sujet Re: Mobile Connect dans protéger mes données et mon accès internet

Mobile Connect

PhilDur — Wed, 20 Feb 2019 10:25:50 GMT

Bonjour toutes et tous

Orange a commencé à bouger par rapport à la sécurisation des comptes.

Ayant été demandeur, je ne pouvais pas passer sous silence le service Mobile Connect.

L'idée que j'avais soumise est toujours accessible :

Une page lui est dédiée, allez la visiter et la lire avec attention, revenez ensuite ici nous faire partager vos réflexions.

Pour accéder à Mobile Connect suivez ce lien ou tapez https://mc.orange.fr/faq dans la barre d'adresse de votre navigateur.

Cordialement

PhilDur

Re: Mobile Connect

PhilDur — Wed, 20 Feb 2019 17:25:58 GMT

Bonjour

Je me suis inscrit à "Mobile Connect" et je l'utilise.

J'aimerais bien avoir des retours des autres utilisateurs avant que j'en dise plus, je ne voudrais pas influencer vos avis.

@JuanLucas38 as-tu essayé de te déconnecter du portail et de te reconnecter "à l'ancienne", sans utiliser ton téléphone ?

A vos claviers

PhilDur

Re: Mobile Connect

JuanLucas38 — Wed, 20 Feb 2019 17:14:23 GMT

Bonjour à tous

Salut @PhilDur

Voila je suis inscrit, j'ai fais mon premier essai, concluant !!!!

Aux suivants.

Re: Mobile Connect

Daniel35 — Wed, 20 Feb 2019 23:32:14 GMT

Hello @PhilDur

@JuanLucas38

Je viens d'activer aussi ça fonctionne.

Mais...

- on peut toujours s'identifier à l'ancienne avec le seul mot de passe au lieu de Mobile connect...??? Ce mode n'est donc qu'un choix de connexion et non une sécurité.

- On annonce sur la page de présentation (https://mc.orange.fr/faq) :

"Pour prévenir le piratage, dès que vous ou une autre personne accède à votre compte Orange par mot de passe, vous en êtes instantanément averti par SMS sur votre mobile."

Je n'ai pas eu de SMS, ni en me connectant à l'ancienne sur mon compte sur le portail,

Edit : j'ai refait 3 essais après ce post et finalement bien reçu les SMS en s'identifiant "à l'ancienne"

Premier essai trop proche activation...?

ni en reparamétrant le compte concerné (que j'avais supprimé pour voir... il est en IMAP je vous rassure... enfin, pas tous ) sur le client de messagerie de mon smartphone.

Edit : j'ai refait la manip à nouveau, et pas reçu de SMS dans les 2 cas de reparamétrage.

En l'état, je ne vois donc pas beaucoup d'intérêt à Mobile Connect, à part simplifier l'accès (4 chiffres à saisir sur son mobile au lieu de mes 16 caractères "complexes" sur le portail).

Pour moi je perçois mal le progrès en terme de sécurité d'accès (Edit: à part les SMS sur l'accès via le portail). Ce n'est en aucun cas pas une double authentification comme on le demande.

Désolé si je dégage des ondes négatives. Peut-être suis-je à côté par rapport à la finalité de Mobile Connect...?

Cordialement

Daniel

Re: Mobile Connect

JuanLucas38 — Thu, 21 Feb 2019 06:55:18 GMT

Salut @Daniel35

@PhilDur

Non tu n'es pas à coté. Je l'ai constaté également. Le mobile connect est associé à un compte et pas les autres si tu ne fais la démarche pour tous les comptes.

Ensuite le choix de s’identifier normalement !!!!?????? qu'est-ce qu'il fait là ?

Re: Mobile Connect

PhilDur — Mon, 04 Mar 2019 11:26:16 GMT

Bonjour

Le Mobile Connect fonctionne bien comme il est décrit.

Voir sa page de présentation.

Connexion avec PIN

Dès qu'on l'active, si on l'utilise on n'a plus qu'à saisir un code PIN sur le téléphone mobile et on est authentifié.

Mais il y a une première restriction : le mobile doit être un mobile Orange ou Sosh.

Connexion sans le mobile

Elle reste possible. Il suffit de cliquer plus bas sur

"s'identifier avec votre mot de passe".

