Livebox Pro Pas Pro

Après avoir passé quelques heures à installer une Livebox Pro, je reste confronté à un gros problème de sécurité auquel Orange n'a pas de réponse.

La Livebox Pro est destinée aux PME et permet de se connecter à l'ADSL tout en fournissant un accès WIFI.

N'importe qui dans votre entreprise, si vous lui donnez les codes d'accès, peut donc utiliser la connexion Internet. Jusqu'ici tout va bien.

Là où ça se complique, c'est que n'importe qui utilisant cette connexion (via le WIFI ou un cable) peut aller sur www.orange.fr et là paf orange.fr vous reconnaît comme client Orange (à l'aide de l'adresse IP je suppose) et vous donne donc accès (sans mot de passe) à toute votre messagerie, boite vocale, service d'envoi de SMS, et comble du bonheur, votre RIB et vos informations de facturation.

Cela est sans doute pratique dans le cadre familial (vous allez sur orange.fr et hop vous pouvez consulter vos mails etc.. sans jamais saisir de mot de passe) mais dans un cadre professionnel, multi-poste, c'est un très gros problème.

Le support technique "dédié aux professionnels" confirme qu'il n'est pas possible d'activer une option pour qu'un mot de passe soit demandé avant d'afficher toutes vos informations personnelles. (comme sur Free.fr par exemple. :-/ )

Solutions fournies par le support :

- Installer une deuxième Livebox Pro, réservée à vos clients. Allo ? Même la deuxième Livebox aura le même soucis et tout le monde aura accès aux informations de facturation, service d'envoi de SMS etc..!

- Installer un autre routeur, et bloquer l'accès à orange.fr au niveau de ce routeur, "mais vous allez devoir faire appel à un administrateur réseau". Euh oui donc la LiveBox ne sert.. à rien. merci.

- Activer le mode "Orange WIFI Access". mmm

Le mode Orange WIFI Access c'est trop fort : en gros votre LiveBox Pro devient alors hotspot Orange (en plus de votre propre réseau WIFI), totalement isolé de votre réseau interne. Sauf que les clients doivent alors acheter des crédits de connexion ( 2 heures de connexion 10 euros, 24 heures de connexion 20 euros ! ).. et rien ne vous est reversé. Cherchez l'erreur, vous payez un abonnement pour faire opérateur de hotspot bénévole pour Orange. :-)

Donc si vous souhaitez donner un accès WIFI gratuit à vos clients, dans votre restaurant par exemple, vous êtes coincé, c'est impossible avec une Livebox Pro, sans exposer tous vos clients à vos informations personnelles, emails etc.. Pas très Pro pour une Livebox.. Pro.

Si vous avez une solution je suis preneur, et il serait bon que Orange fournisse une option pour protéger par mot de passe l'accès au compte sur orange.fr.

PS : Un autre problème est que la Livebox exige l'identification des PC/MAC via leur adresse mac, vous devez donc appuyer sur un bouton sur la livebox à chaque fois que quelqu'un veut se connecter à votre réseau WIFI pour la première fois. Ce n'est écrit nulle part mais en fait vous pouvez lever cette option dans les préférences réseau de la livebox, en mettant le temps d'activation du bouton à "--" (au lieu de 10 minutes par défaut).

PS geek: En dernier recours, j'ai essayé de bloquer l'accès à orange.fr au niveau de la Livebox, mais les directives pour activer le serveur telnet décrites ici ne fonctionnent plus, donc impossible de mettre des règles iptables.

Mise à jour : Ca rassure je ne suis pas le seul à trouver cela aberrant.

Mise à jour 2 : Il me semblait bien avoir lu un truc similaire il y a quelques années, je viens de le retrouver c'était dans le Virus Informatique.

Mise à jour 3: La solution apportée par plusieurs personnes dans les commentaires fonctionne! Vous ne pouvez pas vous déconnecter (lien en haut à gauche, cliquez sur votre nom) si vous n'avez qu'un compte email, mais si vous créez une seconde adresse email, vous pouvez alors vous déconnecter, et orange.fr ne vous reconnaîtra plus automatiquement. Ce serait bien de mettre cette info bien en évidence quelque-part. Quoi que c'est fait maintenant via Google. :-)

Blogueurs 1 - Support "Pro" Orange 0 (vous disposez d'un support "dédié Pro" si vous avez une LiveBox Pro..)

