Re: usage de cancel-clock

Dans le message <tfhq15$420$1@ns507557.dodin.fr.nf>, jdd a écrit le 10
septembre 2022 à 12 h 48 :

reste à voir si un des farfelus de fr* saura le faire :(-

Mauvaise nouvelle :

- j'ai publié un message sur fr.test via ton serveur avec une fausse
identité :
-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-
From:  jdd@gmail.com.invalid (jdd)
Subject:  [Ignore] Test tout aussi perso
Date:  Sat, 10 Sep 2022 14:09:51 +0200
Message-ID:  <news:1py2knh.p5m592uph4mcN%jdd@gmail.com.invalid>
Newsgroups:  fr.test
Cancel-Lock: sha256:5U674f4PutVuKK8Ofhr9Um1J7PnK2labj4EmjRYTO6c=
-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-

- j'ai pu envoyer un message d'annulation en changeant d'identité (y
compris en changeant d'IP) via ton serveur :
-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-
From:  mv@gmail.com.invalid (M.V.)
Subject:  Re: [Ignore] Test tout aussi perso
Date:  Sat, 10 Sep 2022 14:14:20 +0200
Message-ID:  <news:1py2kuz.o4r6f1uccuz9N%mv@gmail.com.invalid>
Newsgroups:  fr.test
En réponse à:  <news:1py2knh.p5m592uph4mcN%jdd@gmail.com.invalid>
Cancel-Key: sha256:80GlTt0re5b8mGIN+ydxmVUDrdkwoUQMKviNCkg0r3I=
Cancel-Lock: sha256:j9xLjLp9aqORGyw9cSlY4GTo+IYH+F96E8r0OWH4IdU=
-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-

Le cancel-key du message d'annulation correspond bien au cancel-lock du
message cible et l'annulation est effective sur mes serveurs habituels
et sur le tien.

Il y a donc un hic puisque le calcul du cancel-key semble se faire en
dehors de toute authentification de l'émetteur du message de cancel.

Je dois donc être en mesure de supprimer tout message émanant de
dodin.fr.nf, ce qui serait légèrement embêtant !

Je vais faire d'autres tests pour voir, mais ce 1er test est assez
inquiétant.
--
🇺🇦 Michel Vauquois - <http://michelvauquois.fr> 🇺🇦
Un produit qui nettoie tout du sol au plafond, ça peut plaire qu'à des gens qui
sont dégueulasses du sol au plafond !
(Brèves de comptoir - Jean-Marie Gourio)