Cela reste quand même assez peu fiable. Deux manières de faire pour injecter cela:
la plus simple. Faire croire que le serveur qui envoie ne fait qu'un relai. C'est facile à faire, et le premier (temporellement) Received peut être complétement forgé. Il faut que le serveur qui mette le Received soit aussi de confiance.
la plus vicieuse. Techniquement rien m'empèche de mettre un reverse sur une IP à moi vers un nom toto.dgfip.finances.gouv.fr., il faudrait aussi vérifier dans l'autre sens que toto.dgfip.finances.gouv.fr. pointe vers l'IP en question.
[^] # Re: Condition nécessaire et pas suffisante
Posté par jben . En réponse au journal Quand la DGFiP (les impôts) donne des conseils de sécurité.... Évalué à 4.
Cela reste quand même assez peu fiable. Deux manières de faire pour injecter cela:
la plus simple. Faire croire que le serveur qui envoie ne fait qu'un relai. C'est facile à faire, et le premier (temporellement)
Receivedpeut être complétement forgé. Il faut que le serveur qui mette leReceivedsoit aussi de confiance.la plus vicieuse. Techniquement rien m'empèche de mettre un reverse sur une IP à moi vers un nom
toto.dgfip.finances.gouv.fr., il faudrait aussi vérifier dans l'autre sens quetoto.dgfip.finances.gouv.fr.pointe vers l'IP en question.