sujet Re: La Livebox est mentionné comme non sécurisé, est-ce normal ? dans Livebox

La Livebox est mentionné comme non sécurisé, est-ce normal ?

LIVEBOXAJ — Thu, 17 Feb 2022 09:35:56 GMT

Bonjour,
Lors de mon accès à 192.168.1.1 le navigateur utilisé Edge Windows 10, signale la mention " Non sécurisé " , est-ce normal ?
Pourtant Orange propose bien des antivirus en vente à 5€ mensuel (sauf erreur de lecture de ma part).
Merci à toute bonne volonté.

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

Daniel35 — Thu, 17 Feb 2022 09:42:46 GMT

Bonjour @LIVEBOXAJ

Excès de zèle de Edge. Problème de cohérence avec le certificat de la livebox.

Ça reste de la connexion locale. Aucun risque.

Rien à voir avec un antivirus.

Et celui de microsoft windows 10 est performant et gratuit pour un usage "normal" d'internet.

Cordialement
Daniel35
.

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

Eric_Le_Grompf — Thu, 17 Feb 2022 10:09:06 GMT

Bonjour,

C'est simplement que vous passez par http://192.168.1.1/ qui n'est pas sécurisé.

Et pas en https://192.168.1.1 qui l'est.

La mode de l'https://... est venue après la creation de la livebox 2 (obsolete de nos jours...) donc vous le verrez systématiquement (pif métriquement vous avez un LB2 blanche non ?).

Votre logiciel considérant par défaut que vous vous baladez sur internet vous signale que ce que vous lisez peut être vu par quelqu'un qui a un accès au réseau. c'est tout. Comme c'est votre propre réseau domestique : pas de problème ici.

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

LIVEBOXAJ — Thu, 17 Feb 2022 10:45:54 GMT

Je viens d'avoir une autre réponse du navigateur qui dit le contraire
image

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

Daniel35 — Thu, 17 Feb 2022 11:26:29 GMT

Hello @Eric_Le_Grompf

@LIVEBOXAJ

La page écran de @LIVEBOXAJ = livebox 3 play.

L'indication "non sécurisé" à gauche de l'adresse est présente quelque soit le navigateur (sous forme différente) avec connexion http://192.168.1.1 ou http://livebox

Si on passe par https://...etc c'est "pire" : avertissement de sécurité qu'il faut outrepasser pour accéder à l'interface. Comme vient de le préciser aussi @LIVEBOXAJ

Le sujet a déjà été évoqué plusieurs fois par ici. Problème de certificat / livebox.

Je confesse quelques lacunes pour approfondir le sujet. Si @PhilDur passe par ici il pourra en dire plus.!

Mais comme on l'a dit, ça reste de la connexion locale. Aucun risque.

Pour la petite histoire, si on veut accéder à distance à sa livebox, on n'a pas le choix https://URL_définie_lors_paramétrage... Et on ne coupe pas d'outrepasser le message d'avertissement.

Un mini risque dans ce cas.

Aucun en local...!

Cordialement
Daniel35
.

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

LIVEBOXAJ — Thu, 17 Feb 2022 11:37:57 GMT

Est-ce que ce n'est pas plutôt du chiffrement, cryptage (puisque certificat valide manquant) des données traversant la livebox que de virus (qui aussi le mérite) ?

Il a un domaine contrôleur le routeur, puisque la réinitialisation ne supprime pas les paramètres ni le mot de passe personnalisé (qui est considéré local faussement).

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

Daniel35 — Thu, 17 Feb 2022 11:18:36 GMT

Re @LIVEBOXAJ

Comme déjà dit: les virus n'ont strictement rien à voir dans l'affaire.

Par contre, le certificat de la livebox n'étant pas accepté par ton navigateur, les échanges entre les 2 ne seront pas cryptées et circuleront en clair.... entre ton PC et la livebox : où est alors le risque.?!.

Pas la peine de te cailler les sangs.!

Cordialement
Daniel35
.

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

PhilDur — Thu, 17 Feb 2022 11:20:02 GMT

@LIVEBOXAJ a écrit :

Je viens d'avoir une autre réponse du navigateur qui dit le contraire

Le serveur interne de la Livebox ne possède pas de certificat SSL, certifié par une Autorité de Certification reconnue. Le certificat est généré par la box elle-même sans passer par un organisme de certification.

Si tu passes en SSL, le navigateur, qui ne sait pas à qui tu te connectes voit une connexion certifiée par un tiers de confiance inconnu.

C'est pour cela qu'il signale que l'autorité de certification n'est pas connue.

ERR_Cert_Authority_Invalid : soit Erreur autorité Invalide.

Il a fait son boulot.

