Cher journal,
je viens de découvrir avec beaucoup de retard que free avait forcé l'ipv6 sur ses box et que tout les ordis de mon réseau était désormais accessible depuis l'extérieur !
Ça craint, surtout que l'ordi du boulot a bien tourné chez moi en plein confinement !
Et vu que j'ai une vielle box (une freebox crystal), j'ai n'ai rien moyen de filtrer au niveau de la box.
Que me conseilles tu ?
Acheter un routeur pour le mettre derrière la freebox en mode bridge ?
As tu des référence/exemple de config ?
Merci !
# Modèle d’attaque
Posté par Aissen . Évalué à 5.
Quel est le souci ?
As-tu peur qu’on scan les ordis de ton réseau dans un temps de plusieurs millions d’années ? As-tu des ordis avec des adresses MAC publiques et qui utilisent une stack IPv6 sans les privacy extensions ?
Exposes-tu des services sensibles qui seraient accessible par un scan d’IP ciblé, mais pas par un simple DNS rebinding opportuniste ?
Il peut y avoir des bonnes raisons à vouloir bloquer l’IPv6 entrant, mais la plupart du temps ça n’avance pas à grand chose, et ça casse Internet.
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à 3. Dernière modification le 15 septembre 2020 à 15:16.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Modèle d’attaque
Posté par Ph Husson (site web personnel) . Évalué à 10. Dernière modification le 15 septembre 2020 à 15:36.
Pas besoin de scan, des /64 complets. cf par exemple http://netpatterns.blogspot.com/2016/01/the-rising-sophistication-of-network.html
Est-ce qui concerne "exposer des services sensibles", chacun a son usage de sa machine, mais perso j'ai installé pas mal de choses au fil du temps, sans trop réfléchir à s'y j'avais fini de l'utiliser et qu'il était temps que je l'enlève, résultat, exposé sur mon réseau, j'ai:
- un cups
- un exim4 (c'est un desktop, pas un serveur, j'ai honnêtement aucune idée de pourquoi j'aurais installé un serveur smtp)
- un smbd
- init qui expose un portmapper. systemd s'est déjà ratés plusieurs fois sur leur client DHCP, donc j'ai vraiment pas confiance.
- spotify
- avahi
- gradle (build system android, qui se met daemon pour se lancer plus vite… aucune idée de pourquoi il listen sur ::)
La probabilité qu'un de ces services ait une faille? Très proche de 1. Donc oui je suis bien content que le comportement par défaut de ma box soit de bloquer les connexions entrantes.
Et là je ne parle que de ma bécanne à moi que je contrôle. Mon niveau de confiance envers mes gadgets (smartphone, tablette, lampe connectée, …) est encore bien plus bas.
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à 1. Dernière modification le 15 septembre 2020 à 15:54.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Modèle d’attaque
Posté par barmic 🦦 . Évalué à 10.
Compter sur le fait que tous les services de toutes les machines qui passent sur ton réseau soient bien configurer me semble aussi une erreur, d'autant que tu n'administre pas forcément toutes les machines de ton réseau. Entre le pc du pote qui vient passer la soirée, les smartphones d'amis venu prendre l'apéritif et voulant montrer leur photo de vacances, la console de jeu dont tu n'est pas administrateur, cette ampoule connectée qu'on t'a offert et qui bien que non hackable fait quand même le taff, l'imprimante réseau dont il n'est pas sûr que son implémentation soit solide, etc
Bref ça que l'on cherche à bien configurer ses machines c'est une bonne chose, mais ça ne me semble pas pour autant remettre en cause une solution simple.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Modèle d’attaque
Posté par oinkoink_daotter . Évalué à 2.
Ca à la limite, c'est peu probable pour du matériel récent, car les dealers de consoles sont financièrement intéressés à corriger les trous. Par contre, la télé connectée android d'il y a 3 ans …
[^] # Re: Modèle d’attaque
Posté par Firwen (site web personnel) . Évalué à 1.
