Grave problème de confidentialité sur le modem routeur de Tele 2

[supervan]

Je ne peux que me poiler en voyant toutes ces réactions sur les forums.

Cher T2-Guest,
m'autorise tu à repondre ton post sur mon blog?
merci

C'est pas à lui que tu dois demander mais à un admin d'adsl-bc il me semble

[Captain Jo]

Mais rassurez-vous, le problème était connu. Malheur, crieraient certains, ils le savent depuis longtemps et n'ont rien fait! Réfléchissez, et trouvez un moyen efficace de mettre à jour des milliers de Box sans faire crasher le réseau...

J'ai fait un petit calcul. Etalé de la date de la faille à aujourd'hui, et en supposant 65536 mises à jour nécessaires, ça fait en moyenne une boîte mise à jour par minute. Putain, quel réseau

Et le reste, monsieur, ça n'est qu'un ramassis de conneries du même acabit. Vous auriez au moins pu signer sous votre vrai nom. Peur de passer à la postérité ?

[Calvin80]

Mais rassurez-vous, le problème était connu. Malheur, crieraient certains, ils le savent depuis longtemps et n'ont rien fait! Réfléchissez, et trouvez un moyen efficace de mettre à jour des milliers de Box sans faire crasher le réseau...

J'ai fait un petit calcul. Etalé de la date de la faille à aujourd'hui, et en supposant 65536 mises à jour nécessaires, ça fait en moyenne une boîte mise à jour par minute. Putain, quel réseau

Et le reste, monsieur, ça n'est qu'un ramassis de conneries du même acabit. Vous auriez au moins pu signer sous votre vrai nom. Peur de passer à la postérité ?

tout à fait raison Captain..
c'est du grand n'importe quoi... mais c'est quand meme bien désolant qu'un gars de chez télé2 (si il fait vraiment partie de télé2) viennent sur un forum, de lui meme, et racontent de telle conneries.
Ca fait peur quant à la qualité de télé2
moi ça me désole... je sais pas si je dois en rire ou en pleurer.

[Invité]

T2-guest à écrit:

"9) Alors réfléchissez bien. Nous sommes en face d'un nouveau produit, qui a besoin de faire ses maladies de jeunesse..."

C'est pour éviter ces "maladies de jeunesse", que les providers sérieux font à l'heure actuelle des tests avant de lancer un produit avec des utilisateurs consentants et qui ne payent pas évidemment (ce qu'a fait BGC avec BelgacomTV par exemple, et je crois même qu'ils sont en train de tester une offre de Voip...). Une sorte de version Beta avant le lancement officiel!
Et puis comme à dit Aurélie je crois, on s'en fous de vos excuses, nous on paie alors on veut notre service!!! J'aimerais voir le service facturation si je leur disais que je viens de commencer à travailler alors je fais mes maladies de jeunesse concernant ma gestion de budget... je vous payerai mais pas en totalité et dans quelques mois!!!
Moi en moyenne j'ai un débit de 250Kbits et un téléphone que je peux a peine utiliser... Si je fais une rapide regle de trois... je devrais payer 250X39.9/4000=2€50... C'est ce qui s'appelle un service à 2 balles, non....?

[Calvin80]

T2-guest à écrit:

"9) Alors réfléchissez bien. Nous sommes en face d'un nouveau produit, qui a besoin de faire ses maladies de jeunesse..."

C'est pour éviter ces "maladies de jeunesse", que les providers sérieux font à l'heure actuelle des tests avant de lancer un produit avec des utilisateurs consentants et qui ne payent pas évidemment

lol !
vous avez reçu une facture de jeunesse vous (qui devrait correspondre à un produit "de jeunesse" non ) ?
moi non..

[Invité]

Pour ma part, je trouve l'intervention de T2-Guest assez pertinente. Et visiblement, cet invité mystère doit être bien placé chez Télé2.

Ce qui serait très très intéressant, c'est que Télé2 donne officiellement et sur leur site, des telles informations. Une rubrique sous forme de FAQ (Questions/réponses) concernant les problèmes connus par quasiment tous les clients de Télé2 All In (mais pas (re)connus par la direction de Télé2).

De cette façon, Télé2 ferait preuve:
? d'une certaine humilité en reconnaissant le(s) problème(s);
? d'un certain respect envers les clients en communiquant!

