Der Webmail Convergence der Akademie Lyon basiert auf einer Oracle Communications-Infrastruktur (ehemals Sun Java System Messaging Server), die mit einer von den DSI-Diensten der Rektoren verwalteten HTTPS-Schicht gekoppelt ist. Der Zugriff auf Ihre akademischen E-Mails über https://webmail.ac-lyon.fr reicht nicht aus, um die Vertraulichkeit der Kommunikation zu gewährleisten: Die Sicherheitskette hängt sowohl von der Serverkonfiguration als auch von den Praktiken auf der Clientseite ab.
TLS-Zertifikate und Überprüfung der Vertrauenskette auf webmail.ac-lyon.fr
Die Verbindung zum Convergence-Portal stützt sich auf ein TLS-Zertifikat, das von einer von den gängigen Browsern anerkannten Zertifizierungsstelle ausgestellt wurde. Während des TLS-Handshakes überprüft der Browser die Gültigkeit des Zertifikats, sein Ablaufdatum und die Übereinstimmung zwischen dem Domainnamen und dem Feld CN (Common Name) oder SAN (Subject Alternative Name).
Eine Zertifikatwarnung beim Verbindungsaufbau signalisiert ein konkretes Problem: abgelaufenes Zertifikat auf der Serverseite, Netzwerkinterzeption (Unternehmens-SSL-Proxy oder Man-in-the-Middle-Angriff) oder falsch eingestellte Systemuhr auf dem Client. Nie manuell ein ungültiges Zertifikat bei einem akademischen Webmail-Zugang validieren. Wenn die Warnung anhält, empfehlen wir, die DSI zu kontaktieren, anstatt den Zugang zu erzwingen.
Um eine sichere Verbindung zum Webmail Convergence Lyon zu gewährleisten, überprüfen Sie, ob Ihr Browser das Schloss und das HTTPS-Protokoll ohne Fehler in der Adressleiste anzeigt, bevor Sie Ihre Anmeldedaten eingeben.
Richtlinie für akademische Passwörter und Kontosperrung
Seit der Periode 2023-2024 hat die DSI der Akademie Lyon die Passwortregeln im Einklang mit den nationalen Cybersicherheitsempfehlungen des Bildungsministeriums verschärft. Konkret bedeutet dies eine erhöhte Mindestlänge, das Verbot der Wiederverwendung alter Passwörter und eine automatische Kontosperrung nach mehreren fehlgeschlagenen Anmeldeversuchen.
Diese temporäre Sperrung schützt vor Brute-Force-Angriffen, fängt aber regelmäßig Benutzer, die ein altes Passwort in einem auf ihrem Telefon konfigurierten IMAP-Client gespeichert haben. Der Client versucht in einer Schleife, sich mit dem alten Passwort zu authentifizieren, was die Sperrung auslöst, bevor der Benutzer das Webmail überhaupt öffnet.
Bevor Sie Ihr akademisches Passwort ändern, empfehlen wir, die IMAP/SMTP-Synchronisierung auf all Ihren Geräten vorübergehend zu deaktivieren. Sobald das neue Passwort im Webmail Convergence aktiv ist, aktualisieren Sie jeden E-Mail-Client einzeln.
IMAP- und SMTP-Einstellungen für Drittanbieter-Clients
Die von der DANE Lyon dokumentierte Konfiguration verwendet die folgenden Server:
- IMAP-Eingangsserver: verschlüsselte Verbindung (SSL/TLS), Standardport, Identifikation im Format „pnom“ (erste Buchstabe des Vornamens + Nachname), unterschiedlich von der vollständigen E-Mail-Adresse [email protected]
- SMTP-Ausgangsserver: verschlüsselte Verbindung, Authentifizierung erforderlich mit derselben Identifikation „pnom“ und dem akademischen Passwort
- Das Feld „Antwortadresse“ muss der vollständigen Adresse [email protected] entsprechen, nicht der kurzen Identifikation
Diese Trennung zwischen Anmelde-ID und E-Mail-Adresse ist eine häufige Fehlerquelle. Die vollständige E-Mail-Adresse anstelle der kurzen Identifikation einzugeben, blockiert die Authentifizierung ohne eine explizite Fehlermeldung in bestimmten Clients.
Phishing, das auf die Konten ac-lyon.fr abzielt: Signale und Meldeverfahren
Die Phishing-Kampagnen, die auf akademische Konten abzielen, haben seit 2022 zugenommen. Betrügerische E-Mails ahmen häufig die Benachrichtigungen des Webmail Convergence nach (Quota überschritten, Kontobestätigung, Sicherheitsaktualisierung) und leiten auf eine gefälschte Anmeldeseite weiter.
Technische Signale, auf die man achten sollte:
- Die URL der Anmeldeseite stimmt nicht genau mit webmail.ac-lyon.fr überein (Varianten mit Bindestrichen, ungewöhnliche Subdomains, Domain in .net oder .org)
- Das TLS-Zertifikat der gefälschten Seite fehlt, ist selbstsigniert oder für eine andere Domain ausgestellt
- Die Nachricht enthält ein künstliches Dringlichkeitsgefühl („Ihr Konto wird in 24 Stunden gelöscht“)
- Der Absender verwendet eine Adresse außerhalb der Domain ac-lyon.fr
Das strukturierte Meldeverfahren in der Akademie besteht darin, die verdächtige E-Mail als Anhang (nicht als einfache Weiterleitung) an die spezielle Adresse [email protected] weiterzuleiten. Diese Weiterleitung als Anhang bewahrt die technischen Header der Nachricht, was der Sicherheitszelle ermöglicht, die tatsächliche Quelle zu analysieren.
Trennung von beruflichen und persönlichen Nutzungen in der akademischen E-Mail
Die Akademien bestehen zunehmend auf einer strikten Trennung zwischen beruflicher und persönlicher E-Mail. In der Praxis bedeutet dies, dass die Adresse ac-lyon.fr nicht für die Anmeldung bei Drittanbieterdiensten (soziale Netzwerke, Online-Einkäufe, persönliche Newsletter) verwendet werden sollte.
Jede Anmeldung bei einem externen Dienst setzt die Adresse potenziellen Datenlecks aus. Wenn diese Adresse dieselbe wie die des Webmail Convergence ist, öffnet ein kompromittiertes Passwort auf einer Drittanbieter-Website die Tür zu Credential Stuffing auf dem akademischen Portal. Die Verwendung einer separaten persönlichen Adresse für alle nicht beruflichen Zwecke bleibt die einfachste Maßnahme zur Begrenzung der Angriffsfläche.
Der Webmail Convergence ermöglicht außerdem die Konfiguration von S/MIME (Secure/Multipurpose Internet Mail Extension), um Nachrichten zu signieren und zu verschlüsseln, vorausgesetzt, die Option ist auf der Website aktiviert und der Benutzer verfügt über ein persönliches Zertifikat. Diese Funktionalität ist in der Praxis noch wenig verbreitet, bietet jedoch eine zusätzliche Datenschicht für sensible Kommunikation zwischen den Mitarbeitern der Akademie Lyon.
Die Sicherung des Webmail Convergence beruht nicht auf einem einzelnen Parameter, sondern auf der Verknüpfung von TLS-Serverkonfiguration, Passwort-Hygiene, Phishing-Wachsamkeit und Trennung der Nutzungen. Ein einziger schwacher Punkt in dieser Kette reicht aus, um das gesamte akademische Konto zu gefährden.