Qui se connecte sur ma Freebox OS via le Compagnon ?

[Julie450 (Auteur du topic)]

Bonjour!

Hier, je me suis aperçue qu'une personne avait téléchargé des films sur le disque dur de ma Freebox via cette application, La seule info que j'ai correspond à SM-T530-9971666....etc plein de chiffres à la suite. Je suppose que c'est via une tablette Samsung visiblement, mais ces fameux chiffes à la suite pourraient m'indiquer qui c'est? J'ai changé mon mot de passe, cela permettra-t-il d'en bloquer l'accès?

Merci pour vos réponses!!!

*** Modération *** Titre édité *** Modération ***

Curtis Newton

[astrre]

J'espère qu'au moins c'était des films de qualités

Changer ton mot de passe est la bonne solution... Après tu ne connais personne de ton entourage qui a une tablette Samsung ?
Car c'est rare de "pirater" le Wifi de qq'un pour télécharger des films dans la Freebox de la personne que l'on pirate

On dirait plutôt une blague..
_________________
Dégroupage total
NRA: FAC 59 - 3

[zheus]

Pour avoir accès a ta Freebox via Freebox OS, il faut que ce soit qq'un que tu connais et qui a eu accès a ton réseau Wifi personnel. Donc le périphérique utilisé peut être "blackliste" via ton appli.

[loggoi]

[HelpMeFree]

Il y a plusieurs manières d'interagir avec la Freebox
Pour les gens intéressés voici un rapide tuto sur la sécurisation de la Freebox

1) Associer une application
-----------------------------------
On peut installer sur son Smartphone ou sa tablette via le Play Store ou l'Appstore certaines applis dont la plus connue est Freebox Compagnon (appli officielle de Free) qui permet d'accéder à distance à la Freebox.

Toutefois ces applications requièrent une autorisation initiale via un code qui s'affiche sur l'écran du Freebox serveur.
Une fois le code validé l'appli est appareillée défintivement et apparait sous gestion d'accès, applis autoirisées.
Si on perd la tablette ou le Smartphone il suffit de révoquer cette autorisation sous Freebox OS

Dans cette hypothèse il s'agit OBLIGATOIREMENT d'une personne que vous connaissez, puisque l'appareillage inital ne peut se faire qu'en local chez vous. A noter que SM-TM... peut renvoyer à des tablettes ou des mobiles Samsung , cherchez bien dans votre entrourage, ça ne peut pas venir du Saint Esprit..

2) Une personne est parvenu à accéder à votre réseau personnel
------------------------------------------------------------------------------------
et ma foi vous espionne et a réussi a capter vos mots de passe

a) Wifi

Si vous êtes resté en protocole WEP, il est désormais connu et reconnu que le WEP se casse avec un peu de patience car la faiblesse du WEP c'est que la clé ne bouge pas. Le pirate peut faire tourner sa moulinette pendant qu'il fait dodo.

Pas besoin d'être un génie il suffit d'utliser Aircrack-NG un outil dont le but est de tester la solidité del aprtoection des accès Wfi. Il est absolument impératif d'abandonner ce protocole

Il faut donc AU MINIMUM basculer en WPA Personnel et idéalement en WPA2 Personnel qui générèrent des clés WEP tournante, ainsi le pirate n'a plus le temps de la décoder

Mais cela ne suffit car il y a une phase critique celle de la connexion initiale du PC au réseau, il faut donc une passphrase or si elle est bidon du genre "julie1418", ça se pète en 10 minutes.

Concrètement, une personne dans les environs vous surveillent et parvient à deviner quand vous vous connectez. Il se met en mode écoute radio pour enregistrer les paquets durant la phase d'authentification "hand shaking" et va utliser un outil pour casser cela tranquilement dans son coin.

Voilà pourquoi vous remarquerez que les opérateurs définisssent une clé de type aléatoire inintelligible car ça c'est diffcilement attaquable, il faut faire tourner une moulinette et attaquer en force brute ça prend beaucoup de temps. Non les attaquants utilisent les attaques par dictionnaire avec système de déclinaison automatique.
Donc Julie1418 ne tient pas un quart d'heure, en revanche si vous créez un motif aléaroire en combinant le plus de type de carcatères (majustcule, minuscules, lettres, caractères spéciaux...) les attaques par dictionnaire ne peuvent pas fonctionner puisque par définition un dictionnaire est une liste de mots intelligibles.

