ADSL-BC

par **Captain Jo** » 04 Mars 2006 23:25

Anonymous a écrit :personne n'aura jamais accès à rien et cet article est complètement faux cfr Ripper...

L'erreur est humaine. Ripper est quand même contredit par d'autres qui ont réussi à accéder à la box.

nb - xxx.xxx, ça ne fait pas un million mais 16 bits, 65000 adresses à balayer.

par **jean24** » 04 Mars 2006 23:32

j'ai fait l'essai en prenant une adresse au hasard et effectivement on a acces à l'interface.... Pas très réjouissant! Je me suis contenté de la page d'accueil et j'ai rien touché evidemment!

par **jack5** » 04 Mars 2006 23:33

Vous pensez qu'il faut changer son pass?

par **Captain Jo** » 04 Mars 2006 23:41

jean24 a écrit :j'ai fait l'essai en prenant une adresse au hasard et effectivement on a acces à l'interface.... Pas très réjouissant! Je me suis contenté de la page d'accueil et j'ai rien touché evidemment!

Idem, suite aux confirmations de kaos et BiCE et à la contestation d'invité, j'ai fait un essai.

Ca a pris exactement 10" pour trouver un speedtouch qui répond, et quelques unes de plus pour accéder à la page d'administration.

J'ai quitté directement.

Donc, confirmé, les clients de Tele2 sont exposés à n'importe quel malveillant.

Le journaliste a été bien tuyauté, incroyable que Tele2 n'ait apparemment même pas agi pour faire retarder la publication de cette information.

par **satanas** » 04 Mars 2006 23:42

Si les modems de Télé2 sont des speedtouch, je me rappel sur mon ancien qu'il y avait moyen d'avoir le mot de pass admin en fonction de la mac adress, non?

par **Invité** » 04 Mars 2006 23:46

Jack, oui tu as interet a le changer au plus vite et même a désactiver l'option remote management ou un truc du genre.

Jean24, rien que le fait d'acceder a la page de login, ca laisse une entree dans l'eventlog du router... qu'il est possible d'effacer une fois connecté :wink:

CaptainJo, pour une entreprise qui se veut un tant soit peu credible c'est tout à fait risible !
Mais bon, comme à leur habitude ils vont rejeter la faute sur un autre.
Cette fois-ci je suppose qu'ils vont se retourner sur un sous-traitant (il suffit de lire le mot de passe à l'envers...)

par **Captain Jo** » 04 Mars 2006 23:52

Anonymous a écrit :Mais bon, comme à leur habitude ils vont rejeter la faute sur un autre. Cette fois-ci je suppose qu'ils vont se retourner sur un sous-traitant

Sachant que ce sous-traitant a été absorbé par... Je vois d'ici les romans. Un complot

par **BiCE** » 04 Mars 2006 23:56

CaptainJo,
Ce probleme existait deja avant la reprise de X par Y...
N'empeche... ca ferait un bon scenario de film catastrophe :wink:

par **Captain Jo** » 05 Mars 2006 00:11

BiCE a écrit :Ce probleme existait deja avant la reprise de X par Y...
N'empeche... ca ferait un bon scenario de film catastrophe

Je sais, mais qui dit qu'en réalité les négociations n'ont pas commencé bien avant la reprise et que certains arrangements... etc ? (voir GDF-Suez actuellement, la chronologie réelle des évènements peut être différente de la version servie à la presse)

par **BiCE** » 05 Mars 2006 00:25

CaptainJo,

Je ne crois pas non, vu la facon dont s'est passée l'OPA...
Les negotiations ont demarré tres tard. De plus, la famille Cordier n'etait pas d'accord avec les projets de Didier B ni avec le montant de l'offre initiale.

Mais bon, on s'egare un peu là :wink:

par **fazois** » 05 Mars 2006 00:46

kaos a écrit :Capitain Jo >
exactement tu peux couper la connection internet et tu peux meme faire sonnée le tel de la personne en cliquan simplement sur un des appels
tout les appels entrant et sortant y sont indiquer !!! heures et numero de tel !!

invité> arrete de raconter des betises svp c'est tout a fait sérieux !! inscrit toi au moin pour savoir a qui on parle
car 4 invité ca commence a faire beaucoup ;)

mon but n'est pas de causée des probleme a tele2 mais qu'il reagisse vite et regle ce probleme de sécu !!

Effectivement c'est pour ça qu'un des quatres vient de s'inscrire et je refait ma demande : J'aimerais bien le connaitre ce code car j'ai un modem de télé2 (speedtouch 716) mais je ne suis plus chez eux donc il me reste un modem router qui ne me sert à rien car je ne sais pas y accéder.
Ce serais gentil de me répondre

par **kaos** » 05 Mars 2006 00:48

comme je l'ai dit plus haut je ne veux pas faire de probleme en divulguant les codes, je suis désoler
tu devrai demander ca a tele2

par **BiCE** » 05 Mars 2006 00:52

Je crois surtout que les modos devraient mettre un post-it pour dire aux gens de changer leur mot de passe au plus vite !

par **kaos** » 05 Mars 2006 00:55

c'est delicat , car si il accede au modem il perde leur garantie

tele2 devrai resoudre le probleme au plus vite surtout!!

par **BiCE** » 05 Mars 2006 01:01

ok pour la garantie.
Alors je ne sais pas ce qu'ils attendent pour bloquer à leur niveau le port en question... à moins qu'ils ne sachent pas comment faire :wink:

par **RippeR** » 05 Mars 2006 01:11

'lut,

Je viens de vérifier et en effet, maintenant, on a accès au routeur depuis n'importe quelle IP, ce qui n'était pas le cas auparavant. Probablement que pour permettre au helpdesk de TELE2 d'agir sur les routeurs du rezo VT, ils ont supprimé purement et simplement la restriction par adresses !

