Faille BBOX2... Info ou Intox? (Vendetta)

[Pango]

Il y a quelques semaines 10.000 comptes hotmail/gmail/yahoo on été publiés de la même manière, tous ont été récoltés par phishing et quand on apprends que le mot de passe le plus courant utilisé dans cette liste est ... 123456 on se pose quand même la question de la responsabilisation de l'utilisateur face à la sécurité sur Internet.

Tout ce qu'on a apprit jusqu'à présent, c'est que le sondage effectué sur un panel de 30 utilisateurs de bbox2, aucun n'utilise comme mot de passe 123456.

Merci msieur Vendetta

[TC]

Tout ce qu'on a apprit jusqu'à présent, c'est que le sondage effectué sur un panel de 30 utilisateurs de bbox2, aucun n'utilise comme mot de passe 123456.

Merci msieur Vendetta

Oui mais il y en a quand même 2 qui ont le même mot de passe (et pas un facile). Drole de coincidence

[nidget]

1) Belgacom est un fournisseur de services et n'est en aucun cas un fabriquant de modem (=> Philips, Sagem, etc...) ... c'est au constructeur à fournir un correctif qui sera alors déployé.

Dans la mesure où le firmware est propriétaire à Belgacom, par opposition à un firmware générique, et que l'update - ou non - se fera par Belgacom, votre responsabilité est clairement engagée.

Assez d'accord avec ceci. Si des personnes décident de faire confiance à BGC en utilisant leur matériel, BGC doit fournir des garanties de qualité en échange, notament en matière de sécurité. Ce serait un peu simple de rejetter la faute sur ses fournisseurs, sans assurer une certaine forme de garantie en tant que revendeur ou prestataire de services lié à ce matériel. En fournissant un modem, appareil nécessaire à l'accès aux services du réseau, BGC engage sa responsabilité en matière de sécurité sur tout le segment de réseau rendu accessible par ce matériel (donc, depuis ses serveurs jusqu'à la carte réseau du PC de l'utilisateur, et aussi dans le sens contraire).

[RippeR]

Le fait que le firmware date de 2007 ne compte pas? Pas d'évolution technologique chez Belgacom et ses fournisseurs?

Non, un firmware est en cours de réalisation pour corriger entre autres un bug VoIP. On ne sort pas un firmware de modem router tous les 3 ou 6 mois sans nécessité. Regarde de quand date les firmwares des divers thomson par exemple.

[roger2010us]

Le fait que le firmware date de 2007 ne compte pas? Pas d'évolution technologique chez Belgacom et ses fournisseurs?

Non, un firmware est en cours de réalisation pour corriger entre autres un bug VoIP. On ne sort pas un firmware de modem router tous les 3 ou 6 mois sans nécessité

Evidemment que non mais je pensais que si on mettait actuellement sur le réseau un Windows de 2007 il survivrait pas longtemps celui-là

[TC]

Le fait que le firmware date de 2007 ne compte pas? Pas d'évolution technologique chez Belgacom et ses fournisseurs?

Non, un firmware est en cours de réalisation pour corriger entre autres un bug VoIP. On ne sort pas un firmware de modem router tous les 3 ou 6 mois sans nécessité

Evidemment que non mais je pensais que si on mettait actuellement sur le réseau un Windows de 2007 il survivrait pas longtemps celui-là

C'est pas vraiment comparable... Inversément, je pourrais te dire que le programme des distributeurs de billets a plus de 20 ans... c'est pas pour ca qu'il est plus vulnérable qu'il y a 20 ans.

[Kira]

C'est marrant, parce que dans le JT, la police utilisait windows vista

[Calvin80]

C'est marrant, parce que dans le JT, la police utilisait windows vista

hum..ne t'etonne pas d'atteindre ton quota....

[Kira]

C'est marrant, parce que dans le JT, la police utilisait windows vista

hum..ne t'etonne pas d'atteindre ton quota....

Je vois pas le rapport?

[six-p4ck]

Lacher 30 login bgc c'est du touche pipi. (je dois en avoir une 10aine qui traine qqpart a force de devoir depanner)

- n'importe quel revendeur IT qui voit passez des PC chez lui les a en 1 semaine
- se balader avec son portable a la recherche de wifi open
etc

Par contre si il en lache 1000 c'est qu'il a un script qui balaye les IP BGC et exploit BBOX2.

Je crois pas trop qu'il a hacker une DB skynet.


Reste que toute facon BGC peut relier le login avec la ligne téléphonique --> plus possible d'utiliser un autre login que le sien sur sa ligne (d'autre provider le font). Reste le problème pour les email & co quand meme.

Bref bcp de bruit pour rien.

[nidget]

Oui mais il y en a quand même 2 qui ont le même mot de passe (et pas un facile). Drole de coincidence

Mr Vendetta doit pas être doué pour le copy/paste

[Scheduler]

1) Belgacom est un fournisseur de services et n'est en aucun cas un fabriquant de modem (=> Philips, Sagem, etc...) ... c'est au constructeur à fournir un correctif qui sera alors déployé.