Donc sur le principe... même une passphrase WPA/WPA2 devrait être régulièrement changée mais du coup on peut programmer cela 2 fois par an, même une fois par an, inutile de modifer tous les 15 jours. Je vous avouerais que flemmard... je ne la change jamais mais j'ai une passphrase bétonnée totalement incompréhensible et sur la longueur maximale autorisée... donc dans tous les cas pour la péter ça prendra un certain temps si ce n'est une éternité, ça se compte en cinquantantaines d'années dès lors que vous avez suivi mes conseils sur la complexité du code, ce n'est pas de la magie c'est simplement mathématique.

Pour associer les appareils il faut s'habituer à faire du copier collé à partir d'un ficher texte que l'on dépose sur l'appareil ou une clé USB

b) Malware
Vous avez attrapé sur le Web ou en cliquant sur un mauvais lien contenu dans un mail un malware ... keylogger (espionneur de frappes clavier), scanner de mémoire

c) Vous avez activé volontairement ou involontairement l'accès distant http de votre Freebox.

Par conséquent sur le Web... l'invite de connexion à votre Freebox apparait pour n'importe qui se connectant à votre adresse IP. Là aussi si votre mot de passe est bidon... le pirate le casse en 15 minutes

Je ne conseille à personne d'activer l'accès distant Freebox (qui n'a rien à voir avec l'accès distant via les applis décrit en parapgraphe 1, les deux se gèrent de façon indépendante) et ce MEME en HTTPS, pourquoi ?

Parce que la Freebox présente une faille de sécurité absolument honteuse elle vous demande juste un mot de passe et ne requiert pas d'identifiant, donc si le mot de passe est un peu léger (de manière à s'en souvenir comme c'est souvent le cas) c'est un jeu d'enfant de faire tourner une moulinette. Or avec la demande d'un identifant ca complique beaucoup la tache du pirate. Ca multiplie mathématiquement les combinaisons puisqu'il faut deviner deux champs.

Quand l'accès distant est désactivé (voir sur l'interface Feeebox OS c'est une petite case à cocher décocher et on peut éventuellment "customiser" le port d'accès) lorsque l'on tape son adresse IP ça renvoit un écran Freebox OS du type "l'accès distant est désactivé" )

A ce titre Free serait inspiré soit d'ajouter un identifiant ou bien mieux d'implémenter un double facteur d'authentification. En plus du mot de passe la Freebox demanderait un code de vérification volatile que l'on pourrait obtenir sur un Smartphone via la fameuse appli Google Authenticator. Le principe est qu'une clé complexe est générée à l'intiialisation, on entre cette clé ou mieux on la scanne via QR Code une fois pour toute dans l'appli Google Authenticator et cette dernière va générer automatiquement des codes volatiles qui ont une durée de vie de 5 à 15 minutes selon paramétrage choisi.

C'est gratos, Google ayant publié un code qui est devenu l'un de standards les plus utlisés. Microsoft possède un outils simailre pour protéger les comptes Outlook (ex hotmail) mais propose optionnellement de basculer sur le procotocle Google ce qui permet d'utiliser la "calculette" Google comme seule outil générateur de code sans avoir à installer une multitude d'applis, la calculette Google est capable d'enregistrer plusueurs clés bein entendu en générant donc un code pour chaque compte.

Google Authenticator n'existe pas sur W10 Mobile mais il existe dans le Store Windows des applis similaires compatibles Google puisque c'est de l'open source mais elles sont souvent tmoins pratiques (pas de possibilité de scan QR Code, pas toujours la possibilité d'enregistrer plusieurs comptes). En anglais ça s'appelle Timed One Time Password (TOTP)

Pour ceux qui utilisent le fameux gestionnaire de mots de passe Keepass sous Windows, sachez qu'il existe des plugins TOTP qui permettent à Keepass de générer ces fameux codes, testé chez moi ça fonctionne au poil.