Il ne peut pas savoir, ton navigateur, que tu utilises un serveur qui est chez toi.

Quand tu es chez toi, et que tu vois cette signalisation d'erreur, vérifie que l'adresse présentée dans la barre d'URL est bien une adresse de ton réseau local, si oui, tu es en face d'une signalisation, certes techniquement pertinente, mais que tu peux ignorer.

Pour éviter cette signalisation accède à ta box en mode http.

Utilise l'URL http://Livebox

Pourquoi utiliser SSL avec une machine qui n'est pas dotée d'un vrai certificat SSL ?

Le http n'est pas dangereux en local !

C'est à Orange de traiter ce problème.

En local ce n'est pas vraiment un problème. Ça le devient lors des accès à distance.

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

LIVEBOXAJ — Thu, 17 Feb 2022 11:51:45 GMT

Je prends la réponse donnée par PhilDur , et le remercie. Et Orange ne néglige pas mais prend du retard pour sécuriser les services. C'est pareil concernant les Emails il y a toujours un message d'alerte. Quoi que étant un simple utilisateur est-ce un risque : Oui.
C'est exact que je me connecte en local à la Livebox pour paramétrer en "direct live" ses services de sécurité voir Mode de sécurité, clé de sécurité, DMZ DHCP etc.
Donc est-il possible d'y embarquer un logiciel qui répond à la sécurité et quel sera le coût aussi ?

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

Daniel35 — Thu, 17 Feb 2022 12:16:59 GMT

Re @LIVEBOXAJ

Sortir le grand jeu pour sécuriser la connexion PC - livebox, c'est acheter un canon pour tuer un moustique.

Concernant la sécurisation de l'accès aux comptes @orange et emails: oui.! Orange a un sacré train de retard. Pas de double authentification proposée. Donc on ne laisse aucune donnée sensible en ligne chez Orange.

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

PhilDur — Thu, 17 Feb 2022 12:37:38 GMT

@LIVEBOXAJ a écrit :

Est-ce que ce n'est pas plutôt du chiffrement, cryptage (puisque certificat valide manquant) des données traversant la livebox que de virus (qui aussi le mérite) ?

Il a un domaine contrôleur le routeur, puisque la réinitialisation ne supprime pas les paramètres ni le mot de passe personnalisé (qui est considéré local faussement).

Le ceretificat n'est pas valide uniquement car non signé par une autotité de certification.

La couche SSL fonctionne, seulement le certificat utilisé est considéré comme non certifié, ce qui pour un certificat est plutôt étonnant.

Il n'y a aucun domaine contrôleur.

La notion de contrôleur de domaine est une notion Microsoft et n'a pas de sens ici.

Un routeur n'est pas un contrôleur de Domaine, .... c'est juste un "routeur".

L'accès à la Livebox en local est parfaitement acceptable en http.

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

PhilDur — Thu, 17 Feb 2022 12:57:41 GMT

Salut @Daniel35

@Daniel35 a écrit :

...

Concernant la sécurisation de l'accès aux comptes @orange et emails: oui.! Orange a un sacré train de retard. Pas de double authentification proposée. Donc on ne laisse aucune donnée sensible en ligne chez Orange.

.

Tu connais mas position sur cet autre sujet, je la répète : il s'agit d'une volonté affichée de refuser le système d'authentification forte.

Et je n'avance rien en l'air :

Orange propose Mobile Connect pour affirment-ils proposer un authentification forte.

Le produit monte, en effet, qu'Orange saurait sécuriser plus fortement la connexion aux comptes. Ils maitrisent la technologie.

Avec quelques bémols toutefois, mais on dira qu'ils n'en sont pas loin

Premier point négatif, Mobile Connect ne fonctionne qu'avec un mobile Orange ou Sosh

Second point difficile : si le compte principal est protégé par Mobile Connect avec un téléphone, il est impossible de l'activer pour un compte secondaire avec un autre téléphone mobile. Pour les autres membres du foyer ce n'est pas top.

Là où volontairement ils "cassent" le système, c'est que même si Mobile Connect est activé, on peut toujours se connecter avec le mot de passe.
Ou est alors la protection renforcée contre les pirates ?

C'est le même problème avec le mot de passe administrateur de la Livebox, n'importe qui peut changer ce mot de passe.

Devant cette faille, de sécurité, je demande humblement :

"Mais alors, si on peut le changer sans montrer "patte blanche", il sert à quoi ce mot de passe ? "
Ça n'aurait pas été plus simple de le supprimer 😛 ?

Si on fait une analyse économique, on tombe sur ça :

Quand on met en place un système de sécurité efficace, le nombre de clients victimes de cette sécurité augmente. On peut "oublier" le mot de passe, se tromper en frappant, etc... etc... .

