVEZ-VOUS à utiliser le serveur POP3 d'Orange avec un quelconque agent mail sur PC ou Android (Thunderbird, Windows 10 Courrrier, Outlook, Android Mail) ou avec un autre webmail (Gmail ou un autre), Et comment ? ...

OUI ! J'y arrive.

Comment ? Facilement

En utilisant les bons serveurs : pop.orange.fr (peu importe que l'adresse soit en wanadoo.fr) ou smtp.orange.fr

En utilisant les port : 995 et 465 respectivement avec SSL activé

En utilisant comme nom d'utilisateur : l'adresse mail complète.

Ca marche chez moi avec : Courrier, Windows Live Mail, Outlook 2010, Email et Thunderbird

Et toujours la même configuration.

Si ta configuration est exactement celle la, ne la change pas, elle est bonne.

Dans ce cas, il faut envisager une autre cause de type réseau ou piratage, surtout si le problème est soudain.

Si ton accès fonctionne sur le webmail après une déconnexion et une reconnexion, alors le piratage est à exclure.

Cordialement

PhilDur

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

verdy_p — Wed, 16 May 2018 09:57:49 GMT

De mo ncôté j'ai utilisé un outil de vérifiation des certificats installés sur Windows et sur Android, je ne vois pas d'anomalie.... sauf qu'ils sont tous très récents concernant Orange.

Ce qui tendrait à indiquer qu'Orange a du invalider un certain nombre de certificats compromis mais que l'effet de cette invalidation ne s'est pas encore propagé à tous ses services internes ou externes, et que donc le réseauy Orange a bien subi une attaque sérieuse sur son coeur de réseau en fin avril.

Les autres pannes chez les autres opérateurs sont sans doute dues au fait qu'Orange leur fournit encore une bonne part de leur connectivité en France et que des routes ne fonctionnaient plus le temps d'installer des routes de contournement par d'autres opérateurs.

On voit le défaut de l'Internet en France: tout est trop centralisé sur Paris avec 3 noeuds principaux exploités parincipalement par Orange. Il est grand temps de revoir cette stupide architecture en étoile et mettre en place enfin les artères interrégionales et mailler le tout (comme en Allemagne ou en Belgique), et même utilsier les capacités internationales d'Orange via d'autres centres européens. Il n'y a pas assez de redondance en cas de panne sur des services critiques (dont les serveurs d'autorisation).

Même concernant Ipv6 en France, Orange et le NIC France n'ont pas encore interconnecté les DNS root comme c'est fait pour l'IPv4 (il manque des adresses IPv6 à pas mal de serveurs qui ne sont acessibles qu'en IPv4, donc difficiles à joindre depuis les mobiles sans passer par des routeurs NAT tous centralisés à Paris et dependant d'une poignée de liaisons). Il manque des sécurités pour les gros CDN aussi (Amazon, Google) et il y a toujours de grosses difficultés et des règles de peering désordonnées entre les opérateurs commerciaux français, où l'ARCEP devrait mettre le point sur la table et contraindre tous les opérateurs à coopérer pour consolider l'infrastructure critique (au moins le DNS et les serveurs d'autorisation, y compris ceux des dégroupages de NRO/NRA et les routeurs des flux multicast qui consomment le plus de bande passante globale pour la vidéo et la TV afin de soulager le backbone commun).

Et que les opérateurs français le veulent ou non il faudrait qu'ils acceptent tous les interconnexions des CDN internationaux sur de plus nombreux POPs régionaux. On ne peut plus se passer de la construction d'une grande boucle nationale et du maillage du backbone français (sinon au moindre pépin la France dépendra totalement de la capacité des liaisons internationales et les opérateurs vont le payer cher).

On voit les délais de résolution de panne en France: ils sont lamentables comparés aux autres pays européens, parce qu'il n'y a pas beaucoup d'aleternatives possibles et rien n'est négocié à l'avance pour utiliser les capacités des réseaux voisins à moindre cout sur un principe d'échange et d'intéret commun. Chaque opérateur veut jouer cavalier seul optimise chacun son réseau dans son coin, les uns et les autres le faisant de façon beaucoup trop centralisée.

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

verdy_p — Wed, 16 May 2018 09:58:08 GMT

J'ai effectué une analyse en ligne des certificats SSL installés sur les serveurs POP3 d'Orange/Wanadoo, et tous sont signés par une autorité de certication (CA) inconnue/inacessible dont l'identité n'est pas connue/vérifiable.

