Interdit à Microsoft Lync de détecter automatiquement et de communiquer de façon sécurisée avec les serveurs SIP dont les ...

"Interdit à Microsoft Lync de détecter automatiquement et de communiquer de façon sécurisée avec les serveurs SIP dont les noms de domaine complets (FQDN) ne sont pas standard. 

Remarque : ce paramètre de stratégie ne prend effet que si Microsoft Lync utilise la " configuration automatique " pour interroger le DNS afin d'obtenir la liste des serveurs SIP et si Microsoft Lync communique avec le serveur SIP en utilisant le transport TLS. Dans ce cas, l'ensemble de FQDN du serveur pris en charge dépend de l'URI SIP de l'utilisateur qui démarre Microsoft Lync.

Par exemple, si vous désactivez ou si vous ne configurez pas ce paramètre de stratégie et si l'URI SIP de l'utilisateur est SIP:[email protected], Microsoft Lync peut communiquer avec un serveur SIP en transport TLS uniquement si son FQDN est EXAMPLE.COM ou SIP.EXAMPLE.COM. En d'autres termes, le FQDN du serveur doit correspondre exactement à la partie du domaine de l'URI SIP de l'utilisateur ou le FQDN doit être " SIP. " suivi de la partie du domaine de l'URI SIP de l'utilisateur. Ceci empêche les risques de vulnérabilité contre les attaques de type " attaque de l'intercepteur " (" man-in-the-middle ") : une personne mal intentionnée peut détecter le message UDP utilisé par le client pour exécuter une recherche DNS et répondre au client sous le nom d'un serveur SIP non autorisé. Cette personne mal intentionnée pourrait alors emprunter l'identité d'un utilisateur de confiance, ou le serveur pourrait amener le client à s'authentifier à l'aide d'un chiffrement faible. 

Toutefois, si vous activez ce paramètre de stratégie, Microsoft Lync peut communiquer en transport TLS avec n'importe quel serveur SIP dont le FQDN se termine par la partie du domaine de l'URI SIP de l'utilisateur. Pour poursuivre l'exemple précédent, en activant ce paramètre de stratégie, vous permettez à Microsoft Lync de communiquer avec des serveurs nommés SIP.DIVISION.EXAMPLE.COM ou LC.EXAMPLE.COM. Toutefois, une personne mal intentionnée peut répondre à la requête DNS initiale en incluant le nom du serveur ATTACKER.EXAMPLE.COM.

Remarque : vous pouvez configurer ce paramètre de stratégie sous Configuration ordinateur et sous Configuration utilisateur, mais le paramètre de stratégie sous Configuration ordinateur est prioritaire.

Remarque : dans Communicator 2.0 Beta 3, ce paramètre est désactivé par défaut et Communicator peut être exposé à des risques d'attaque de l'intercepteur. Il est fortement recommandé d'activer cette stratégie."