Dans ce cas, un appel au support est nécessaire pour décoincer la situation.
Ça nécessite de vérifier l'identité du client (tout de même pas dépanner un pirate qui tente de fracturer un compte, ou le fiston qui veut accéder au compte du paternel !) et une procédure de fourniture de l'élément de donnée qui va tout débloquer.

Ça a un coup en charge des helpdesks, et pour Mobile Connect, comme pour le mot de passe admin des box, Orange n'est pas prêt à en assurer le coût !

Ce n'est qu'une interprétation, mais j'aimerais bien qu'on me démontre que j'ai été médisant en supprimant ces deux blocages.

Merci d'avance Monsieur ou Madame Orange.

Cordialement

PhilDur

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

Eric_Le_Grompf — Thu, 17 Feb 2022 12:58:02 GMT

Re!

@LIVEBOXAJ Donc est-il possible d'y embarquer un logiciel qui répond à la sécurité et quel sera le coût aussi ?

Le cout sera à peut-pres astronomique pour tout blinder. Accessoirement, ca rendra la livebox "inutilisable". Déjà qu'on ne peut pas faire grand chose avec vue qu'elle est déjà fermée pour un usage "commun/basique".

Comme on dit là où je travaille, il faut aussi répondre à la sécurité en mettant à niveau l'interface chaise-clavier.

Ici, ca correspond a savoir si un certificat SSL auto-signé par Orange est acceptable sur un réseau Orange, savoir si le passage en http ou https est acceptable sur un réseau local. Deux choses assez différentes en soi Et de savoir quel est le niveau de confidentialité acceptable là ou on pousse des données.

Savoir aussi, qu'utiliser un chiffrage : ce n'est pas cacher les données. c'est impossible à réaliser en pratique mais réussir à imposer une durée pendant lesquelles elles ne seront pas lisibles. Apres on s'en fout : les données ne seront plus pertinentes.

On passera sur les problèmes d'authentification déjà soulevés...

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

JPFA — Tue, 20 Dec 2022 17:13:30 GMT

Le risque existe si la connexion se fait en WIFI et non en filaire entre l'ordinateur et la livebox.

L'envoi du mot de passe de connexion en clair via WIFI peut être écouté par un voisin, c'est même assez facile.

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

PhilDur — Tue, 20 Dec 2022 17:31:32 GMT

C'est pour ça que plus personne n'utilise le WEP mais le WPA2.

Faut arrêter les délires, admettons que le voisin il finisse par se connecter à ton wifi.

Explique un peu à quoi ça va lui servir !

Il va se connecter, nécessairement de loin à ton wifi, et en plus il ne pourra communiquer qu'à basse vitesse (les murs et cloisons) lui donnerons un débit bien plus faible qu'en passant par son propre wifi.

En complément :

Toi tu utilises Gmail ou le mail Orange, j'aimerais bien le savoir ?
Avec quel navigateur ?

Cordialement

PhilDur

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

JPFA — Tue, 20 Dec 2022 18:04:29 GMT

Une fois que l’intrus est connecté à un réseau wifi d'un particulier, il peut se servir de l’accès internet pour des activités illicites, dont la plupart se contentent d‘un bas débit.

Par exemple, un outil de type « Command and control » se contente d’un débit faible pour implanter un rançongiciel (ransomware) sur une cible à l'autre bout du monde.

Et même une connexion bas débit permet d’envoyer plusieurs mails chaque seconde, par exemple pour du hameçonnage (phishing).

C’est comme cela que des milliers de personnes deviennent des maillons involontaires dans une chaine du cyber crime.

Des maillons certes involontaires ... mais pénalement responsables car le propriétaire de la ligne (connu de l'opérateur internet) est responsable de la sécurité et de l'utilisation de son accès internet. C'est la loi et nul n'est censé l'ignorer.

Cordialement

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

Daniel35 — Tue, 20 Dec 2022 18:16:49 GMT

Re . @JPFA

@JPFA a écrit :
...connexion en clair via WIFI peut être écouté par un voisin, c'est même assez facile.

Cracker une clé wifi WPA2 AES d'une trentaine de caractères aléatoires n'est quand même pas à la portée du premier venu.

Un utilisateur soucieux de sa sécurité a, par contre, des moyens simples et basiques de contrôler les terminaux connectés à sa box

Re: La Livebox est mentionné comme non sécurisé, est-ce normal ?

PhilDur — Tue, 20 Dec 2022 18:51:13 GMT

Tu utilises Gmail ou le Mail Orange ?

Avec quel navigateur ?

Là, pas de réponse !