Quand on s'identifie avec le mot de passe, on est bien prévenu instantanément par SMS de l'établissement de cette connexion.

C'est à mon humble avis, le seul plus, un tout petit plus, de ce produit : on est averti que quelqu'un vient de se connecter à ce compte.

Petit nota pour @Daniel35, j'ai refait des tests dans tous les sens, on est bien averti de toute connexion au compte par un SMS. Ça fonctionne même si tu fais la connexion depuis la même machine, avec un autre navigateur.

Quelques conclusions :

C'est une authentification plus forte que celle du seul mot de passe.

L'accès au compte par le mot de passe est toujours possible, et donc les pirates devront être rapides. Mais leurs outils sont des ordis et des scripts (d'où le nom "script kiddies" utilisés par les anglo saxons pour le désigner), il ne leur faut que quelques secondes pour récupérer les contacts, changer le mot de passe, l'adresse mail, .... et pire si affinité.

Ma réaction à ce niveau a été de me dire que je l'utiliserai "pour savoir", pour avoir un retour de toute connexion.

Mais ce n'est pas tout

Mobile connect est défini sur le site MC :

Mobile Connect est un service d’authentification proposé par votre opérateur mobile et s’appuyant sur la carte SIM et le numéro de mobile. Sur tous les sites et applications partenaires (facilement reconnaissables à la présence du logo Mobile Connect) votre téléphone et ce code à 4 chiffres vous permettent d’accéder le plus simplement du monde à vos services sans plus avoir à vous souvenir de chacun des identifiants et mots de passe. Mobile Connect est disponible gratuitement pour tous les clients mobile Orange.

Là je comprends mieux, cet outil n'est pas un outil de sécurité, c'est un outil de référencement commercial. Il permet à un fournisseur partenaire d'être certain de l'identité du consommateur du service et de pouvoir faire facturer ses services par Orange. Un peu comme Internet+ avec authentification.

Ce n'est pas un produit de sécurité (c'est mon avis), Orange exploite l'utilisation du mobile pour la saisie du PIN pour faire croire qu'on se trouve en face d'une authentification forte.

Ce n'est pas le cas.

Ce serait le cas si cette authentification forte était exigée pour accéder au compte du client, à ses contacts ou à sa boite mail.

Utilisé juste en parallèle, ça montre :

la volonté de faire passer le commercial avant la sécurité des clients
la disponibilité de la technologie qui aurait pu être utilisée pour une authentification vraiment forte.

Ce serait le cas si l'utilisateur recevait un SMS pour lui signaler tout échec de connexion

Ce serait le cas si l'utilisateur recevait une alarme au bout de N échec de connexions

Ce serait le cas si le compte mail de l'utilisateur était bloqué tant qu'une connexion n'étais pas authentifiée depuis le omble en cas de suspicion d'activité agressive. Free bloque les comptes mail dès qu'ils découvrent une "activité suspecte".

La demande de sécurisation des comptes clients reste totalement d'actualité.

La mise en place d'une habilitation forte doit être possible quel que soit le mobile du client.
Le client doit être informé de toute connexion à son compte, par SMS ou/et par consultation de l'historique des connexions.

Orange vient de nous prouver que la techno est déjà utilisée chez eux et qu'ils sauraient faire. Il leur manque simplement la volonté de le faire.

Cordialement

PhilDur

Re: Mobile Connect

Daniel35 — Thu, 21 Feb 2019 11:30:05 GMT

Hello @PhilDur

@PhilDur a écrit :
"Petit nota pour @Daniel35, j'ai refait des tests dans tous les sens, on est bien averti de toute connexion au compte par un SMS. Ça fonctionne même si tu fais la connexion depuis la même machine, avec un autre navigateur."

Exact... sauf si on paramètre le compte (adresse + MdP) sur un client de messagerie. Dans ce cas: pas de SMS.

La double authentification, qui me semble indispensable au moins pour le compte principal (mot de passe "à l'ancienne" suivi de la confirmation avec MC par exemple) reste à faire.
Et comme MC fonctionne, il ne manque pas grand chose pour y arriver.

Cordialement
Daniel35
.