Comments

[Rédigé par : Yann]

Bonjour,

Cela ne m'étonne pas du tout déjà au niveau de la livebox perso c'est déjà une trop belle galère d'arnaque alors j'imagine ! Bon courage
PS / Ne pas trop compter sur la hot-line elle est justement bordel line.

[Rédigé par : SAM]

Bonjour JYS,
Il me semble qu'il suffit de créer un second compte utilisateur (est-ce possible chez les Pro) afin que le portail n'identifie pas l'utilisateur par défaut.
Je viens de faire le test en tant que client perso et cela fonctionne. Peut-être cela vaut-il la peine d'essayer.

[Rédigé par : Julien LEMARCHAND]

Même à la maison, Maman gueule quand je li ses mails...

[Rédigé par : SAM]

Petit ajout JYS : il faut se déconnecter de la session après la création du second utilisateur (icône à gauche dans la barre orange en haut). Ca devrait le faire. Enfin, je l'espère.

[Rédigé par : Kilian]

Dans ma fac c'est le même problème ! Quand je me connecte à Orange.fr grace au réseau Wifi : hop, je déboule sur la messagerie de l'administrateur du compte.

Bravo.

Je n'aime pas cretin.fr, malheureusement Orange rempli parfaitement son rôle avec ce bug qui dure depuis longtemps.

[Rédigé par : drius]

La solution est très simple à ce problème,
il suffit de créer une deuxième adresse mail Orange (on en a droit à 5) et après on est plus automatiquement identifié et l'accès à toutes les infos sensibles nécessite un mot de passe de messagerie. l'identification n'a rien à voir avec l'ip.
have fun ;-)

[Rédigé par : Charles Boone]

Woah ! C'est toujours le même bug depuis le numéro 15 du virus ? Mais ca date depuis longtemps ca... !

Comme quoi on peut être une très grosse entreprise et pas pour autant tenir compte de ses clients.
Ce qui sera interessant, c'est de voir si avec le phénomène blog, orange se bougera un peu plus parce que cette fois ci cela ne sera pas diffusé dans un petit média minuscule (j'adorais le virus mais question impact...)
Si quelques un des blogs majeurs français relaient l'info, Orange sera bien obligé d'enfin faire quelque chose.

Charles Boone
Be Wefficient Now!
http://emailing.typepad.fr

[Rédigé par : Creepy]

Il suffit tout simplement de créer un second utilisateur de messagerie sur orange.fr et de bien se déconnecter après.

Concernant le jumelage avec adresse "mac", c'est une sécurité supplémentaire lorsque que l'on souhaite sécuriser son lan.

[Rédigé par : Viper]

Mais, c'est la fête chez orange on dirait... halalala... surtout qu'il sont déja plus cher qu'ailleur...

[Rédigé par : Johan Denoyer]

Ne pas oublier de desactiver les services tiers tels que le payement à l'acte, le minitel, sms, etc... (Voir gestion du compte orange)

[Rédigé par : Guillaume]

Une solution c'est d'aller voir ailleur...
Ou de rejoindre la communauté FON
Vive la concurence...

[Rédigé par : Jeremy G]

Dans le meme genre, mon père a demandé la réparation de sa FREEbox, après l'avoir pris pour un con en lui demandant d'éteindre et de rallumer 5 fois sa freebox, on n'a finis par lui dire gentillement d'aller sur Free, de voir "mon compte", "gestion de votre compte" et de regarder le lien désabonnement ... Pour un conseil, c'est un conseil.
D'où le changement vers la livebox :)

C'est toujours bien ... quand ça marche.

[Rédigé par : Steg]

Pour info, eteindre et rallumer 5 fois de suite sa freebox fait qu'elle interprete ca comme un reset du firmware... En gros elle revient dans l'etat ou vous l'avez recu. Une des causes de non fonctionnement de la freebox est une mise a jour ratée, donc un reset et ca repart :)

Sinon, oui creer un deuxieme utilisateur regle le probleme d'authent. Seul les mono utilisateurs sont automatiquement authentifié par leur IP.