Incroyable connerie !

par **Captain Jo** » 05 Mars 2006 01:22

BiCE a écrit :Je crois surtout que les modos devraient mettre un post-it pour dire aux gens de changer leur mot de passe au plus vite !

Je ne m'engagerais pas dans cette voie. Tele 2 est au courant de toute façon... Et en changeant le mot de passe administrateur, tu interférerais avec les actions à distance qu'ils pourraient envisager.

Je sais pas moi, reflasher en réintroduisant le contrôle d'accès par IP, modifier le mot de passe, etc.

par **Calvin80** » 05 Mars 2006 01:31

RippeR a écrit :'lut,

Je viens de vérifier et en effet, maintenant, on a accès au routeur depuis n'importe quelle IP, ce qui n'était pas le cas auparavant. Probablement que pour permettre au helpdesk de TELE2 d'agir sur les routeurs du rezo VT, ils ont supprimé purement et simplement la restriction par adresses !

Incroyable connerie !

C'est une erreur profesionnelle enorme !!!!!
Je vais relire mon contrat, il doit je pense y avoir une clause de confidentialité ..c'est SCANDALEUX !!!

par **DVA** » 05 Mars 2006 02:08

Bonjour à tous,

Je me permets d'intervenir un petit coup puisque, après tout, c'est moi qui ai écrit l'article en question. Cette histoire me troue le cul autant qu'à vous et les conséquences pour Tele2 peuvent être très importantes, j'en suis conscient. Mais je n'aurais pas pris le risque de me griller professionnellement pour le plaisir d'un scoop foireux, je ne suis pas "en manque de copie" à ce point

La seule raison pour laquelle j'ai publié cette dépêche c'est qu'il y a une info: tous les utilisateurs Télé 2 sont visés et la manip à effectuer est à la portée du premier venu. Sans compter que changer de password pour s'en protéger met l'abonné en position de perdre sa garantie, ce qui est encore plus dingue.

Je suis moi-même chez Télé2 et j'ai eu la preuve par A+B que la page d'admin de mon routeur était accessible depuis n'importe quelle IP. Je peux vous dire que j'ai tiré une drôle de gueule quand un pote a fait sonner mon téléphone à distance et qu'il a pu se ballader sur 36 routeurs juste en cliquant des doigts.

J'ai refait la manip devant mes boss au boulot, j'ai recoupé mes sources et demandé une explication à Télé 2. Je me suis bien sûr gardé de filer le password (trouvé ici même) dans mon article, même si je savais que cela ne ferait que retarder sa découverte par le plus grand nombre et augmenter ainsi les risques de couilles... fallait faire un choix.

Un gars du helpdesk de Télé 2 m'a répondu qu'il fallait être un hacker pour y arriver puisqu'il fallait que l'IP depuis laquelle vous accéder au modem soit parmi celles acceptées par Tele 2. Faux: vous en avez maintenant la preuve puisque plusieurs d'entre-vous ont fait le test.

Bref, tout ça pour vous dire que je ne me serais pas permis de balancer ce genre d'info sans avoir fait mon job au préalable. Télé 2 à mon numéro de tel depuis vendredi midi et j'ai annoncé très clairement que j'étais en train d'écrire un article là-dessus. Je ne les ai donc pas piégés, ils savaient à quoi s'en tenir. En fin de journée, aucun manager ne m'avait rappellé pour m'expliquer pq ce truc est possible et ce qu'ils comptaient faire pour faire face à ce problème (qui existe quand même depuis plus d'un mois). Je n'ai évidemment aucune intention de nuire à Tele2 mais c'est mon job de révéler ce genre d'info.

J'ai donc aussi transmis toutes ces infos à la ministre VandenBosche (Protection des consommateurs) et inutile de vous dire que je vais suivre de près l'évolution de ce bidule. Perso, je pense que Tele 2 a vraiment intérêt à passer fissa à une nouvelle version de son firmware, de permettre le changement de password sans perte de garantie et, accessoirement, de booster un coup les connexions de leurs abonnés, si ils veulent rester crédibles en tant que Provider.

PS: je reste anonyme, tout comme la dépêche initiale l'était, par correction vis-à-vis de mon employeur. Mais je suis bien sûr dispo et à l'écoute de vos remarques pour permettre une bonne communication au "grand public" à ce propos. Sans parti pris, juste en ayant en tête que chacun a légalement droit à la confidentialité de ses données.

Tchouss

par **Calvin80** » 05 Mars 2006 02:16

DVA...
je te remercie pour avoir révélé cette info.

En fait, j'en avait parlé le 19 janvier ici:
http://forum.adsl-bc.org/viewtopic.php? ... &start=200

je disais:"
je n'ai pas fait de réglages spécifiques pour l'instant.
Ce que je sais, c'est que mon utilisateur est tjrs là.
Je vais ce soir changer mon essid (car mine de rien, n'importe quel gus peut rentrer sur mon (et votre) modem/routeur vu qu'on a ts le mot de passe..).
Je verrai bien si il sera ré-initialiser."

Mais à l'époque, c'etait "sécurisé", apparemment.
Toujours est-il que maintenant ça ne l'est plus !

Je suis outré par le comportement de télé2.
J'ai repris l'info sur mon blog (http://tele2-adsl.skynetblogs.be/)

Encore une fois, merci pour ton article !

ADSL-BC

Grave problème de confidentialité sur le modem routeur de Tele 2

Qui est en ligne ?