Re: Mobile Connect

PhilDur — Thu, 21 Feb 2019 12:01:24 GMT

@Daniel35 a écrit :

Exact... sauf si on paramètre le compte (adresse + MdP) sur un client de messagerie. Dans ce cas: pas de SMS.

Ce cas n'est pas une connexion au "compte".

Il n'y a pas connexion au "compte" quand tu utilises un client mail.

Le client mail ne se connecte qu'au serveur mail dont il a besoin (POP, IMAP et/ou SMTP).

Le client mail n'aura jamais accès aux contacts du compte, aux numéro de mobile de contact, ....

La double habilitation ne concerne que le web et pas la messagerie.

Le problème de l'insécurité du web, c'est qu'une fois connecté au compte on a accès total à TOUT !

Essaye avec ton compte gmail d'activer la double habilitation et configure Thunderbird avec ton compte gmail, tu n'auras jamais un SMS à chaque connexion au serveur POP ou SMTP.

Cordialement

PhilDur

Re: Mobile Connect

Daniel35 — Thu, 21 Feb 2019 16:07:31 GMT

Hello @PhilDur

@PhilDur a écrit :

... Il n'y a pas connexion au "compte" quand tu utilises un client mail....

...La double habilitation ne concerne que le web et pas la messagerie.

.. Essaye avec ton compte gmail d'activer la double habilitation et configure Thunderbird avec ton compte gmail, tu n'auras jamais un SMS à chaque connexion au serveur POP ou SMTP.

J'ai activé la double authentification sur mon compte gmail depuis que c'est proposé par Google.

Pas de SMS, mais chez Google/Gmail la double authentification fonctionne aussi pour le premier paramétrage d'un compte @gmail sur Thunderbird et nouveau PC.

On y va:

- création d'un nouveau User sur le PC de madame... "Ça ira pour cette fois"

- ouverture de TB tout neuf

- paramétrage du compte @gmail avec saisie de l'adresse et mot de passe, validation choix POP ou IMAP,

Et ça suit:

Demande de confirmation du compte: re-saisie adresse et MdP

Puis validation sur le mobile / double authentification:

Et après validation sur mobile, validation de l'accès du compte avec TB

Et on a accès aux messages qui descendent bien, cette fois.

Ces étapes ne sont nécessaires qu'au premier paramétrage du compte sur TB sur le PC concerné.

Pas essayé avec un autre client de messagerie.

C'est cette double authentification (MdP + validation MC) qu'il me paraît opportun de mettre en place chez Orange pour l'accès au compte (au moins le compte principal) sur le Portail, mais aussi lors du paramétrage du compte sur un client de messagerie.

Cordialement

Daniel35

Re: Mobile Connect

PhilDur — Thu, 21 Feb 2019 17:22:35 GMT

@Daniel35 a écrit :
chez Google/Gmail la double authentification fonctionne aussi pour le premier paramétrage d'un compte @gmail sur Thunderbird et nouveau PC.

C'est tout à fait normal, Google "exige" une authentification avec le compte sur leur site web.

Google est à l'informatique le Trump de la terre !

Mis à part cette initialisation tu n'as jamais de recours au SMS pour authentifier une connexion d'un courrielleur.

Cordialement

PhilDur

Cordialement

Re: Mobile Connect

Daniel35 — Thu, 21 Feb 2019 20:40:28 GMT

@PhilDur a écrit :

... Mis à part cette initialisation tu n'as jamais de recours au SMS pour authentifier une connexion d'un courrielleur....

C'est vrai.

Mais je préfère une validation par double authentification via mobile, en amont, pour empêcher l'accès au paramétrage du courrielleur, qu'un SMS, à postériori, qui, le temps de se retourner, ne pourra éviter le pire.

Ce n'est qu'un point de vue.

L'important c'est qu'Orange progresse pour la sécurité de l'accès aux comptes.

Cordialement

Daniel35

Re: Mobile Connect

PhilDur — Thu, 21 Feb 2019 23:22:09 GMT

@Daniel35 a écrit :

L'important c'est qu'Orange progresse pour la sécurité de l'accès aux comptes.

L'important aurait été qu'ils progressent dans la sécurisation du compte;

Ils ont utilisé la technologie, pour faire du business, accès à des services commerciaux, beaucoup plus que que de la sécurisation de compte.

Avant ils fonçaient droit dans le mur, maintenant ils klaxonnent !