Cela interdit effectivement d'utiliser ou installer ces certificats dans un cache, ils sont bloqués.

La session SSL échoue donc logiquement (avant même d'envoyer le login/mot de passe quel qu'il soit).

Les serveurs POP3 d'Orange et Wanadoo sont bel et bien compromis avec des certificats installés qui ont été signés par une autorité inconnue (sans doute un pirate) ! Et si cela touché ces serveurs, chez Orange cela a pu contaminer d'autres serveurs critiques. Ici ces certificats servent à sécuriser les mots de passe d'accès aux emails. Si vous aviez ces certificats déjà présents sur vos machines et qu'ils ne sont pas encore expirés, vous pouvez continuer à vous connecter, mais il est fort probable que vos mots de passe mail chez Orange soient compromis.

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

verdy_p — Wed, 16 May 2018 09:58:26 GMT

D'autres outils de sécurité en ligne ne parviennent pas non plus à établir une session SSL avec les POP3 d'Orange (exemple les outils de Symantec et d'autres...).

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

Ancien Membre — Wed, 16 May 2018 09:58:52 GMT

Bonjour @verdy_p,

Au lieu de nous faire des posts longs comme le bras dans lesquels tu te fais ton propre film et tente de dicter sa conduite à Orange, essaye les paramètres qui marchent très bien :

https://communaute.orange.fr/t5/mon-mail-Orange/L-identification-sur-le-serveur-pop-orange-fr-a-%C3%A9chou%C3%A9/m-p/1568969#M89620

Note que même pour une adresse en wanadoo, les noms de serveur doivent être en orange (pop.orange.fr et smtp.orange.fr).

Pour ma part, avec 5 adresses dans Thunderbird dont une Gmail, aucun problème.

D'autre part, mes mots de passe incluent des lettres majuscules et minuscules, des chiffres et des caractères de ponctuation.

Re: L'identification sur le serveur serveur pop3 d'Orange a échoué.

verdy_p — Wed, 16 May 2018 10:00:13 GMT

J'ai l'errur SSL 48 (unknown CA) sur tous les clients (sur Windows, Android, ou Gmail)

Re: Re : L'identification sur le serveur pop.orange.fr a échoué.

PhilDur — Wed, 16 May 2018 09:10:28 GMT

@verdy_p a écrit :

J'ai l'errur SSL 48 (unknown CA) sur tous les clients (sur Windows, Android, ou Gmail)

Merci

Là c'est clair.

Le certificat présenté par les serveurs sont corrects, c'est juste que ta machine, ou TON client de messagerie ne possède pas le certificat de l'autorité signataire du certificat présenté.

Normalement les certificats des autorités (CA) sont fournis avec les logiciels et si il s'est passé quoi que ce soit dans ta machine, il est possible que le magasin de certificat ait été endommagé.

Pour réinstaller un certificat dans un navigateur c'est "assez facile", ..... pour ceux qui en ont l'habitude.

Pour les réinstaller dans un logiciel de messagerie, c'est le même principe, sauf que personne n'a l'habitude de le faire.

Je te conseille donc de sauvegarder tes messages et de réinstaller un courrielleur neuf, si tu ne sais pas installer le certificat de l'autorité qui te manque.

Ne fait surtout rien tant que tu n'auras pas une vision claire de tout ce que tu dois faire.

Commencer sans savoir exactement TOUT ce qui doit être fait pourrait se révéler catastrophique.

Cordialement

PhilDur

Re: Re : L'identification sur le serveur pop.orange.fr a échoué.

verdy_p — Wed, 16 May 2018 09:24:21 GMT

Ce qui est clair c'est que le certificat manquant n'est pas standard et ne fait pas partie de ceux qui sont connus habituellement.

J'ai ça sur tous les PC que j'ai testés pour me connecter et sur 3 smartphones différents. Aucun n'accepte ce certificat présenté plutôt "étrange".

Et même Google ne connait pas ce CA.

Pour moi c'est un ancien CA expiré ou désapprouvé/compromis qui a été utilisé par Orange.

Je ne peux pas réinstaller un certificat venu d'on ne sait où, et jamais je ne supprime un certificat, ce sont des processus système qui s'en occupe (vérifications de listes CRL, mises à jour par l'autorité signataire).

Si vraiment c'était le symptome que tu crois cela concernerait une seule machine, mais j'ai ça sur toutes les machines testées (Windows, Linux, Android).