Un NAT n'est pas un pare-feu. Et en IPv4, ce qui "bloquait" tes connexion entrantes étaient principalement le NAT pas un pare-feu.
Il y a une bonne dizaine de manière d'exploiter un NAT pour le forcer à ouvrir certains port ou d'abuser les ports déja ouvert. Spécialement si tu as du traffic UDP.
Donc ce que tu as perdu, c'était surtout un faux sentiment de sécurité.
[^] # Re: Modèle d’attaque
Posté par barmic 🦦 . Évalué à 9.
Je ne suis pas un spécialiste, mais je doute fortement de ça.
L'existence de méthodes qui, sous certaines conditions, permettent de by-passer une sécurité n'en fait pas un faux sentiment de sécurité. Tu n'utilise pas un cadenas inviolable pour ton vélo.
D'autant que firewall n'est pas inviolable non plus.
Et même avec tout ça, ça ne remet pas en cause le fait d'en profiter pour améliorer sa sécurité.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Modèle d’attaque
Posté par Firwen (site web personnel) . Évalué à 0.
Un cadena est une cadena. Il a été conçu la sécurité.
Un NAT, spécialement celui d'un routeur chinois acheté pas cher, n'a jamais été conçu la sécurité. Il la fournit par effet de bord, et ça c'est une grosse différence.
[^] # Re: Modèle d’attaque
Posté par barmic 🦦 . Évalué à 2.
Je pense que tu te méprend sur la sécurité en question. La majorité des cadenas de vélos s'ouvrent avec un ciseau mapped rapidement et discrètement sans compétence particulière (il suffit de connaître l'astuce).
La question c'est est-ce que la sécurité que je met en place, par rapport à ce que je cherche à protéger et par rapport à comment ça intéresse les gens.
Récupérer l'adresse d'une machine, via n'importe quelle forme de rickroll puis tenter de se connecter en UPnP sur l'IP récupérée ça ne coûte rien et ça marche sur pas mal de machines. Ça ne demande aucun travaille.
L'implémentation des NAT était aussi légère que ça.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Modèle d’attaque
Posté par kowalsky . Évalué à 2.
Un NAT c'est un NAT. Si tu dis que tu ne NAT que :
ANY (Internet) => 192.168.0.2
Toutes les autres machines autre que 192.168.0.2 ne seront pas joignable depuis internet.
Si on parle du PAT pour les flux sortant, à part de rare attaques sophistiqué et qui nécessite une tonne de condition pour être possible, je ne vois pas de quoi tu parles.
[^] # Re: Modèle d’attaque
Posté par Firwen (site web personnel) . Évalué à 6.
99% des NATs grand publiques sont des PATs à flux sortant restricted cones. Oublions les vrai NATs qui font uniquement de la traduction d'addresse ici.
Un bon nombre de NATs fourni par les routeurs chinois pas chers ont un support UPNP ou PMP qui permet à n'importe quel machine interne d'ouvrir le NAT en mode Open bar. Les gadgets IoT ont d'ailleurs une bonne tendance à abuser de ceci.
Il y a eu des cas par le passé où certains NATs était mal configurés et répondait aux requêtes UPNP sur leur interface publique. Donc n'importe qui pouvait les ouvrir depuis l'extérieur.
Pour des raisons de compatibilités avec certains protocole P2P / hole punching/ STUN, certains PAT ne sont pas "address restricted". Un port ouvert par un flux sortant est accessible par TOUTES les machines externes et non pas uniquement la machine cible. Ce qui est un problème. C'est souvent très peu documenté pour les routeurs grand publique.
Mon point est le suivant: Oui un NAT apporte de la sécurité à un réseau interne. Mais cette "sécurité" est toute relative, mal définie et implémentation spécifique.
Donc non, un NAT n'est pas un pare-feu. Et en dehors d'un usage domestique simpliste, il ne doit jamais être considéré comme tel.
[^] # Re: Modèle d’attaque
Posté par oinkoink_daotter . Évalué à 5.
Tous ces points à part le dernier (et encore) sont des problèmes liés à l'UPNP qui est lui même lié au fait que le grand public n'est pas capable de configurer un pare feu. Ce n'est pas un problème de NAT.
