[Résolu] Freebox OS: pb d'ouverture de session avec API v10

[fgafr (Auteur du topic)]

Bonjour,

Suite à la mise à jour de ma Freebox Révolution (4.7.3), j'ai constaté que l'api était passée en version 10 et qu'il y avait un changement pour l'ouverture de session. L'appel à l'api /login/ retourne maintenant une variable password_salt dont l'usage n'est pas décrit dans la documentation qui présente toujours des exemples v8. L'ouverture de session ne fonctionne plus avec l'ancien code.

Si vous avez des informations sur la manière dont doit être utilisé ce password_salt pour générer le mot de passe attendu pour l'ouverture de session, je suis preneur.

Merci d'avance de votre aide.

[loggoi]

=> dev.Freebox.fr/bugs

[fgafr (Auteur du topic)]

C'est fait Merci, je tentais ma chance ici au cas où quelqu'un aurait déjà été confronté à ce problème et aurait trouvé la solution.

[triskaidekaphob]

La doc est à jour dans Freebox OS :

"Api changes from version 9.1 To 10.0
Deprecated API (v9)
The connexion API for xDSL/4G aggregation is no longer usable. It has been replaced by separate endpoints providing respectively LTE connexion status and aggregation status.
Changed API (v10)

The connexion API has been changed To not mix aggregation and LTE connexion status.
The connexion API exposes Internet Backup connexion status."

http://mafreebox.freebox.fr/#Fbx.os.app.help.app

Ou logo Freebox en bas à gauche, puis "Developper".

[fgafr (Auteur du topic)]

Pas complètement à jour malheureusement, la section sur la récupération d'un token de session mentionne encore un exemple de la v8 de l’API et la réponse ne correspond pas à ce que retourne la Freebox. La doc :

[triskaidekaphob]

Après, si on s'en fie au nom "password_salt" il ne faut plus envoyer le mot de passe en clair, mais "salé" par le sel fourni. Mais bon, j'ignore comment le mot de passe doit être salé (souvent le sel marche pour un hash, mais quel algo? Mystère):

https://fr.wikipedia.org/wiki/Salage_(cryptographie)

[fgafr (Auteur du topic)]

Sans information sur l'algo dans la documentation j'ai fait un certain nombre d'essais sans succès :

- utilisation du "sel" sur le mot de passe produit par hmac sha1 ou sha256 du challenge avec la clé de l'application
- utilisation du "sel" sur la clé de l'application avant de produire un hmac sha1 ou sha256 du challenge avec la clé salée
- utilisation du "sel" sur le challenge avant de produire un hmac sha1 ou sha256 du challenge salé avec la clé de l'application

Malheureusement pas de succès pour l'instant

[fgafr (Auteur du topic)]

Après quelques investigations complémentaires, il s'avère que l'erreur d'authentification ne provenait pas de l'appel à l'api d'ouverture de session, mais d'un appel réalisé par la suite dans lequel le token de session n'était pas envoyé par l'application.

L'ouverture de session fonctionne toujours correctement sans tenir compte du password_salt.