Rendez-vous sur Keepass.info dans la section plugins et cherchez TOTP et non OPIE (One Password In Every Thing) qui est nettement moins intéressant. OPIE contrairment à TOTP n'est pas basé sur le temps, OPIE générè à la demande une liste de codes brulés mais c'est le m... derdier lorsque l'on a perdu la syncho Serveur/Client, avec TOTP la synchro serveur client se fait grace à l'horloge, il faut donc que les appareils soient à l'heure. Une tolérance de quelques minutes d'écart est en général intégrée, mais au delà de 5 minutes en général... ça ne marchera plus.

Donc PC => surveiller la synchro horloge NTP (ou temps Internet sous la dénomination Microsoft)

Mobile et tablettes => surveiller que l'horloge est bien synchronisée automatiquement au réseau opérateur sans quoi les appareils vont prendre rapidement une dérive importante, c'est de l'ordre de quelques minutes par semaine. Sous Android moyennant un "rootage" il y a des applis gratis de synchronisation NTP comme "clocksync". Utile si vous avez besoin d'une meilleure précision d'horloge. En effet certain prestataire comme les banques ou autre n'ont pas toujours une très grande tolérance d'écarts d'horloge.

Pour preuve j'ai installé ca sur mes serveurs FreeBSD pour protéger les accès terminaux distant SSH, ca ne pompe aucune ressource, c'est Free OF CHARGE.... pas de parabène, pas de métaux lourds.... aie je m'égare


CONCLUSION : il est conseillé d'utliser l'application Freebox compagnon pour accéder à sa Bobox à distance, mais cela implique Android ou iOS, l'appli n'existe pas encore pour W10 Mobile, ou si... elle existe mais c'est une appli éponyme qui n'a rien à voir avec l'appli officielle de Free et dont le niveau de fonctionnaités est sans aucun intérêt

[frederic76]

pour eviter ce genre de desagrement je recommande a toutes les personnes ayant une Freebox et donc susceptible d'utiliser compagnon de faire attention a certaines choses.
en effet, "par defaut", l'association est "ouverte" sur la Freebox. ca permet d'associer par exemple compagnon (ou d'autres periph). pour l'association, rien de "compliqué", il faut être a proximité de celle ci, l'app ou le periph avec et allumé et lancer l'association. un code sur l'afficheur et sur le periph on recopie ou on valide... et c'est associé.

en soi c'est super bien, facile, rapide... MAIS hé oui, ya un mais ! si l'on invite des "amis", patron, connaissances ou meme si l'on a des gosses... qui nous assure que personne ne va vouloir associer a notre insu quelque chose ? sachant que si l'associatione st ouverte, il n'y a quasi rien besoin a part d'être a coté de la box pr voir et toucher l'afficheur ! c tout.

un gosse qui voudrait passer outre le controle parental par exemple pourrait en associant son tel ou tablette avec compagnon a la box a l'insu des parents qui penseront que...

donc moi je recommande une chose : laisser desactiver l'association.
ainsi si une personne tente, a notre insu, de vouloir associer, elle ne pourra pas SAUF si elle connait les identifiants de Freebox OS et les manip pour activer l'association. donc ca fait un peu "compliqué" pour certains s'ils n'ont pas accès au reseau local et d'ordi où il y aurait le MDP surtout a l'insu...

du coup, laisser desactiver l'association et quand un jour, si un jour ya besoin et envie d'associer, aller ds Freebox OS, dans les parametre aller activer l'association mais sans quitter Freebox OS, faire l'association (et comme c avec nous, on est donc le proprietaire !), et une fois fait, hop on desactive l'association des nouveaux peripheriques.

ca peut faire une manip un peu chiante mais c'est une bonne secu.

apres de mémoire en voyant qui se connecte ou s'est connecté, tu peux bloquer l'IP de la personne en la blacklistant. tu selectionnes la ligne et ds les options tu choisis bloquer ou blacklister je sais plus de tete.

apres aller a une enorme secu de id/MDP faut peut être pas pousser non plus, un bon petit MDP de 10-12 caracteres melangeant les chiffres, majuscules et minuscules et caracteres speciaux, pour un mot de passe ne voulant rien dire dans aucune langue, c'est déjà amplement suffisant a 99.999% des cas. au delà faut vraiment être dans un lieu a risque.