Imaginons qu'on soit dans un monde idéal, sans NAT IPv4, avec de l'IPv6 partout. On aurait toujours besoin 1/soit d'un admin sys pour ouvrir les ports (ben oui, il n'y a pas que le TCP et le connection tracking dans la vie) 2/soit un protocole tout dégueu mode NAT-PMP pour que le réseau et les applis se demerdent tout seuls, parce que soyons sérieux deux minutes un parefeu ouvert open bar en entrée sur un réseau personnel c'est pas une bonne idée.
Tu coupes l'UPNP, tu te retrouves à peu près isofonctionnel avec un parefeu à l'ancienne.
[^] # Re: Modèle d’attaque
Posté par Firwen (site web personnel) . Évalué à 2.
Réponse tardive.
Pas vraiment.
L'UPNP est le propre du PAT. Principalement du au fait qu'ouvrir une connection Pt2Pt entre deux machines derrière PATs est une sinécure. Faire du hole punching dans une config "ipv6 + pare-feu" est beaucoup plus simple: tu n'as même pas besoin de machine type intermédiaire externe type STUN/TURN et donc pas besoin d'UPNP.
Le NAT est un parasite réseau d'un point de vue L3 et l'UPNP/ PMP a juste été inventé pour le rendre un peu plus gérable.
Dans une architecture fully V6, Tu as besoin d'ouvrir un port réseau uniquement si tu veux exposer un serveur interne.
Dans une architecture à PAT, la moindre connexion P2P, même sans exposition de service est une expérience de magie noire, et l'UPNP est là pour rendre l'expérience un peu meilleur (et parfois pire)
[^] # Re: Modèle d’attaque
Posté par oinkoink_daotter . Évalué à 2.
Oui mais non.
L'UNP est le propre du NAT dans le sens où effectivement un truc qui fait des redirections de port n'est utile que dans le cas où il y en a besoin.
Pour le reste :
Tu as quand même besoin d'un truc pour dire à ton firewall à un moment donné, "hey, je viens de lancer un client VoIP sur ma machine truc, laisse moi entrer les paquets à destination de tels ports serveur sur cette machine". Soit t'as un truc automatique qui le fait (qui d'ailleurs est standardisé UPNP ici (page 19) : http://upnp.org/specs/gw/UPnP-gw-InternetGatewayDevice-v2-Device.pdf, soit un humain s'y colle - good luck). Dans le cas UPNP-IGD IPv6 AddPinhole, je vois pas pourquoi il n'aurait pas les mêmes vulns que le machin équivalent IPv4 AddPortMapping.
[^] # Re: Modèle d’attaque
Posté par Firwen (site web personnel) . Évalué à 2.
Ben non justement, c'est la tout l'intérêt de ce qu'on appelle le "hole punching".
Si tu as deux machines derrières leur firewall respectifs qui veulent se connecter entre elles, elles le peuvent le faire algorithmiquement sans intermédiaire en se connectant en ouvrant des connexions sortantes entre elles.
Chose beaucoup beaucoup plus compliqué à faire en cas de PAT address restricted sans upnp.
[^] # Re: Modèle d’attaque
Posté par oinkoink_daotter . Évalué à 10.
Je veux bien les exemples car je n'en connais pas.
[^] # Re: Modèle d’attaque
Posté par M . Évalué à 4.
Oui j'ai des machines qui ne sont pas forcément à jour sur le réseau local. Et certaines qui ne peuvent pas être mise à jour.
Même sur les pc de tout les jours un oubli de config n'est pas à exclure !
Pas besoin de full scan. Pour les pc qui vont sur internet, il suffit que des pub/lien foireux donne l'adresse aux attaquants !
# firewall
Posté par Richard Genoud . Évalué à 8.
Tu peux activer le firewall ipv6 de la freebox :
http://mafreebox.freebox.fr
Paramètres / Configuration IPv6 / Activer le firewall IPv6
Ça va bloquer toutes les connexions entrantes sur ton réseau.
