J'ai beau le répéter mais personne ne me croit: 2 des 10 adresses IPv4 des serveurs POP3 d'Orange (pour les domaines pop.orange.fr, pop.wanadoo.fr ou pop3.orange.fr, quelque soit le port utilisé en SSL) vont vers des serveurs mal configurés avec des certificats invalides.
Cela touche ~20% des abonnés Orange (de façon aléatoire en fonction des caches et des routes) qui veulent lire leur mail avec un client de messagerie externe et pas avec le webmail.
Le 9 avril Orange a fait une demande de renouvellement de certificat à Digicert : les précédents certificats ont été émis par une des filiales de Symante, qui a été racheté par Digicert il y a 3 ans, mais allaient être révoqués. Digicert demandant à passer à des clés de chiffrement plus longues et des signatures basées sur SHA256 et non plus sur SHA1. Tout était planifié depuis plusieurs années, et Google et d'autres ont décidé de ne plus accepter le mois derniers tous les certificats ayant des clés faibles.
Orange (ou un de ses prestaires) s'est planté pour reconfigurer ses serveurs et a confondu les certificats serveurs non signés (destinés à Digicert) et les certificats signés retournés par Digicert. Orange s'est planté ailleurs que sur les serveurs POP3, il s'est planté aussi dans les certificats pour DNSSEC, et pour la gestion de son parc de routeurs (d'où les pannes survenues chez plein d'opérateurs mobiles en France).
Personne ne veut me croire mais les serveurs POP3 d'Orange sont toujours en défaut avec les mauvais certificats !
Et c'est facile à vérifier (au moins pour ceux qui utilisent Unix/Linux) quand on a compris où était le problème.
Il suffit de faire un "nslookup pop.orange.fr" pour récuperer les 10 adresses IPv4 qui sont associées puis de tester la session SSL sur chaque adresse IP et port:
openssl s_client -connect pop.orange.fr:443
On peut voir le certiicat affiché par le serveur, on voit qu'il ne comprend que l'identification par Orange, mais on ne peut pas la vérifier on voit qu'il est destiné à Digicert, il manque la certiication par l'autorité intermédiaire de Digicert certifiant également les roles demandés et la seconde signature par l'autorité racine de Digicert, ainsi que la vérification de l'identité d'Orange (dans les données cryptées avec la clé publique de Digicert)
OPENSSL échoue et affiche une erreur 20 ou 21, ce qui correspond à l'erreur 48 (unknown CA) dans le protocole SSL d'une connexion SSL/TLS.
Deux des 10 adressses IP ont ce problème. Orange s'est bel et bien planté et a confondu un certificat non signé et un certificat signé. Les serveurs POP3 sont donc aléatoirement accessible, cela dépend du hasard et de l'état des caches DNS ou des caches de certificats des clients.
Bref, ce n'est pas parce que ça marche avec les uns qu'il faut dire que ça marche pour les autres.
CE N'EST PAS dû à un problème de login ou mot de passe incorrect. Ce sont bien les serveurs Orange qui sont en panne ! Et c'est bien à cause d'une erreur humaine de ses services chargés de veiller de la sécurité des équipements (très peu de monde s'occupe des certificats étant donné qu'ils doivent avoir accès aux clés privées détenues dans une toute petite structure d'Orange).