Ou alors le nouveau certificat qui devrait remplacer l'ancien n'est pas distribué ou pas accessible à l'adresse indiquée par le serveur Orange, ou il est corrompu ou c'est la chaine qui est corrompue.

Plusieurs tests sur Internet indiquent aussi qu'ils n'arrivent pas à établir une connexion SSL avec les serveurs d'Orange, même le test de Symantec (alors qu'Orange a utilisé Symantec comme un signataire). Un certificat racine ne doit plus exister donc ne permet plus de vérifier les signatures en aval et c'est toute la chaine qui est invalidée.

Re: Re : L'identification sur le serveur pop.orange.fr a échoué.

PhilDur — Wed, 16 May 2018 09:36:51 GMT

Bonjour Verdy_P

J'ai regroupé (essayé de) dans ce sujet tous les posts qui concernent TON problème spécifique.

Merci à tous ceux qui voudraient traiter de leur problème à eux, de poster dans un nouveayu sujet.

Ce que tu aurais du faire.

Pourrais-tu, s'il te plait, nous montrer le certificat présenté par le serveur POP ou le serveur SMTP ?

Qu'au moins on puisse voir quel certificat d'Autorité il référence.

Le problème pourrait bien être plus grave que ce qu'on pensait jusqu'à maintenant.

Il va falloir creuser un peu plus profond.

Quel(s) équipement(s) de connexion réseau utilises-tu ?

Ton propre modem routeur ou une Livebox ?

Quel(s) DNS utilises-tu ?

Cordialement

PhilDur

Re: Re : L'identification sur le serveur pop.orange.fr a échoué.

verdy_p — Thu, 17 May 2018 06:14:17 GMT

Tu ne veux pas lire et donc je le répète: j'ai cette erreur SSL 48 (unknown CA) sur TOUTES les machines testées, TOUS les OS, chez moi ou avec n'importe quel service en ligne, même Google lui-même ne connait pas ce CA depuis ses propres machines.

Donc la machine n'est pas du tout en cause, ni même mon propre réseau local puisque j'ai testé avec des clients sur plusieurs réseaux en France, ailleurs en Europe ou aux USA.

Pas la peine de fournir mes cerficats, ce qui est en cause ce sont les certificats présentés par les serveurs Orange eux-même, qui ne sont reconnus par personne ! Si ça marche encore chez toi c'est parce que tes machines ont encore en cache dans leur magasin une copie d'un certificat de CA (je ne sais pas lequel) dans la chine de signature, mais ce CA n'existe plus et n'est plus distribué, ou a certainement été désapprouvé.

Il faut noter que plusieurs CA controlés auparavant par Symantec ont depuis été repris par Digicert, qui a acquis Symantec, et changé toute la chaine. Symantec et Digicert ont diffusé l'annonce à leurs clients depuis longtemps pour leur demander de mettre à jour les certificats sur leurs serveurs ce qui aurait du avoir lieu depuis déjà longtemps bien avant la date d'expiration des caches (cette date d'expiration vient largement avant (des années même) celle d'expiration de validité des certificats. Durant la vie d'un certificat, il est normalement nécessairement revalidé (au minimum une fois par an), ce qui permet de les mettre à jour automatiquement.

Mais un client peut décider de vérifier mais conserver un certificat dont il a une copie, s'il ne parvient pas à le vérifier à nouveau, tant que la validité du certificat n'est pas expirée; mais mêm edécider de continuer à utiliser un certificat déjà expiré. Par exemple Windows lui même a plusieurs certificats expirés depuis plus de 15 ans afin de garder la compatibilité d'anciens pilotes ou versions de logiciels d'anciens systèmes d'exploitation. Les distributions de Windows gardent ces pilotes et les approuve d'une autre façon en utilisant une nouvelle signature avec un certificat plus récent stockée dans un fichier catalogue séparé, afin de passer outre l'invalidité du certificat initialement inclus directement dans ces anciens logiciels qui n'ont eux-mêm pas été désapprouvés, mais qui ne peuvent pas être remplacés par de nouvelles versions de ces logiciels (en particulier cela concerne les signatures de firmwares matériels, dont les adaptateurs de stockage SCSI et RAID, des coprocesseurs, des cartes graphiques ou sonores, des BIOS, de nombreux pilotes de périphériques USB, des systèmes matériels de contrôle d'accès, des lecteurs de cartes, certains disques durs, des routeurs... qui ont à l'époque passé la certification Windows et doivent continuer à fonctionner, ces certificats sont encore présents pour ensuite permettre de mettre à jour ces firmwares matériels si c'est encore possible).