Et tout cela serait bien plus positif pour Télé2 que de s'enfouir la tête dans le sable! A l'heure où tout le monde essaie d'afficher une certaine transparence, Télé2 a décidé de jouer la carte de l'opacité la plus complète!
Voici un proverbe que la maman du boss de Télé2 n'a jamais du lui apprendre: "Faute avouée, à moitié pardonnée!".
Cher Monsieur Dallemagne, vous devez certainement être relativement riche, financièrement parlant, mais visiblement très pauvre, humainement parlant. Car on ne peut vous juger diffèrement, vu la manière dont vous traiter vos clients.

[Invité]

Zut, oublié de me connecter! C'était moi, juste au dessus.

[Invité]

Zut, oublié de me connecter! C'était moi, juste au dessus.

Zut, cela déconne. Les deux posts précédents sont d'Avenger!

[vax]

En lisant T2-Guest, on comprend qu'il n'y a qu'une seule manière de gérer correctement un parc complet de modems : mettre un grosse faille!

Si Belgacom fait bien son trvail, il doit aussi mettre une grosse faille dans tous ses modems et ses STB pour Belgacom TV alors... Si ce n'est pas le cas, ils devraient y penser!

Mobistar aussi avec sa box...

N'importe quoi

[Jean-Christophe]

T2 > Un mot de passe variable sur base de la MAC adresse WAN des box, c'est envisageable, transparent pour le helpdesk et la clé peut même être rendue publique pour autant que votre réseau soit un tout petit peu élaboré.

Ca demande évidement de réfléchir.
Si ca vous dit, je peux vous le faire, moi, le processus de création de mot de passe.

[satanas]

et puis simplement bloquer le port HTTP, HTTPS, FTP, TELNET pour tous les clients, comme le fait Belgacom et Scarlet pour le port 25, sauf pour une range d'adresse correspondant au helpdesk et personnes autorisés... fanchement ca devrait pas être bien compliqué non?

Allez un peu de jujotte... non mais..

[Gust]

Je ne peux que me poiler en voyant toutes ces réactions sur les forums.
Avant de vous servir du droit d'information comme arme (comme c'est dit, c'est un droit...) il faudrait peut-être savoir d'où vient réellement le problème....

J'espère que vous avez tellement ri que vous vous êtes poiler dessus.
Plus sérieux
d'où vient le prob : de Tele2 qui a mis sur le marché un produit qu'il ne maîtrisait pas entièrement.

1) La première faute appartient au brillant utilisateur de ce forum qui a mis les codes d'accès du ST 716 en ligne. Je trouve ça lamentable... A-t'il seulement réfléchi aux conséquences? Non.

Il n'avait pas à y penser, il a sans doute voulu rendre service aux nombreux utilisateurs qui se faisaient envoyer sur les roses ou assimilé par les hotliners complètement débordés suite à l'incompétence de leurs responsables

2) Certes, il y a des codes d'accès pour la Box. Raison? une technologie VoIP, paramétrée automatiquement par un serveur qui attribue un profil à cette boî-boîte pour vous permettre l'accès aux services téléphonie. 10% des utilisateurs ADSL sont des "pratiquants" de l'informatique, ce qui nous fait 90% de clients qui ne savent même pas touver leur passerelle par défaut. Restreindre l'accès à ce modem évite des utilisations foireuses de l'interface. Imaginez si tous les clients se mettent à trifouiller dans le modem et changent leur CLI et son mot de passe... Autant de coups de tel à la hotline pour dire qu'ils n'ont plus de téléphone...

Si la direction de Tele2 savait, ce dont je doute fortement, que ce produit allait s'adresser à 90% d'ignares en la matière elle devait agir autrement c'est-à-dire PREVOIR (c'est une des bases du management) .

3) La seconde faute, au "brillant" hotliner qui a divulgué une information confidentielle, brisant de ce fait les clauses de confidentialité qu'il a signé (non non, pas de son sang, malheureusement ^^). Il est aussi poursuivable en justice que les charmants hackers en herbe qui ont testé l'accès à la Box de chez eux. Soit il est déjà parti de la société, soit il sera jeté à la porte avec un magistral coup de pied au cul et un procès dans le fion par dessus le marché...