mais c'est bien, enfin sage, d'avoir modifié le mot de passe.
pour aller plus loin aussi je t'invite a egalement faire ceci :
1°) tu changes le nom de ton Wifi. par exemple s'il était en freebox_de_Dupont18, modifie le nom en genre qp6&8s*B7-fb ou autre compliqué qui ne veut plus trop dire grand chose et ne peut pas te faire identifier, je veux dire que si tu as donné un nom a ton reseau Wifi, des personnes qui te connaissent et qui feraient un scan pourraient trouver le tiens parce qu'ils te connaissent et parce qu'ils savent ki a donné le nom XYZ car ct le prenom de ta conjointe, la date de naissance de ton gosse, le nom du chien...
2°) cacher le SSID. le nom du Wifi ne sera plus visible au scan (ou tres difficilement), ainsi ca evite qu'une personne soit tentée de tenter de se connecter.

et si la personne qui a utilisé compagnon etc tu a blacklisté d'une part, a changé le nom du reseau et k'en plus tu as caché le SSID, ca lui sera un peu dur de recommencer surtt si pr combler le tout le MDP est chiant !!

pour toi pour remettre le nouveau nom/MDP de Wifi sur tes propres appareils, tu peux montrer le SSID pour voir le nouveau Wifi et tu mets le nouveau MDP. une fois ke c OK, tu caches le SSID.



ha et j'oubliais un truc. si tu as des amis de passage ou qui viennent quelques jours chez toi et que tu voulais leur proposer un accès a ton reseau local : evite ou alors créé un sous reseau local avec un routeur secondaire par exemple, où ca sera assez limité un peu comme le "compte invité" sur un ordi Windows (mais où tu limiterais encore plus ! perso j'laisse jamais un accès a mes ordis mais si vraiment pas le choix, j'active une session speciale Ultra limitée où ils ne peuvent quasi rien faire dessus, aucun accès aux programmes, tout es masqué ou verrouillé, il y a juste le strict minimum. je me suis bien embété pour la faire mais c radical ! meme un gosse ne voudrait pas aller essayer !!!) ou alors un Live cd de Linux, ils ne pourront pas faire ch*** a triffouiller ! mais bon laisser accès et surtout en libre accès un ordi ou autre je trouve que ca peut être suicidaire surtout le reseau local. meme si c'est des "amis" ou "proches"...

perso j'avais une ex qui dès ke j'avais le dos tourné regardait tout sur ma session qu'elle avait espionné pour avoir le mot de passe... lisait mes mails etc. elle a pas fait long feu !!!! enfin ca c'était avant, depuis celui ou celle qui veut essayer... bon courage ! mais bon avec les Smartphones et tablettes, plus besoin de laisser acceder a son ordi, ils se demerdent ! si c'est pour l'Internet ils ont qu'a être chez Free !

[Julie450 (Auteur du topic)]

Merci à tous pour vos réponses!!!

Effectivement, je connais bien quelqu'un qui a une tablette Samsung ainsi qu'un téléphone Huawei qui s'est également connecté via cette application il y a 4 jours. Et il a eu accès à ma Freebox. Et pour répondre a Asstre... vu les titres des films en l'occurrence, il s'agit de films peu recommandables... pour rester soft...! C'est vrai que c'est dommage! Blague à part, trouver ce genre de films parmi les dessins animés de ma fille me fait moyennement rire.

Donc si je comprends bien, le fait d'avoir changé le mot de passe va l'empêcher de se connecter à nouveau? Ou bien il peut continuer puisqu'il est "appareillé"?

Et Merci beaucoup HelpMeFree pour ce cours, je vais barricader quand même! Même si le filou est démasqué!

Frederic 76, j'ai effectivement changé le nom du Wifi et caché le SSID, par contre pour créer le sous réseau... va falloir que je me concentre! Mais c'est une excellente idée!

Bon hauts les cœurs! Y a du boulot là! je vais devenir une experte en la matière je crois!

[frederic76]

[Julie450 (Auteur du topic)]