Buena Notte

PhilDur

Re: Mobile Connect

JuanLucas38 — Fri, 22 Feb 2019 09:08:28 GMT

Salut

Il fallait bien que quelque chose cloche
L'appli orange tv ne fonctionne plus avec l'identification mobile connect.
Erreur "Hors connexion "
Suite à un echat ce matin désactive mobile connect et tout refonctionne. La conseillère à fait remonter le problème

Re: Mobile Connect

Daniel35 — Fri, 22 Feb 2019 11:39:02 GMT

@PhilDur

"Avant ils fonçaient droit dans le mur, maintenant ils klaxonnent !"
... j'aime bien ton allégorie... :-)))

@JuanLucas38

"Un programme informatique sans bug est un programme qui n'a pas été suffisamment testé" Loi de Murphy ;-)

Bon WE à venir
Daniel35

Re: Mobile Connect

PhilDur — Fri, 22 Feb 2019 12:15:11 GMT

Salut

@Daniel35 a écrit :
"Un programme informatique sans bug est un programme qui n'a pas été suffisamment testé" Loi de Murphy ;-)

Il y a bien longtemps, à l'époque où on fasait du graphique en superposant les frappes sur les imprimantes à marteaux, j'avais imprimé et affiché une banderolle sur le mur de mon bureau :

Tout soft sans bug est obsolète

Je trouve intéressant l'évolution entre les années 80 et aujourd'hui.

Elle est très vraie.

Le développement ne teste plus les logiciels

Y a les clients pour ça !

Cordialement

PhilDur

Re: Mobile Connect

JuanLucas38 — Fri, 22 Feb 2019 12:25:06 GMT

@PhilDur @Daniel35

Surtout que la conseillère du Echat ne connaissait pas "Mobile connect".

Trop récent je suppose

Re: Mobile Connect

PhilDur — Mon, 04 Mar 2019 11:42:03 GMT

Bonjour toutes et tous

Suite à un piratage survenu récemment voir ce message et ses réponses.

Il me semble que "Mobile Connect" qui est présenté par ses promoteurs comme une habilitation forte, pourrait le devenir facilement.

Pour l'instant "Mobile Connect" n'est pas utilisé comme une habilitation forte, il ne donne pas plus de droits à ses utilisateurs, la meilleure connaissance que le système a de l'identité de l'utilisateur n'est pas utilisée.

Tout intrus, qui se connecte avec le mot de passe a les mêmes droits que le titulaire du compte, et les commerciaux d'Orange essayent de nous fourguer ça comme un progrès !!!

Vous charriez grave Messieurs !!!

Je veux bien les prendre au mot et l'utiliser comme tel, ils n'ont qu'une toute petite modification à faire.

Si un client utilise "Mobile Connect" , alors il suffit de ne plus permettre à un utilisateur connecté avec le mot de passe seul n'ait plus le droit de modifier quoique ce soit aux données du compte (données de contact, adresse mail, mot de passe), aux paramètres de fonctionnement de la boite mail (plus possible de faire un renvoi de courrier, de modifier les listes rouges et vertes, ...) et aux contacts (plus d'ajout ou de suppression possible).

Dans un autre sujet @Daniel35 , tu trouves que une saisie de PIN à 4 chiffres c'est trop faible.

Je ne le pense pas, n'oublie pas que là on est sur l'utilisation d'un seul terminal et que le canal de communication ne peut pas avoir été espionné.

Plus on compliquera la saisie sur le mobile, plus on poussera l'utilisateur à l'écrire sur du papier. C'est pas top non plus.

Cordialement

PhilDur

Re: Mobile Connect

starplay — Sun, 31 Mar 2019 17:34:37 GMT

Bonjour,

Pour accéder à mon espace client sur Internet, Orange me demande d'augmenter le nombre de caractères de mon code d'accès: au moins 8 caractères (j'en avais 7 avec des majuscules, minuscules, chiffres et caractères spéciaux).

Je modifie donc mon nouveau code pour le rendre encore plus sécurisé.

Enfin je peux de nouveau accéder à mon espace client.

Et là surprise !!!! j'ai droit à des félicitations et une pub apparaît sur mon écran d'ordinateur, et un sms retentit sur mon mobile, ventant un nouveau mode d'accès MOBILE CONNECT encore plus sécurisé en tapant seulement 4 chiffres.