Ce serait vraiment dégueulasse que la dir. de tele2 jette (celui qui parle comme cela n'a vraiment aucune considération pour le petit personnel) cette personne qui à mon sens, lui aussi, n'a voulu qu'aider les clients qui n'avaient plus à attendre de nombreux jours pour que des ports soient ouverts. Clients qui devaient attendre et payer cher suite, une fois de plus, à l'incompétence des différents responsables (manque de personnel, tarif prohibitif

4) Les gentils internautes qui ont tenté d'accéder à la Box d'un pauvre client lambda et qui ont laissé une légère trace de leur passage s'exposent aussi à de graves sanctions pénales. Leur adresse ip est logguée dans le modem, et je peux vous assurer que je l'ai vu en essayant de voir ce qui n'allait pas chez un client. Ca se voit comme le nez au milieu de la figure. Que pensez-vous d'un petit mail à abuse @isp.be? Ils se feraient une joie de sanctionner le pauvre hacker... Bien-sûr, intelligents commes vous êtes, vous avez sûrement effacé le log du routeur dans lequel vous avez pénétré. Quelle violation de la propriété privée d'autrui! Ca sent bon les années de prison...

Ok bien fait ça leur fera les pieds

5) Ah, TELE2 a mis les mêmes codes d'accès sur les Box... Vous êtes vous déjà amusé à gérer des milliers de modems connectés à un réseau? Avec autant de codes différents? Avec autant de problèmes techniques possibles? Comment accéder à la configuration des modems, si nous ne connaissons pas les login/mot de passe pour y accéder?
"Excusez-moi monsieur, je ne peux pas vous aider, vous devez attendre que votre Box se mette à jour toute seule (c'est à dire bientôt, vu que c'est aléatoire et dépendant d'un reset), pendant ce temps là vous n'avez pas de téléphone, pas d'internet, vous êtes... coupé du monde!!!"
Eh oui, pour pouvoir contrôler le bon fonctionnement de nos modems, la Box peut télécharger le profil du client pour reconfigurer automatiquement l'engin et mettre le bon firmware.
Mais moi je télécharge sur eMule! J'ai besoin de mon port XXXX ouvert!
Le téléchargement d'oeuvres copiées ou piratées est puni par la loi. Pirates! Votre port sera refermé au prochain update du firmware.

Le téléchargement d'oeuvres copiées ou piratées est puni par la loi. OK, mais cela ne vous regarde pas. De plus on peut se servir de par ex. emule pour télécharger des fichiers ou autres non protégés par un copyright.
Si à l'avenir on ne peut plus ouvrir de port pour télécharger ou pour jouer), j'annule mon contrat et demande des dédommagements à Tele2.

6) Vous vous plaignez que vous n'avez pas accès à votre Box? Cf. point 2.
Toutefois, le nécessaire va être fait pour donner plus de liberté aux clients qui veulent faire des petits bidouillages dans leur Box qu'on leur a "forcé" d'acheter. En passant, elle coûte, si je me trompe pas, le double de son prix dans le commerce. Bien-sûr, vous pensez bien que l'accès à celle-ci sera contrôlé, pour éviter qu'un maladroit foute le boxon et ne sache plus passer de coup de fil... Deux choix s'offrent à vous: plein accès, et démerdez vous pour ratrapper une éventuelle erreur de config, si vous n'y arrivez pas: un technicien à vos frais viendrait réparer votre bourde. Accès limité, et nous vous garantissons de vous aider immédiatement si vous avez le moindre problème, et ce à distance, en un temps record, et sur un numéro local! Quel bonheur...

En passant, elle coûte, si je me trompe pas, le double de son prix dans le commerce Merci Tele2, mais ça compense la mauvaise qualité des services et de toutes façons on aurait dû l'avoir pour rien puisqu'elle ne nous appartient pas vraiment.

7) Maintenant, il existe des moyens pour contourner les sécurités de la Box. Loin de moi l'ombre du début d'une idée pour vous aider à forwarder vos ports sans rentrer dans le modem, ou expliquer comment fonctionne le portforwarding de cette belle planche de surf électronique. D'autres l'ont déjà si brillament expliqué sur le forum... (Pirates bis) C'est toujours plaisant de vouloir vérifier la config d'un 716 et de tomber sur l'interface d'un... 510! Ca facilite grandement les choses, et l'appel surtout, vu que l'on ne peut pas vérifier les paramètres de la Box...

Il fallait prévoir, mais chez Tele2 prévoir, communiquer, informer = connaît pas ou mal

8 ) Merci beaucoup au charmant journaliste qui a effrayé la population entière des utilisateurs TELE2 All-In. Grâce à lui, nous mettons deux fois plus de temps à répondre aux clients qui ont des gros problèmes, puisque beaucoup de personnes ont peur pour leur sécurité. N'ai-je pas parlé de sécurité et d'intrusion plus haut? Leur peur est légitime, mais malheureusement, fondée grâce à ces troublions cités aussi plus haut... Merci monsieur le journaliste, merci de cette pub, nous allons pouvoir répondre et préparer notre contre-attaque et mieux servir nos clients. Mais rassurez-vous, le problème était connu. Malheur, crieraient certains, ils le savent depuis longtemps et n'ont rien fait! Réfléchissez, et trouvez un moyen efficace de mettre à jour des milliers de Box sans faire crasher le réseau... Vous n'imaginez pas ce que cela peut être comme travail.
Mais ça, le client de base s'en tape. C'est pourquoi nous réfléchissons à une solution plus rapide, moins contraignante. Vous n'imaginez pas les rouages que cela entraîne, les structures qui sont mises en place derrière votre Box toute neuve.

