Archives par mot-clé : Professionnel

Postgrey

Publié le par

Ce billet fait suite comme promis au billet « SPAM mon amour« .

Le nombre de SPAM augmentant avec une régularité déconcertante, il a bien fallu que je mette en place des mesures concrètes dans l’entreprise où je travaille.

J’ai donc mis en place (il y a déjà longtemps) un classique postfix + RBL + amavis + SPAMassassin + Clamav

Mais la trouvaille la plus géniale a été indéniablement postgrey.

Testé avec succès depuis deux ans, voici en quelques mots son mécanisme:
Postgrey est une implémentation du « greylisting » pour Postfix, c’est-à-dire une technique consistant à soupçonner chaque serveur de messagerie d’être un méchant spammeur, avant de changer d’avis éventuellement.

La majorité des spammeurs font du « Fire and Forget », en envoyant des milliers de messages à partir de réseaux de PC munis d’un serveur de messagerie temporaire et non officiel (des « bot nets » constitués de PC piratés). Le temps d’utilisation de ces PC piratés étant très court pour ne pas être repérés, les spammeurs ne peuvent donc pas respecter le standard SMTP qui indique qu’en cas d’échec de transmission, le serveur émetteur DOIT réémettre son message.

Postgrey s’appuie sur cette faiblesse des spammeurs.

Comment? Mais tout simplement en demandant à Postfix de refuser le message la première fois qu’il arrive, et de l’accepter s’il se présente une deuxième fois.

Explications:
Lorsqu’un serveur tente d’envoyer un message une première fois à votre Postfix, ce dernier va le refuser en envoyant le code 450, c’est-à-dire « serveur non disponible ». Ce refus durera 5mn pour éviter les réémissions immédiates.

Deux cas se présentent alors :
– soit le serveur émetteur est un « bon » serveur officiel et sérieux, respectueux des RFC sur SMTP et il réémet son message… Postfix détecte alors qu’il s’agit d’un deuxième envoi, l’accepte et vous recevez le message normalement.
– soit l’émetteur ne réémet pas son message! Et c’est donc probablement un spammeur ou un virus !

Conséquences:
– le taux de SPAMs reçus chute de 90%…
Il ne passe, si vous avez suivi, que les SPAMs de spammeurs « professionnels » qui réémettent leurs messages.
– le mécanisme introduit un retard dans la réception des messages (refus du message une première fois, attente minimale de 5 mn, réexpédition par le serveur d’origine qui varie entre 5 mn et 30 mn).

Si tout le monde a été satisfait de la chute du nombre de SPAMs reçus, certains ont grincé des dents sur les délais parfois longs introduits par le mécanisme. Il m’a suffit alors de mettre en place des « listes blanches » pour les sites « amis » avec lesquels nous communiquons beaucoup.

J’ai également prévenu le personnel et modifié la charte informatique de l’entreprise pour faire apparaître le délai et son explication, pour éviter de tomber sous le coup de l’article 226-15 du code pénal:

« Le fait, commis de mauvaise foi, d’ouvrir, de supprimer, de retarder ou de détourner des correspondances arrivées ou non à destination et adressées à des tiers, ou d’en prendre frauduleusement connaissance, est puni d’un an d’emprisonnement et de 45000 euros d’amende […] »

Bien sur, l’ensemble des mécanismes anti-spam mis en place n’est pas parfait (notamment contre les SPAMs basées sur des images). Mais il offre un confort suffisant.

Pour l’instant.

Et c’est en partie ce qui me rend indispensable…

Accès aux données professionnelles

Publié le par

Une fois n’est pas coutume, je cite in extenso un article du 17 novembre 2006 de l’excellent site legalis.net.

« Un salarié qui crypte son poste informatique commet une faute grave justifiant son licenciement. Cette règle vient d’être énoncée par la chambre sociale de la Cour de cassation le 18 octobre 2006.

En l’espèce, un salarié avait crypté son ordinateur, empêchant ainsi son employeur d’y avoir accès et de consulter les documents qui s’y trouvaient en son absence. Ce dernier a estimé qu’il s’agissait d’une faute grave justifiant son licenciement sans préavis. La Cour de cassation lui a donné raison aux motifs qu’un employeur doit pouvoir accéder au poste informatique de ses salariés en leur absence et consulter les dossiers qui s’y trouvent. En effet, ceux-ci sont présumés professionnels. Cependant, ce droit accordé de l’employeur ne s’étend pas aux fichiers et aux dossiers que le salarié a expressément qualifiés de personnels. Cette règle est issue de la jurisprudence Nikon de 2001 qui consacre un droit au respect de la vie privée du salarié pendant son temps et sur son lieu de travail.