Sinon, il faut configurer un next hop qui va faire le tri (ou bien un autre routeur en mode bridge)
[^] # Re: firewall
Posté par Yann 'Ze' Richard (site web personnel) . Évalué à 7.
Ca ne fonctionne pas avec une crystal…
# Changer d'opérateur et de box ?
Posté par karteum59 . Évalué à 2.
Hormis si tu as un intérêt particulier (e.g. jouer avec OpenWRT), pourquoi serait-ce à toi de payer et faire le boulot ? Ceci alors que je présume que tu continues de payer > 30 € / mois pour une box qui n'est plus maintenue alors qu'il existe une pléthore d'offres en ce moment (aussi bien chez B&you que chez Sosh par exemple, avec des box "raisonnablement correctes" notamment sur le firewall ipv6) pour bien moins cher que Free (pas seulement la 1e année).
(N.B. mon avis est peut-être un peu biaisé par le fait que je n'utilise pas la TV et les offres les moins chères chez la concurrence n'incluent pas le boitier TV)
[^] # Re: Changer d'opérateur et de box ?
Posté par calandoa . Évalué à 3.
Je viens de regarder, c'est partout autour de 30€/mois sans considérer les offres promotionnelles. Peux tu détailler les offres auxquelles tu penses ?
Je suis moi même chez free à 30€ + 16€ de mobile.
[^] # Re: Changer d'opérateur et de box ?
Posté par karteum59 . Évalué à 3. Dernière modification le 15 septembre 2020 à 17:30.
En ADSL, il y a par exemple une offre Sosh pour 15€ / mois pendant 1 an puis 19€ / mois "à vie", et une offre red/sfr à 16 € / mois (à vie aussi, d'après ce que je comprends).
Mais après, en ADSL, il y a aussi les offres de la FFDN (certes un peu plus cher, mais on ne compare pas la même chose ;). Tiens d'ailleurs : quelqu'un ici sait-il s'il y a une chance que FDN propose un jour des offres fibre ?
[^] # Re: Changer d'opérateur et de box ?
Posté par eingousef . Évalué à 10.
Liste des cas :
(j'ai été obligé d'utiliser des titres parce que les listes à puces sont toutes pétées au delà de 2 niveaux d'indentation)
Métropole :
Zones denses
(= toute l'île de france + les grandes villes)
Le marché est partagé entre les 4 gros opérateurs. L'État a interdiction de leur faire concurrence. Tu as le droit de leur faire concurrence si tu as plusieurs millions à investir => pas de fibre pour les FAI asso
Zones moins denses
(= rase campagne, aka "les bouseux")
Les collectivités payent en faisant appel à des entreprises privées (délégations de service public), qui elles revendent la bande passante à des opérateurs. Là le politicard qui supervise le truc :
se sent concerné par la question
dans ce cas tout le département est fibré, sur la carte https://cartefibre.arcep.fr/ ce sont les départements qui sont tous bleus avec de gros trous blanc (les trous blanc ce sont les grandes villes, aka zones denses, que les 4 gros opérateurs n'ont pas encore fibré);
n'en a personnellement rien à secouer
sur la carte ce sont…tous les autres départements :D
↑↑↑ Dans ces deux cas de figure l'entreprise en question est supposée proposer aux FAI un contrat pour qu'ils puissent utiliser le réseau déployé. Le catalogue d'offres doit être public et permettre aux opérateurs, mêmes les plus petits, d'y souscrire. En pratique, dans la grande majorité des cas, soit les offres ne sont pas publiques et il faut être copain avec la bonne personne pour y accéder, soit les offres sont publiques mais la première ligne va coûter 10 000 balles, le contrat imposera un minimum de 50 000 lignes, et tu n'aura le droit de le signer que si tu as une photo de toi en train de danser la lambada tout nu affublé d'un ceinture de bananes accompagné de Boutros Boutros-Ghali en scaphandre. Dans une petite minorité des cas, il existe une offre publique dont les restrictions sont suffisamment raisonnables pour qu'un petit FAI asso puisse y accéder. Voir la carte ici : https://fibre.ffdn.org/
Outre-mer :
Comme pour les zones denses. Le monopole des gros opérateurs y a toujours été considéré comme normal pour le cuivre, donc pas de raison que ça change avec la fibre.