C'était du réchauffé, les info avaient déjà été signalée début fev sur ispmonitor et userbase. Suite à cet article j'ai posé, le 9/02 la q? à Tele2, réponse : Dans le courant du mois de mars, le firmware sera mis à jour. Vous aurez ainsi la possibilité de modifier votre configuration.
J'insiste et demande ce que l'on peut faire en attendant, réponse: j'attends toujours

9) Alors réfléchissez bien. Nous sommes en face d'un nouveau produit, qui a besoin de faire ses maladies de jeunesse. Vous vous souvenez du lancement de Skynet? Certains sont peut-être trop jeunes pour s'en souvenir... Nous n'avons pas la prétention de nous comparer à ce géant, mais tout début comporte des erreurs. Et nous nous employons ardemment à les corriger. N'oubliez jamais, vous n'avez aucune notion de ce qui se trouve au bout de votre ligne téléphonique. Nous ne sommes ni magiciens, ni des dieux, ni des arnaqueurs. Nous essayons de faire en sorte que ça marche, c'est déjà ça. Maintenant, si cela ne vous suffit pas, vous êtes maîtres de votre destin...
Patience et longueur de temps font mieux que force et courage a dit quelqu'un. Ne vous en faites pas, nous ne vous ferons pas patienter une éternité.
Parce que l'éternité c'est long, surtout vers la fin...

Il fallait informer sa clientèle que le produit était expérimental, et surtout ne pas faire payer le prix plein. On sert de cobaye et on paye !

PS: Le but de ce post est de vous faire saisir quelques petites choses, et non de vous enfoncer/offenser. Aucune attaque ne doit être prise personnellement, mais il faut que vous compreniez certaines choses.

Ha Ha Ha(brillant utilisateur, clients qui ne savent même pas touver leur passerelle par défaut, "brillant" hotliner etc ...)

[_Devilmad]

Je pense qu'il faudrait garder la raison et ne pas s'envenimer.

Le post de T2 Guest est pertinent et croyez moi il faut en retirer le positif.
Pour la suite , des modifications interviendront et nous vous demandons à tous de la patience. Comme dit T2 Guest on ne peut pas être parfait même si le service est payant. Nous savons bien que le client est roi et qu'il a le droit d'exiger. Mais un tout petit peu d'indulgence et croyez moi, dans un avenir très proche vous ne serez pas déçus.

Quoi qu'il en soit. Le problème de BOX suivant le communiqué de l'agence Belga est évidemment un coup des médias car le problème n'est qu'une tempête dans un verre d'eau. En réalité vu que le port forwarding n'est pas activé, le port 80 = le port 80 etc... le NAT c'est pour bientôt, et le reste aussi.

Pouvons-nous clore ce chapitre?
Merci à vous et excellente journée
Devilmad

[Invité]

et puis simplement bloquer le port HTTP, HTTPS, FTP, TELNET pour tous les clients, comme le fait Belgacom et Scarlet pour le port 25, sauf pour une range d'adresse correspondant au helpdesk et personnes autorisés... fanchement ca devrait pas être bien compliqué non?

Allez un peu de jujotte... non mais..

Beh oui, c'est on ne peut plus simple, rapide et efficace comme solution (même temporaire)
Mais vu le niveau de sécurité avec lequel ils travaillent, je me demande s'ils savent ce qu'est un firewall...

[Gust]

Je pense qu'il faudrait garder la raison et ne pas s'envenimer.

Le post de T2 Guest est pertinent et croyez moi il faut en retirer le positif.
Pour la suite , des modifications interviendront et nous vous demandons à tous de la patience. Comme dit T2 Guest on ne peut pas être parfait même si le service est payant. Nous savons bien que le client est roi et qu'il a le droit d'exiger. Mais un tout petit peu d'indulgence et croyez moi, dans un avenir très proche vous ne serez pas déçus.