On est ici dans ce cas, sauf que pour la messagerie POP, il ne s'agit pas de firmare mais uniquement de logiciel et il n'y a aucune raison de conserver un certificat expiré ou invalidé par un CA désapprouvé.

Et si tu crois qu'Orange est clean, va donc voir les serveurs SMTP d'Orange qui eux aussi ont des alertes sur leurs certificats SSL (dont notamment l'utilisation de noms de domaines eux-mêmes non protégés par un certificat valide). Orange est très en retard sur la gestion des certificats et la certification de ses serveurs (et depuis de nombreuses années), y compris pour son portail (il obtient la plus mauvaise note possible dans les tests en ligne), même s'il utilise HTTPS (SSL) pour ses sites webs et services.

Et cela inclue aussi les noms de domaines d'Orange qui sont très mal protégés et très facilement obfusables (compris Orange Banque! Rien à voir avec Boursorama qui lui a les profils SSL bien plus stricts et est totalement à jour). Orange est largement négligent/déficient et ne sait pas encore gérer les PKIs comme il faut, c'est du "à moitié fait" (une petite partie des services) et pas du tout unifié (sans doute parce qu'il fait appel à trop de prestataires externes et n'a pas de politique pour les obliger à utiliser des normes communes).

Re: Re : L'identification sur le serveur pop.orange.fr a échoué.

verdy_p — Thu, 17 May 2018 06:16:18 GMT

Note! "ce que tu aurais du faire": c'est bien ce que j'ai fait. Mon problème est dans son propre sujet.

Re: Re : L'identification sur le serveur pop.orange.fr a échoué.

PhilDur — Thu, 17 May 2018 07:32:55 GMT

S'il te plait montre nous le certificat qui pose problème, celui qui n'est pas vérifiable.

Quels DNS utilises tu ?

Re: Re : L'identification sur le serveur pop.orange.fr a échoué.

verdy_p — Thu, 17 May 2018 13:45:36 GMT

Et visiblement il y a maintenant du monde à se plaindre du piratage de leurs comptes mail Orange!

C'est encore le signe que les serveurs d'Orange ont bien été piratés ou spoofés. Pas étonnant que des routes normales pour le trafic destiné à Orange soient tombées.

Orange DOIT absolument communiquer à ses clients la nature de la panne subie: et je suis persuadé qu'Orange en n'ayant pas sécurisé ses noms de domaine s'est fait "spoofer" ses services critiques, puis des certificats invalides ont été émisra pour reconfigurer des routeurs d'Orange et détourner massivement du trafic.

Les premières erreurs que j'ai vues datent du 16 avril (erreur rapportée par Google pour la collecte des mails en POP3), mais les attaques massives (spoofing) ont eu à partir du soir du week-end du 1er mai et continuent depuis. Il a fallu plus d'une semaine pour que les autres opérateurs mettent en place des tunnels VPN pour rétablir une partie de la connectivité (uniquement pour HTTP et HTTPS, avec des restrictions de protocole et des parefeux). Et Orange n'a toujours pas réparé son réseau et doit être occupé à résintaller ses routeurs piratés mais il ne s'est pas encore occupé de certains services dont le POP3 et des routes IP qui devraient y aboutir.

En attendant des clients Orange se connectent aux serveurs de messagerie Orange et se font pirater leurs mails, ou leur mai lest utilisé pour envoyer du phishing (voir les autres topics sur ce forum). Et Orange ne communique toujours pas !

C'est grave, Orange devrait dire clairement aux clients de ne PAS utiliser les clients de messagerie externes (POP3/SMTP) et que pour l'instant seul son webmail fonctionne tant bien que mal. Orange devrait aussi donner des explications aux autres opérateurs qui doivent subir la situation.

Je pense qu'il s'agit réellement d'une attaque de sécurité massive contre l'infrastructure d'Orange qui était déjà très fragile en terme de sécurité, y compris sur ses propres enregistrement DNS (pas de DNSSEC, utilisation de certificats expirés ou signés seulement par des CAS qui n'existent plus, et non respect des normes de base de sécurité). Orange a peut-être été abusé par une attaque utilisant Spectre/Meldown via des VMs hébergées sur des systèmes partagés avec des tiers, ou visant par des javascripts les navigateurs Internet de ses agents, en exécutant des scripts capables d'écouter les sessions connectées aux systèmes sensibles de son réseau (même si c'était dans une autre VM ou dans une appli que l'OS hyperviseur: on sait que c'est possible, et cela a pu compromettre des donénes sensibles.