Les juges doivent alors définir ce qui appartient au domaine de la vie privée. Ainsi, une décision de la Cour de cassation du 19 mai 2004 a décidé que la consultation et l’animation d’un site pornographique n’en faisait pas partie. »

Depuis que j’exerce comme responsable des systèmes d’information, j’ai toujours refusé l’accès aux données informatiques stockées localement sur l’ordinateur d’une personne en l’absence de celle-ci. Je découvre aujourd’hui que j’ai parfois donné inutilement des sueurs froides à un chef de service qui essayait de récupérer un courrier tapé la veille par sa secrétaire avant de partir en vacances…

Pourtant, je connais l’arrêt Nikon, mais dans mon esprit le salarié était plus protégé que cela.

Encore qu’il lui suffit de mettre toutes ses données locales dans un dossier intitulé « personnel » pour que personne ne puisse y accéder (sans ordonnance d’un magistrat bien entendu).

Quand je pense que dans mon entreprise le personnel hurle quand les informaticiens entrent dans leur bureau en leur absence pour installer un logiciel ou réparer leur ordinateur…

Mission impossible

Publié le par

Je sors d’une réunion-bilan regroupant les responsables informatiques de 47 écoles d’ingénieurs françaises.

Il fallait créer un site web mutualisant le recrutement de ces 47 écoles, sachant que:
– les 47 écoles sont concurrentes
– le nombre de candidats global est en baisse
– certaines écoles jouent leur survie à chaque rentrée
– les dates de recrutement sont toutes différentes
– les modes de recrutement sont différents (concours, dossiers, oraux…)
– les organisations sont différentes (écoles multi-sites, concours communs, parfois concours communs mais coefficients des épreuves différents…)
– les systèmes d’information sont différents
– certaines écoles disposent d’extranets existants pour le recrutement et veulent les conserver
– certaines écoles n’ont pas de service informatique
– le projet a démarré en octobre pour une mise en production en janvier
– aucune gestion de projet n’était prévue et n’a été mise en œuvre.

Et bien vous savez quoi, on y est arrivé !

Le téléphone sonne

Publié le par

Je fais quelques interventions en amphithéâtre devant les étudiants de l’école d’ingénieurs où je travaille.

J’aime cela, j’aime les étudiants et je crois que les étudiants m’aiment bien aussi.

Peut-être simplement est-ce parce que mes cours, bien qu’obligatoires, ne sont pas sanctionnés par une note finale…

Me voilà donc face à eux en ces jours de rentrée. 150 têtes et autant de paires d’oreilles m’écoutent attentivement (ce sont de nouveaux étudiants, ils n’ont pas eu le temps d’apprendre à parler entre eux en amphi) quand tout à coup un téléphone sonne dans l’amphi. Je vois aussitôt un étudiant plonger dans son sac pour éteindre son portable. Agacé, mais surtout pour marquer le coup pour la suite de l’année, je demande à l’étudiant fautif de se lever. Grand silence dans l’amphi, l’étudiant se lève. Cruel jusqu’au bout, je désigne l’étudiant, clame haut et fort mon indignation et demande à tous les étudiants de l’applaudir pour l’encourager à éteindre son téléphone portable avant d’entrer en amphi la prochaine fois.

L’amphi applaudit à tout rompre, l’étudiant fautif est rouge de confusion, je lui demande de s’asseoir en lui accordant mon pardon, magnanime.

Le cours continue, je vois quelques étudiants sortir discrètement leur portable pour l’éteindre. Mon portable est posé sur le bureau, bien éteint, je vérifie moi aussi tout aussi discrètement.

Un quart d’heure passe quand soudain mon téléphone DECT de ceinture sonne. Je le coupe d’un geste machinal, comme si j’étais en réunion. C’était sans compter sur les étudiants de l’amphithéâtre qui se sont tous mis à applaudir…

Je les aime bien mes étudiants, car ils sont intelligents. Ce n’est pas le cas de tous leurs profs…

SNCF c’est possible

Publié le par

Je ne résiste pas à l’envie de vous narrer une petite mésaventure qui m’est arrivé il y a quelques temps.

Décor: je dois me déplacer pour raison professionnelle. Je regarde les horaires possibles sur le site de la SNCF. Je décide d’acheter en ligne moi même mon billet (au lieu de passer par la personne ad hoc de l’entreprise).

C’est vrai quoi, c’est super pratique, et puis comme ça au lieu de payer moi-même et de me faire rembourser, c’est la boite qui paiera directement.

Erreur fatale.

