Freebox Server (Ultra V9/ Pop V8/ Delta V7 / Revolution V6 / Mini 4K)

Concerne le projet: Freebox Server (Ultra V9/ Pop V8/ Delta V7 / Revolution V6 / Mini 4K)
Ouverte par Wozzeck - 25/10/2019
Dernière modification par Thibaut Freebox - 09/03/2020

Je n’ai jamais à ce jour activé le contrôle distant de la Freebox via HTTPS.... hormis sur le réseau local bien entendu.

Oui... on peut cacher le port en choisissant un port non standard, mais il y a les scanners de port qui balaient en continue les ports, d’autant que l’IP est fixe chez Free, et ajoutons à cela qu’en IPv4, beaucoup d’utilisateurs sont désormais en ports partagés (dû à la raréfaction des adresses IPv4), ce qui donne moins de choix pour se dissimuler.

La raison est très simple.... j’ai toujours trouvé aberrant que l’interface de connexion ne propose qu’un seul champ de saisie, le mot de passe.

Usuellement dans un login il y a un couple nom d’utilisateurs / mot de passe.

Ce couple rend de ce fait les attaques bien plus complexes puisqu’il y a deux champs à deviner.

Là.... les pirates peuvent lancer des attaques très facilement.

Personnellement j’utilise un mot de passe complexe stocké dans une base Keepass, sur la longueur maximum constituée de caractères aléatoires, donc dans tous les cas c’est difficile car il faut passer en attaque en force brute avec un résultat très aléatoire si ce n’est impossible dans des délais raisonnables... mais n’empêche que le simple fait d’ajouter un “login” customisable (donc autre que freebox, admin...) complexifie énormément la tâche.... là l’interface rend les attaques très tentantes pour les hackers.

Mais vous savez tous que je suis une exception. Les utilisateurs définissent en générales des MDP intelligibles assez simples qui les exposent à des attaques par dictionnaire et si on ajoute en plus qu’il n’y a qu’un seul champ à deviner... là c’est le pom pom

Bref.... ça m’a toujours surpris

Ma demande serait très simple : ajouter un second facteur d’authentifcation, en utilisant le kit google_authenticator, opensource, disponible sur toutes les plateformes *nix gratuitement pour générer un sceau d’authentifcation jetable ou TOTP que l’utilisateur pourrait librement générer sur son smartphone via l’appli Google Authenticator disponible sur l’Apple Store et le Google Store pour Android (non dispo pour Windows, mais des applications équivalentes et compatibles Google existent dans le Windows Store.... bien qu’en fait cette solution est à proscrire car par définition le sceau d’authentification doit être généré par un appareil totalement différent de celui utilisé pour se connecter)

La possibilité d’activer cette option resterait optionnelle, s’adressant aux utilisateurs avancés et concernerait avant tout la connexion hors réseau local.

Je dépanne parfois des amis et aimerait pouvoir me connecter à leur box distance de façon “secure”, c’est à dire sans les mettre en danger. Il me suffirait de capturer la clé générée lors du paramatrage du TOTP, pour alimenter mon appli Google Authenticator.

Actuellement je conseille à ces amis de ne surtout pas activer la connexion distante, c’est bien pour cette raison que j’ai placé la sévérité à “critique”, car je trouve la situation actuelle aberrante.... il faudrait a minima un couple Login/MDP et idéalement un second facteur d’authentification... ce qui laisserait à l’utilisateur la possibilité de choisir un mot de passe pas trop complexe donc facile à retenir.