Sur son blog, Open Door, développeur du coupe-feu personnel Doorstep met en garde contre l’utilisation de « Back to My Mac », dont j’ai parlé juste ici. Selon Open Door, il y aurait un trou de sécurité tellement grand que n’importe qui pourrait prendre le contrôle de votre Mac sans même avoir besoin de taper un identifiant et mot de passe sur le Mac !
Bien tenté les gars. Sauf que là, il n’y a pas trou de sécurité, il y a en fait excès de sécurité. Car Apple a ajouté dans Mac OS X 10.5 un support étendu du protocole Kerberos, nouvelle fonction documentée ici.
Pour expliquer rapidement comment ça marche : quand vous vous connectez pour la première fois à un Mac via Bonjour et que vous vous authentifiez, ce Mac vous donne un ticket Kerberos, et vous considère comme un utilisateur valide pour l’ensemble des services compatibles Kerberos. Ce ticket dispose d’une durée de vie de dix heures : au-delà, il faudra vous ré-authentifier. Kerberos est par ailleurs un système très sécurisé, conçu pour éviter le transfert du mot de passe sur le réseau (seules des clés cryptées sont échangées). (Note : Je sais, Laurent, je simplifie à mort ;-) )
En réalité, le souci que pourrait poser Kerberos serait lié à un utilisateur qui perd sa machine, se la fait voler et que quelqu’un réussisse à utiliser son compte. Là, il pourrait y avoir souci, effectivement… Mais ce n’est pas *n’importe qui* qui pourrait avoir accès à vos Mac via Back To My Mac, c’est un utilisateur ayant accès à une machine autorisée à utiliser Back To My Mac (donc qui a votre login et mot de passe .Mac) ET qui aurait un ticket Kerberos encore valide, sachant qu’un ticket ne peut pas être transféré d’un poste à un autre. Ça fait beaucoup, beaucoup de conditions… Et dans le pire des cas, il suffit de supprimer le ticket avec l’utilitaire Kerberos (dans /Système/Bibliothèque/CoreServices) quand on n’utilise plus la connexion réseau avec son Mac.
En fait, le plus gros reproche qu’on peut faire à Apple dans cette affaire est de ne pas avoir assez mis en avant cette intégration de Kerberos, qui est, mine de rien, une bonne progession en terme de sécurité… Reste juste à le faire savoir un peu mieux.
Je ne vais rien dire pour la simplification :-)
Sinon, toi qui l’a testé (j’ai encore oublié aujourd’hui), sans ticket Kerberos il demande quoi comme authentification ?
Parce que là, bon, les petits gars qui font de la sécurité sur ton lien ils sont gentils mais ils avaient bien du se connecter à la machine peu avant pour l’avoir ce ticket. Mais quand c’est la première fois ?..
de quoi vous parlez ? moi je ne comprend pas grand chose