Je ne suis pas expert du sujet, mais je vais tenter une réponse.
Effectivement, il y a plusieurs rebonds. Cependant, en situation « nominale », le chemin est assez court :
ton client (ex. Thunderbird) contacte ton fournisseur (ex. monFAI.fr) ;
ton fournisseur contacte le fournisseur du destinataire (ex. sonFAI.fr).
C’est tout. En réalité, il peut y avoir plus de rebonds, car selon la topologie de réseau, on peut vouloir subdiviser le traitement des email, ou en externaliser certaines parties.
À l’origine, tout cela est un peu « open-bar », et petit à petit, on a protégé les choses, notamment l’étape 2. ci-dessus :
DKIM et SPF visent globalement à s’assurer que le domaine qui envoie (@monFAI.fr) est véridique. SPF liste les serveurs habilités à envoyer au nom de ce domaine, et DKIM permet de vérifier par une signature cryptographique que seul un serveur habilité a effectivement pu envoyer le mail.
Rien n’est spécifiquement fait pour s’assurer que le domaine récepteur est le bon. Là, on fait confiance au DNS (MX, AAAA...). C’est un autre sujet, pour lequel d’autres techniques existent.
Reste à sécuriser l’étape 1. ci-dessus. Là, en général, on s’appuie sur un login et un mot de passe. Et comme sur le web, tu n’entres pas ces données sans que le canal de communication ne soit sécurisé. Le serveur qui vérifie ton accès est celui qui gère @monFAI.fr, et donc c’est entre toi et ce serveur qu’il faut chiffrer la communication. Le besoin s’arrête là. Il ne s’agit pas de sécuriser tout le trajet jusqu’au destinataire.
Le trajet entre serveurs de messagerie (notamment l’étape 2. ci-dessus) passe par le port 25, généralement en clair. Pour cette raison, pour masquer le contenu d’un email, il faut une action de chiffrement à ton initiative, indépendante du transporteur. On utilise souvent S-MIME ou GnuPG pour ça. Il suffit que l’émetteur et le destinataire se comprennent.
C’est comme avec La Poste : tout le monde voit l’extérieur (émetteur, destinataire, tampons d’acheminement...), mais tu peux décider, à ton initiative, de mettre le contenu dans une enveloppe pour que seul le destinataire puisse le lire ; tu peux aussi décider de laisser tout visible par tout le monde : la carte postale, ce que pratiquement tout le monde fait en matière d’e-mail.
Enfin, pour la dernière question : non, il n’y a aucun moyen de savoir, à moins de connaître le « postmaster » ou que les logiciels côté serveur laissent des traces révélatrices en en-têtes.
[^] # Re: Carte postale... Comment marche la poste ?
Posté par Yves (site web personnel) . En réponse à la dépêche Se passer de Google, Facebook et autres Big Brothers 2.0 #2 — Le courriel. Évalué à 1.
Je ne suis pas expert du sujet, mais je vais tenter une réponse.
Effectivement, il y a plusieurs rebonds. Cependant, en situation « nominale », le chemin est assez court :
C’est tout. En réalité, il peut y avoir plus de rebonds, car selon la topologie de réseau, on peut vouloir subdiviser le traitement des email, ou en externaliser certaines parties.
À l’origine, tout cela est un peu « open-bar », et petit à petit, on a protégé les choses, notamment l’étape 2. ci-dessus :
DKIM et SPF visent globalement à s’assurer que le domaine qui envoie (@monFAI.fr) est véridique. SPF liste les serveurs habilités à envoyer au nom de ce domaine, et DKIM permet de vérifier par une signature cryptographique que seul un serveur habilité a effectivement pu envoyer le mail.
Rien n’est spécifiquement fait pour s’assurer que le domaine récepteur est le bon. Là, on fait confiance au DNS (MX, AAAA...). C’est un autre sujet, pour lequel d’autres techniques existent.
Reste à sécuriser l’étape 1. ci-dessus. Là, en général, on s’appuie sur un login et un mot de passe. Et comme sur le web, tu n’entres pas ces données sans que le canal de communication ne soit sécurisé. Le serveur qui vérifie ton accès est celui qui gère @monFAI.fr, et donc c’est entre toi et ce serveur qu’il faut chiffrer la communication. Le besoin s’arrête là. Il ne s’agit pas de sécuriser tout le trajet jusqu’au destinataire.
Le trajet entre serveurs de messagerie (notamment l’étape 2. ci-dessus) passe par le port 25, généralement en clair. Pour cette raison, pour masquer le contenu d’un email, il faut une action de chiffrement à ton initiative, indépendante du transporteur. On utilise souvent S-MIME ou GnuPG pour ça. Il suffit que l’émetteur et le destinataire se comprennent.
C’est comme avec La Poste : tout le monde voit l’extérieur (émetteur, destinataire, tampons d’acheminement...), mais tu peux décider, à ton initiative, de mettre le contenu dans une enveloppe pour que seul le destinataire puisse le lire ; tu peux aussi décider de laisser tout visible par tout le monde : la carte postale, ce que pratiquement tout le monde fait en matière d’e-mail.
Enfin, pour la dernière question : non, il n’y a aucun moyen de savoir, à moins de connaître le « postmaster » ou que les logiciels côté serveur laissent des traces révélatrices en en-têtes.