De qui se moque t'on !!!!!!!

Comment peut on me bloquer l'accès à mon espace client Orange, parce que je n'ai que 7 caractères à mon code d accès pour m'en proposer 4.

Où est la sécurité dans ce nouveau mode. Je n'ai pas compris!!

On ajoute tellement de fonctions sur les mobiles, paiements, virements bancaires ultra rapide etc..., que j'ai peur de le perdre ou qu'on me le vole.

Re: Mobile Connect

JuanLucas38 — Sun, 31 Mar 2019 18:43:17 GMT

Bonsoir @starplay

@PhilDur @Daniel35

Surtout garde bien ton mot de passe mais avec 10 caractères minimum et tout ce que tu avais dans ton précédent.

Orange fait passer "Mobile Connect" comme une sécurité du compte. C'est totalement faux, ce n'est pas à cause des 4 chiffres, mais tout simplement parce qu'il existe une solution de contournement si la personne n'a pas son mobile avec elle.

Tu repasses par le fameux mot de passe, donc je ne vois pas ou est la sécurité.

Le seul avantage, si on peut considérer ça comme un avantage, est de ne plus avoir à saisir le mot de passe de XX caractères qui est, pour certains difficile à retenir c'est d'ailleurs une des raisons par lesquelles ils en mettent un tout simple. mais de taper les 4 chiffres sur le mobile, mouais......................

Par contre j'ai eu l'occasion de l'essayer, je me suis identifié sur l'appli Orange TV avec "mobile connect", ça ne fonctionne pas, erreur "pas de réseau" alors que j'étais très bien connecté.

J'ai appelé le SAV, ils ne connaissaient même pas "Mobile Connect" et il m'a été demandé de le désactiver.

Dans la minute qui suivait je me suis identifié de nouveau mais avec mes identifiants "standards" et tout c'est remis à fonctionner.

Donc ils ont encore du boulot chez Orange..........................

Re: Mobile Connect

PhilDur — Sun, 31 Mar 2019 18:43:29 GMT

Bonsoir Starplay

starplay a écrit :

... Comment peut on me bloquer l'accès à mon espace client Orange, parce que je n'ai que 7 caractères à mon code d accès pour m'en proposer 4.

Où est la sécurité dans ce nouveau mode. Je n'ai pas compris!! ...

Effectivement il y a une évolution que tu n'as pas prise en compte.

La sécurité n'est pas liée uniquement au code.

Mobile Connect quand tu t'ensers, utilise ton téléphone Mobile (l'appareil) pour transmettre le code.

L'identifiant est transmis à un instant par le mail et c'est sur ton téléphone qu'on te demande de saisir un code.

Autant il est possible de "casser" tout mot de passe dans un échange sur le web identifiant + mot de passe, ce n'est qu'une question de temps, un mot de passe de 7 caractère sera trouvé en quelques semaines, un mot de passe de 10 caractère prendra énormément plus de temps, mais ça restera possible,

autant saisir un simple code de 4 pauvres chiffres (10000 possibilités seulement), sur TON téléphone relève de l'impossible sans t'avoir volé ton téléphone.

Le pirate n'a pas ton téléphone, lui, il devra trouver les 10 ou 12 caractères que tu vas mettre dans ton nouveau mot de passe.

Toi, tu seras le seul sur la terre à pouvoir utiliser ce minable petit code à 4 chiffres.

Au passage, si tu devais utiliser Mobile Connect, je le fais, tu dois être préparé à demander le blocage de ton tel si jamais il devait être bloqué.

L"avantage de Mobile Connect, le seul, c'est que si tu l'utilises pour t'identifier et que quelqu'un (toi même ou un intrus) se connecte à ton compte depuis un autre navigateur, tu en es immédiatement averti par SMS.

On ne se moque pas de nous, mais on n'en est pas loin.

En effet, cet outil montre que la technologie est disponible et qu'elle aurait pu être utilisée pour mettre en place une véritable authentification forte.

L'utilisateur devrait pouvoir interdire l'accès par mot de passe et être ainsi le seul à pouvoir accéder à son espace client. Mais soyons patient, ... ça va bouger.

Cordialement

PhilDur