Quoi qu'il en soit. Le problème de BOX suivant le communiqué de l'agence Belga est évidemment un coup des médias car le problème n'est qu'une tempête dans un verre d'eau. En réalité vu que le port forwarding n'est pas activé, le port 80 = le port 80 etc... le NAT c'est pour bientôt, et le reste aussi.
Pouvons-nous clore ce chapitre?
Merci à vous et excellente journée
Devilmad

Il est aussi impertinent.
Tele2 nous prend pour des cobayes, nous fait payer le prix max pour des services min. , on devait payer le prix fort pour ouvrir des ports, pas de communications officielles, leurs publicités plus que tapageuse ne parle pas de nombreux inconvénients etc...

Tele2 dédommage, arrête sa pub mensongère ou dit la vérité et informe via son site et peut être ....

[Invité]

Je trouve ça grave de menacer les clients qui ont voulu verifier la sécurité de leur Box (en accédant et en ne visitant seulement la page de menu d'une box, je ne parle en aucun cas des fouteurs de merde qui modifiraient les parametres). Si T2 ne fait pas de déclarations officielles, comment faire si ce n'est, vérifier par soi même...


Autre point, souvent on dit que si un utilisateur accède à la configuration de sa Box, la garantie n'est plus valable... Mois personnellement je ne vois rien dans les conditions générales qui interdise l'accès à la configuration de la box et encore moins d'une garantie qui saute.

[Invité]

Au momment que j'ai pris télé2 allin, je n'ai signé aucun document c'est à dire contrat du produit, condition général, donc si je veux partir, pas de préavi à donner. Juridiquement c'est des documents signés par les deux partis qui comptent et pas des commandes prisent par téléphonne.

[RippeR]

Quoi qu'il en soit. Le problème de BOX suivant le communiqué de l'agence Belga est évidemment un coup des médias car le problème n'est qu'une tempête dans un verre d'eau. En réalité vu que le port forwarding n'est pas activé, le port 80 = le port 80 etc... le NAT c'est pour bientôt, et le reste aussi.

C'est TRES loin d'être une tempête dans un verre d'eau !

Ça me prendrait environ 10 minutes pour faire un script et le balancer sur le rezo VT de façon à modifier le mot de passe pour interdire l'accès au helpdesk, désactiver la téléphonie sur tous les routeurs, etc...

A peine plus longtemps pour faire un script installant un serveur FTP ou SMTP sur tous les postes et/ou me confectionner une armée de PC zombies pour faire DDoS costaud malgré la faible BP de T2

Et bien sûr, sans possibilité de traçage en passant par un bon proxy anonyme d'un pays exotique....

A mon sens c'est un manque avéré de professionnalisme et/ou de compétence technique très grave.

Il est très simple (sauf pour les informaticiens de VT apparemment) de restreindre l'accès à distance de la BOX à certaines IP, par exemple l'IP de VT helpdesk et l'IP de T2 Helpdesk. Les identifiants identiques pour tous les utilisateurs n'est pas un problème de sécurité majeur à condition de restreindre l'accès distant à 2 ou 3 IP. Il semble que devant l'insistance du Helpdesk T2 pour avoir accès à la BOX dans le désir louable d'aider les abonnés, par manque de compétence technique VT ait eu l'idée lumineuse d'ouvrir les routeurs en libre service plutôt que de pondre un script archi-simple acceptant en plus de la leur celle du Sv Tech de T2.

Perso, même si je réprouve la divulgation des identifiants du hotliner, ce ne serait pas lui que je virerais en premier mais les IT de Versatel pour faute grave.

Marrant aussi que pour avoir un accès LOCAL au routeur, on passe par du HTTPS alors que pour l'accès distant on passe par du HTTP....

Il sera donc très aisé si le HTTP est maintenu pour de petits futés de capturer les trames en provenance de **** pour avoir à disposition les nouveaux identifiants.

[Invité]

6) Vous vous plaignez que vous n'avez pas accès à votre Box? Cf. point 2.
Toutefois, le nécessaire va être fait pour donner plus de liberté aux clients qui veulent faire des petits bidouillages dans leur Box qu'on leur a "forcé" d'acheter. En passant, elle coûte, si je me trompe pas, le double de son prix dans le commerce. cal! Quel bonheur...

Pub de TELE2 :

La TELE2-Box est à vous pour seulement € 79,90 au lieu de € 110 (prix généralement constaté)

Comme pour d'autres choses vous vous trompez.

est à vous : si elle est à moi je fais je que j'en veut, y compris la bidouiller.

[Invité]

Si T2-Guest est un client de Tele2 de quoi il se mêle, et si c'est un responsable de Tele2 il faut le faire jeter