(Note: si ta commune apparaît en bleu sur la carte de l'arcep, ça ne veut pas dire que la fibre arrive chez toi hein. Au mieux elle arrive jusqu'au placard de ton immeuble, après faut la faire poser jusqu'à ton appart'. Sachant que les immeubles ne sont pas forcément prévus pour rajouter des tuyaux/câbles pas posés lors de la construction, donc même si tous les feux sont verts tu n'es pas au bout de tes peines…)
Conclusion : si tu n'as pas l'intention de déménager dans l'Ain en rase campagne pour le restant de ta vie, tu peux laisser tomber l'idée d'avoir de la fibre chez ton FAI associatif.
*splash!*
[^] # Re: Changer d'opérateur et de box ?
Posté par Jérôme Flesch (site web personnel) . Évalué à 3. Dernière modification le 15 septembre 2020 à 17:40.
Je pense qu'il fait référence aux marques low-cost comme Sosh (Orange) ou Red By SFR.
Par exemple, Sosh, pour avoir uniquement Internet par ADSL/VDSL, c'est 20€/mois hors promotions. Pour Red by SFR, c'est 16€/mois.
edit: bon ben j'ai été trop lent :)
# Achete ton matos
Posté par flagos . Évalué à 8.
Ne te met pas dans une situation de dépendance vis a vis de ton fournisseur. Il suffit d'une mise a jour, et hop ton fournisseur a change d'avis et choisit que de ne pas avoir de firewall par defaut, c'est un bien meilleur choix. Prend toi un routeur pour mettre derrière la boiboite et basta.
En plus, ca te permet de pouvoir changer de fournisseur bien plus facilement, donc tu as tout a y gagner.
[^] # Re: Achete ton matos
Posté par moulator42 . Évalué à 1. Dernière modification le 15 septembre 2020 à 18:03.
Et du coup, avec mon routeur perso OpenBSD chez Free, je n'ai jamais réussi à trouver comment utiliser leur tunnel IPv6 (en fait, ils ne sont déjà pas trop causants concernant leur liste de passerelles IPv4/v6)…
# La freebox crystal n'a pas tout ipv6
Posté par cg . Évalué à 1.
Salut,
Oula merci pour l'info, je n'avais pas remarqué ! Si je retrouve des pages zarbis dans mon imprimante, je saurai d'où ça vient :).
Il y a plusieurs années, j'ai passé du temps à essayer de faire fonctionner l'IPv6 correctement avec un routeur OpenWRT derrière ma freebox crystal (que j'ai toujours).
Ma conclusion a été de laisser tomber :
- la délégation de réseau ne fonctionne pas : la crystal n'a pas une couche IPv6 complète, par manque de mémoire d'après Free.
- Le mode bridge fonctionne un peu mais pas complètement (de mémoire le bridge n'est pas un vrai bridge pour IPv6, une partie du subnet reste sur la freebox).
Ce que tu peux faire:
Voir quelques infos dans le wiki OpenWRT:
https://openwrt.org/fr/docs/guide-user/network/ipv6/freebox
https://openwrt.org/docs/guide-user/network/ipv6/freeboxcrystal
a+
cg
[^] # Re: La freebox crystal n'a pas tout ipv6
Posté par Crao . Évalué à 1.
Il est toujours possible de s'abonner aux anciens prix, ce qui fait la Freebox mini 4K à 30€ :
https://signup.free.fr/subscribe2014/
[^] # Re: La freebox crystal n'a pas tout ipv6
Posté par Jérôme Flesch (site web personnel) . Évalué à 3.
Si tu t'abonnes, je ne sais pas, mais si tu l'es déjà, c'est plus problématique.
TL;DR: Si tu es déjà abonné, Free ne te changera pas ta vieille Freebox par une Freebox Mini 4K. J'ai testé. Ils te proposent uniquement les modèles plus chers.