Réservation des billets en ligne (tiens, il faut aller les chercher à la gare)

Il faut fournir un numéro de CB: je fournis celui de la CB de l’entreprise que j’utilise pour mes commandes en ligne [Je précise ici qu’il s’agit d’une CB attribuée à la personne en charge des achats autres qu’informatique. Par souci d’économie et de simplicité, j’ai estimé inutile de disposer moi même d’une CB pour mes achats internet (il ne faut pas engraisser les banques plus que nécessaire). J’ai donc en ma possession, pour mon usage professionnel, les différentes informations nécessaires à un achat en ligne, mais pas la CB elle même]

En quittant le travail, je passe à la gare pour récupérer les billets (chouette je pars plus tôt)

Au choix: la queue ou les machines automatiques. Les machines nécessitant la carte bancaire (que je n’ai pas puisqu’il s’agit de celle de l’entreprise), je choisis la queue (finalement pourquoi ai-je commandé par internet? A oui, pour réserver mes places)

Arrivé devant le guichetier:

– Tiens vous avez commandé par internet ?

– (intrigué) Ben oui

– Vous payez comment?

– Ben par carte bancaire, mais j’ai déjà donné mon numéro sur le site

– (pas de réaction, regard fixe sur écran) Allez-y mettez votre carte

– Mais je n’ai pas la carte, j’ai utilisé celle de l’entreprise ! Mais j’ai déjà donné le numéro sur le site web !

– A oui, mais le site web est sécurisé (mais qu’est-ce qu’il me raconte) et moi il faut que vous mettiez une carte bancaire pour régler.

– Bon OK, je retourne au boulot chercher la carte bancaire.

Retour-boulot, j’explique à genoux à la personne achat (ouf elle est encore là) qu’il faut qu’elle me prête « sa » carte bancaire.

Retour-gare, refile d’attente, re-même guichetier:

– Bonjour, me revoilà avec la carte bancaire de l’entreprise

– (re-regard fixe sur l’écran) Votre numéro de dossier

– DJFNCH637873HDNNXH (vous avez remarqué la simplicité des dossiers de résa SNCF)

– Mettez votre CB dans l’appareil

– (un horrible doute m’assaille) Voilà

– (Ahhhhh quel con, ça va me demander le code secret) VEUILLEZ TAPER VOTRE CODE

– (AAAAAAAAAAAAAAAAAAAAAH, merde j’ai pas le code, mais quel CON) Euh, l’appareil me demande mon code, mais je l’ai pas, c’est la CB de l’entreprise, qu’est-ce que je fais?

– (une lueur dans l’œil du guichetier) Vous DEVEZ entrer le code secret de la carte, c’est pour vous protéger, c’est à cause des vols, vous comprenez.

Et là, pour la première fois de ma vie, j’ai éclaté:

– MAIS QU’EST CE C’EST QUE CE SYSTEME D’ACHAT PAR INTERNET COMPLETEMENT NUL VOUS M’AVEZ DIT QU’IL FALLAIT LA CARTE MAIS VOUS M’AVEZ PAS DIT QU’IL FALLAIT LE CODE

Bref, une belle gueulante qui défoule. Toute la gare nous regarde (le guichetier et moi). Je quitte la gare, furieux mais défoulé.

Retour-boulot (pour rendre la CB: pas question de demander le code secret à la personne des achats à cause de son coeur fragile. De toute façon je ne me vois pas retourner au guichet).

Problème: il me faut les billets pour demain matin à l’aube.

Solution: achat sur une borne automatique avec ma CB perso. Pas d’autre gare à moins de 30 kms. Retour (discret) à la gare.

Retour-gare: les deux bornes sont en panne (meeeerde, t’a l’air de quoi maintenant).

Re-queue. Je choisis un autre guichetier.

– Bonjour, c’est vous qui avez fait scandale il y a une demi heure?

– Heu, ben en fait votre système d’achat en ligne n’est pas vraiment pratique, mais bon quoi, les ordinateurs, hein (mais quel faux cul)

– Bon mais mon collègue là bas qui nous regarde, et ben il est pas content du tout.

– (…)

– Bon vous payez comment?

– Par carte bancaire.

– Mettez votre carte dans l’appareil.

– Voilà.

– A tiens, ça recommence.

– (puce illisible, carte défectueuse, carte volée, carte terroriste, carte ayant humilié un agent d’une grande administration) Qu’est ce qui se passe?

– Le système de paiement par carte bancaire est en panne, c’est un problème de téléphone. Vous avez un autre moyen de paiement?

– (AAArgh mon chéquier) Heu, non.

Résigné, je suis sorti de la gare pour aller au distributeur de billet retirer du liquide, je suis revenu, j’ai refais la queue, le seul guichetier disponible était celui à qui j’avais fais esclandre…

– Tiens vous payez en liquide (regard fixe sur l’écran).

– Oui, c’est possible? (J’ai baissé la tête)

Le lendemain, à 5h30 du matin, ce guichetier était sur le quai de la gare en train de ranger des charriots. Persuadé qu’il me cherchait, je me suis faufilé jusqu’à ma place en espérant qu’il n’ait pas passé le mot au contrôleur.

Avec la SNCF, tout est possible.