Si tu veux des détails sur le type d'attaque (qui est encore possible dans tous les navigateurs et tous les OS) il y a des documents qui expliquent comment ça fonctionne, et que les "mitigations" actuelles (consistant à réduire la précision des timers comme performance.now en arrondissant les temps à 10 millisecondes, ou me^me 100 ms avec le navigateur Tor, sont totalement inefficaces car on peut toujours simuler une horloge de précision utilisant les seuils précis de basculement, et fabriquer en Javascript même dans une VM sans aucune communication réseau un timer précis à quelques nanosecondes près (entre 10 et 30 nanosecondes soit à peine quelques cycles CPU) ce qui permet alors les time-attack et l'expolotiation de "covert channels" permettant de détecter l'état des caches du CPU, ou même l'état des controleurs DRAM (caches d'adresses de bank et row) et savoir précisément quelle adresse mémoire est utilisée et quand par le processus "protégé" qu'on veut pirater, et utiliser la même techynique pour créer un lien de communication entre deux systèmes isolés. Il y a même possibilité par ce moyen à forcer un processus protégé à adopter un comportement et même parvenir à le convaincre d'utiliser des données falsifiées ou l'empêcher de reporter une attaque dans les temps ce qui laisse alors un autre système accepter une requête qui normalement aurait du être refusée.

Les "time-attacks" (connues depuis environ 1996 mais pas encore facilemetn exploitables) n'en sont qu'au début et Spectre/Metdown ne sont que la partie visible d'un problème bien plus général (et qui ne concerne pas que les processeurs, on le voit maintenant aussi sur d'autres composants dont la DRAM, les caches de bus, les liens Ethernet, les processus clients-serveur, les routeurs). Et elles sont rendues possibles aujourd'hui parce que les systèmes sont globalement très rapides et disposent de plein de surcapacités (cycles "idle") ce qui permet de mener une attaque (non facilement détectée) en une fraction de seconde (avant même qu'on puisse noter un pic soudain et persistant d'activité avec les attaques classiques).

Il n'est pas anodin que les attaques sur les routes IP d'Orange ait commencé justement dans la nuit de vendredi à samedi du pont du 1er mai, à partir de 2 ou 3 heures du matin, là où les systèmes étaient à la fois les moins chargés, et les moins surveillés et avec le moins de monde en plus pour résoudre l'incident: les pirates ont eu tout le weekend pour agir et ça s'est agrrvé ensuite avec les points du 8 mai et de l'ascension le 10 mai. Et cela a par boule de neige affecté la connectivité de tous les opérateurs internet et de téléphonie fixe et mobile en France (ainsi que plusieurs autres pays notamment africains).

Orange a du faire appel à des ressources hors de France dans ses filiales (notamment au Royaume-Uni et en Pologne) pour rétablir des services rendus inexploitables en France.

Et on sait que tous les opérateurs sont sur le pont. Orange va le payer cher car ils vont demander des dommages à Orange. On en saura plus dans quelques semaines, mais il n'est pas admissible qu'Orange ne dise toujours rien à ses clients (et je trouve étrange qu'aucun détail n'est donné non plus chez les autres opérateurs également touchés concernant la sécurisation de leurs propres données, hébergées chez Orange ou transitant par Orange, qui est encore incontournable en France, y compris pour le dégroupage)

Re: Re : L'identification sur le serveur pop.orange.fr a échoué.

JeanClaude64 — Thu, 17 May 2018 13:55:37 GMT

Bonjour,

Que pouvons-nous pour vous ?

^JC

Re: Re : L'identification sur le serveur pop.orange.fr a échoué.

PhilDur — Thu, 17 May 2018 13:58:13 GMT

Là soit c'est du n'importe quoi plus ou moins paranoïaque,
soit tu cherches à faciliter le travail aux malfaisants.

L'utilisation d'un client mail serait la cause de tous ces piratages !!!!

Il faut vraiment que tu expliques, avec des liens et des infos crédibles.

Pour l'instant tu sort de paquets de texte compacts, cans rien démontrer.

Tu ne réponds jamais aux questions et tu ne prouives rien.

Je laisse béton, pour l'instant

PhilDur