Je suis actuellement abonné chez Free. J'ai une vieille Freebox (v4 ou v5, je ne sais plus). Elle ne supporte pas le VDSL2, mais j'y suis éligible. Il y a quelques jours, j'ai appelé la hotline. Je vous passe les difficultés pour les joindre. Quand j'ai finalement eut quelqu'un au téléphone, je leur ai demandé si ils pouvaient me changer ma vieille-Freebox-qui-pue par une Freebox compatible VDSL2. Mon interlocuteur m'a immédiatement proposé les Freebox-coincoin-super-chères dont je me fiche complètement (je n'utilise ni la télé ni le téléphone). Je lui ai dis que je veux la Freebox Mini 4K parce-que c'est la moins chère. Il m'a expliqué que "Free ne les fait plus". Ça m'a gonflé, donc je n'ai même pas pris le temps de lui demander pourquoi ils les proposent encore avec les nouveaux abonnements sur leur site.
Conclusion, je suis entrain de passer chez Sosh.
[^] # Re: La freebox crystal n'a pas tout ipv6
Posté par NicolasP . Évalué à 1.
Je suis passé de la Freebox V5 à la freebox mini 4K il y a même pas 2 mois. La fibre optique est enfin arrivée chez moi et elle n'est pas compatible avec la V5. Du coup, Free m'a proposé de migrer soit vers la mini 4K soit vers la révolution sans payer.
Je n'ai pas vérifié si j'avais l'option de changer avant que la fibre soit disponible, je n'en n'avais pas l'utilité sans la fibre.
[^] # Re: La freebox crystal n'a pas tout ipv6
Posté par karteum59 . Évalué à 3. Dernière modification le 21 septembre 2020 à 15:30.
J'ai fait la même chose en 2016, et ça me fait penser : n'oublie pas de renvoyer l'ancienne Freebox V5 ! Dans mon cas ils ne me l'ont jamais demandé au moment de l'installation de la mini 4K - l'installateur m'avait juste dit de la mettre de côté. En 2018, j'ai eu un changement de vie et ai rendu mon appartement (donc résilié ma ligne Free et pas simplement déménagé). J'ai évidemment renvoyé la mini 4K, mais n'ai plus du tout pensé à faire de même avec la V5 qui prenait la poussière chez mon père depuis 2 ans. 3 mois plus tard : je reçois une facture de plus de 300 € pour équipement Freebox non rendu (et aucun moyen de récupérer mes 300 € même en restituant ladite Freebox V5). Merci Free !
(P.S. et tant que j'y suis, autre déconvenue avec Free : lors du décès d'un parent juste avant le confinement, je n'ai pas pu faire les résiliation en temps et en heure (et en fait je n'avais même pas accès aux infos/identifiants/…). Au déconfinement, j'ai eu le bonheur de découvrir de superbes factures avec de belles majorations pour impayé, et le service client m'a baladé avec des infos contradictoires ("oui on va faire un geste et annuler les majoration", puis réception de courriers de recouvrement… La hotline incompétente a toujours refusé de me passer un superviseur). Bref conclusion : Free pour moi c'est fini (et pour mes proches aussi !))
[^] # Re: La freebox crystal n'a pas tout ipv6
Posté par NicolasP . Évalué à 1.
Dans mon cas, ce n'est pas l'installeur qui me l'a installée.
1. Free m'informe que la fibre est arrivée chez moi mais que pour en profiter il faut d'abord que je change ma freebox puis après ils me recontacteront
2. Une fois que j'ai choisi de passer sur la mini 4k, Free m'a informé que ma freebox serait envoyée dans un point relai et que je devais ramener l'ancienne freebox en même temps => c'était un échange de freebox plutôt qu'un envoi et réenvoi. Sur le coup, je me suis dit que si la nouvelle ne marchait pas, ça allait être galère.
3 J'ai installé la mini 4k sur l'ADSL
4 Ensuite l'installeur est venu pour mettre la fibre optique
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.