Dans la mesure où le firmware est propriétaire à Belgacom, par opposition à un firmware générique, et que l'update - ou non - se fera par Belgacom, votre responsabilité est clairement engagée.

Comme je le disait plus haut, c'est Belgacom qui force, avec l'aide de l'IBPT, l'utilisation d'un seul type de modem. Vous êtes en charge de la sécurité. Vous savez donc qu'un des moyens de limiter l'exploitation des failles de sécurité, c'est d'avoir une hétérogénéité au niveau de la plate-forme.

Rendez-nous le contrôle de nos modems. Le code du firmware basé Linux est en GPL et disponible sur demande chez votre prestataire. On pourra alors non seulement assurer une hétérogénéité mais de plus l'adapter à nos besoins: dynDNS, IPv6, etc. Merci.

D'ailleurs je serais curieux de voir ce que pense la gpl violation, concernant le firmware de bgc.
Si il utilise du code sous GPL, ils sont obligés de redistribuer les sources.

http://gpl-violations.org/

[Eclair]

La fin du message , si elle est bien décomposée propose plusieurs pistes concernant l'identité de Vendetta. Malheureusement, elle sont à mon avis trop évidentes pour être authentiques. Qu'en dites-vous ?

Change, does not roll in, on the wheels of inevitability. But comes through continuous struggle.

(Citation de Martin Luther King)

Freedom is never voluntarily given by the oppressor. It must be demanded by the oppressed.

(Autre citation de Martin Luther King)

Take it. Demand it.

We are Anonymous. We are Legion. We do not Forgive. We do not Forget. This is only the beginning.

Expect us.

(Extrait du message envoyé par un certain « Anonymous », qui lutte contre la scientologie.
Ils luttaient notamment en « hackant » en DDOS,
en début 2008)


------------
John Connor: We got Skynet by the balls now, don't we?"

(Déjà dit plus haut, il s'agit d'une réplique de Terminator 2 : Judgment Day, qui est justement le sujet du message posté par Vendetta.

[servperso]

Oui mais il y en a quand même 2 qui ont le même mot de passe (et pas un facile). Drole de coincidence

Mr Vendetta doit pas être doué pour le copy/paste

Ou il sagit de logins adsl de personnes qu'il dépanne et il à atribué le même pass à tous.
Dans se cas, ca voudrai dire qu'il n'est pas crédible du tout.
Il est facile de cliquer sur enregistrer le mots de pass quand on configure la ligne d'un client depuis son propre pc portable.
Et puis au lieu d'aller chez bgc, il avais qu'a aller chez dommel (visiblement il connais )
Personnellement, je n'ai jamais été client belgacom ADSL et je le serai uniquement si une offre m'intéresse?
Quand on signe, on lit les contrats et on lit les spécificités de l'offre choisie.
C'est bien moins risqué

Peut-être un de ses ado frustré vivant dans son monde qui voulais qu'on parle de lui. (entre le no-life et le geek)

[ccol]

D'ailleurs je serais curieux de voir ce que pense la gpl violation, concernant le firmware de bgc.
Si il utilise du code sous GPL, ils sont obligés de redistribuer les sources.

Tiens, la GPL a été modifiée et on ne m'a rien dit ?

[Scheduler]

D'ailleurs je serais curieux de voir ce que pense la gpl violation, concernant le firmware de bgc.
Si il utilise du code sous GPL, ils sont obligés de redistribuer les sources.

http://gpl-violations.org/

Tiens, la GPL a été modifiée et on ne m'a rien dit ?

???

[ccol]

Montre-moi l'article de la GPL qui oblige quelqu'un à fournir les sources d'une application GPL utilisée dans un appareillage.
La GPL parle de "redistribution", pas d'"utilisation".
Du reste, rien ne dit que le firmware du déco est sous GPL ni même que le code a été modifié ...
Paramétrage ou définitions de variables, activation -ou non- de telle ou telle fonctionnalité, c'est simplement l'utilisation normale d'une application. Cela ne veut pas dire pour autant que le code a été modifié ...

Je sais, je joue l'avocat du diable mais quand il s'agit de textes contractuels comme une licence, il faut être extrêmement précis !

[BKS]

D'ailleurs je serais curieux de voir ce que pense la gpl violation, concernant le firmware de bgc.
Si il utilise du code sous GPL, ils sont obligés de redistribuer les sources.

Pas s'ils sont propriétaires de la box.

[roger2010us]

Montre-moi l'article de la GPL qui oblige quelqu'un à fournir les sources d'une application GPL utilisée dans un appareillage.

Lu sur le site GPL Violation au sujet d'un PC Medion vendu chez ALDI:

The notebooks come pre-installed with the "Cyberlink PowerCinema Linux" software, a custom-tailored mini Linux-Distrubution bundled together with a proprietary media player application from Cyberlink Corp.

However, the product ships without any reference to the GNU GPL, does not include the full corresponding source code and no written offer where the source code can be obtained.

[maximus7110]

GG a vendetta il tien belgacom par les COU**** xD