Orange Faille de sécurité chez Orange

[tbr 13]

Hello la foule en liesse !

Je viens de découvrir une mega faille de sécurité chez orange.fr

Si si, j'vous jure que ça vaut le coup.

Pour mettre tout ça dans le contexte, je me connecte au wifi du bar du village parce que la propriétaire m'a aimablement communiqué le pw de 462 caractères. C'est d'ailleurs du bar que je tape ce texte, et vous l'envoie.

Ce détails à propos du pw du Wifi aura peut-être son importance pour ce que je vais vous raconter dans les lignes suivantes.

Donc... je vais sur le lien orange qui permet de savoir le montant d'une résiliation anticipée :

https://espaceclient...php?PartnerId=M

Et je reviens "en arrière" pour ne garder que :

https://espaceclientv2.orange.fr/

... et tombe directement sur le compte orange (mobile, fixe, etc.) de la propriétaire sans avoir aucun code à taper.

Evidemment je n'ai jamais eu ni son numéro de portable, encore moins son mot de passe.

Dingue, isn't it ?

Je me disais que, allez savoir, ces crétins de chez "agrume" ont fait que le paswword du Wifi est strictement identique à celui qui sert à se connecter à son propre compte orange. Si c'est le cas, bonjour la big connerie.

Franchement, qu'en pensez-vous ?

Juste histoire de, je vais aussi tester les deux liens avec mon iPhone 4.

[Rabban 4]

C'est connu. A partir du moment ou tu es sur une ligne orange, tu as accès à son compte.

A mon ancienne boite on pouvait voir tous les mails envoyés à la direction de la part d'orange, par exemple.

C'est effrayant mais je crois qu'en fait tout le monde s'en fout.

[tbr 13]

Fort bien, mais je fais comment si je ne veux plus être automatiquement connecté sur ce compte, comme dit le pop-up, après m'être déconnecté du mien ?

S'il y a bien un truc que je déteste, c'est de fourrer mon nez dans les affaires privées des autres. Je peux faire ce que je veux sur son compte et s'il n'y avait pas de confiance entre nous, ça serait une excellente raison de querelles stupides.

A noter, bien entendu, que je n'ai pas non plus l'intention de rester connecté avec mon propre compte Orange mobile. Ce que je veux, c'est la version "vierge" (de tout compte)

[Rabban 4]

Alors ça, je crois qu'il faut demander directement à orange

Ou fouiller pour voir si il n'y a pas un paramètre à désactiver?

[cruchot 131]

S'il y a bien un truc que je déteste, c'est de fourrer mon nez dans les affaires privées des autres.

Alors que moi, c'est tout le contraire. Déformation professionelle dirons-nous

[Carambar 18]

Mais ça fait des années que ça dure, et ils n'ont toujours pas corrigé ça ? Décidément...

Une manière de "sécuriser" son compte Orange qui avait été donnée à l'époque était de créer un deuxième utilisateur (créer une seconde adresse mail Orange, donc), pour forcer l'authentification à chaque visite de la page.

Et après ils viendront nous dire que le commun des mortels est censé savoir "sécuriser" son accès wifi ?

EDIT : J'ai une question de n00b au sujet de Free. Ils envoient la Freebox pré-configurée, d'après ce que j'ai compris. Donc en supposant qu'elle soit volée avant d'être livrée, on devrait pouvoir se connecter au nom du destinataire ? Ou il y a vérification du numéro de téléphone du point de connexion ?

[momo 18]

la freebox télécharge sa configuration à chaque connection…

[Carambar 18]

Mais elle se base sur quoi pour identifier l'utilisateur, le numéro de téléphone utilisé pour la ligne ADSL ? Auquel cas les FB expédiées sont "génériques" et sans configuration particulière ?

Je n'ai jamais eu de "box", j'ai un modem/routeur que j'ai donc configuré moi-même avec identifiant de connexion et mot de passe, d'où mon interrogation sur la manière dont procède Free avec sa FB.

Pour la LB, il me semble qu'on la retire en agence et la configure à la main (ou on fait appel à un technicien).

[Ben Kenobi 15]

Une Freebox ne peut normalement pas se connecter ailleurs que sur la ligne du compte abonné. Elle ne servira donc à rien à ton voisin par exemple.

[tbr 13]

Pour la FB, sauf erreur (et d'après mes souvenirs du temps où j'ai bossé chez eux), c'est l'adresse MAC qui compte. Je crois qu'on devait faire correspondre le n° de téléphone avec cette adresse mais bon, à vérifier car je n'en suis plus certain.