Mais oui c'est un peu con comme truc :D

[Rédigé par : nych]

C'est avec les livebox pro qu'Orange déclare 17000 hotspot. Mais sur le domaine public il y en a peu. De plus il font du beurre sans rétribué la PME qui héberge le hotspot.
C'est pas mal comme arnaque.

[Rédigé par : parisiendu95360]

Enfaiit il ne faut pas installer sur les pc's le gestionnaire internet de chez orange... Et faire appel au mythique assistant Windows pour se connecter a la live nox en wifi ! Deja cela c'est une chose.. Ensuite chez orange vous avez la posibilité de créer un deuxieme compte, une deuxieme adresse en @orange.fr en gros.. Et de laisser lacces libre au clients qui veulent se connecter depuis ce deuxieme compte. Ce deuxieme compte sera l'equivalent d'une session windows en option 'limitée"... ce qui permettra de ne pas acceder aus i nformations personnelles ! Je pense que sa suffira au niveau securité !

[Rédigé par : liam]

Prends une box fon :)

[Rédigé par : Antoine]

Le bug est toujours présent, ils ne lisent pas les blogs chez Orange :-/

[Rédigé par : Yannick35]

Je rêve, non seulement le problème est hyper façile à résoudre (pour info Sam a été le 1er à donner la bonne formule) il faut créer un second compte afin que le serveur oblige l'usager à s'identifier. Ce qui résouds l'ensemble des problèmes de confidentialité des infos dans le cas d'un accès par un utilisateur reconnu (clé WEP). Bref: un truc tout con, si le serveur vous connait comme seul utilisateur pourquoi s'identifier alors que si il y a au moins 2 util. il y a une raison à celà.
De la à attaquer Orange pour le fait de vendre ses services par l'intermédiaire du service Hotspot que propose une livebox pro. Je trouve ça vraiment très bas.
Pour un client en compte chez orange en mobile, c'est quand même très utile de pouvoir se connecter et de payer à l'acte dans beaucoup de lieux, le bénéfice existe pour tous les acteurs. Vous êtes libres de ne pas offrir cette possibilité à vos visiteurs ou clients. Mais franchement c'est pas terrible de résonner comme ça et je pense qu'un client pro qui utilise souvent le connections WiFi en extérieur évitera de venir ou de rester chez vous car il détectera votre livebox mais verra qu'il n'y a pas de passerelle hotspot.
Ce service est un plus proposé pour les pro par l'opérateur mais n'est en rien une obligation d'activation pour vous.
Un simple client Orange qui est en plus en Livebox résidentielle.
Slts

[Rédigé par : Christophe]

J'ai voulu activer l'accès Hotspot sur la LiveBox Pro (Inventel) pour les fournisseurs et les clients qui viennent à l'entreprise.
Une fois le hotspot activé, je me suis rendu compte que l'on pouvait se connecter dessus uniquement lorsque la livebox était en apprentissage (avec l'option sécurisée Adresse Mac).
Une fois que le temps défini était imparti, plus de SSID visible !
Donc plus de connexion WIFI possible (aussi bien HOTSPOT que WIFI entreprise avec adresse MAC enregistrés).
Réponse Hotline Orange (3901) :
1> Désactiver le temps d'apprentissage adresse MAC !
ou
2> Ne pas activer l'accès HOTSPOT et WIFI en même temps !

Conclusion
BUG (+/- reconnu) mais pas près d'être corrigé apparemment.

[Rédigé par : Jean-Pierre]

Pour environ 30 €, il existe un boitier qui, une fois branché sur la LiveBox, délivre un signal wifi gratuit ou payant : la FONERA.
Allez voir le site www.fon.com/fr
Cela peut pallier à ces problèmes de sécurité et en plus, comme dit par Steg, orange ne se fera pas du beurre avec un hot spot hébergé par un client.

[Rédigé par : nacer]

bonjour si possible tu peut desactiver le mot de passe de messagerie pour que les autres utilisateur ne puisse pas avoir accé a votr compte perso et desactiver le wifi accees

[Rédigé par : Gudule]

Il faut créer un autre compte utilisateur et ne pas cocher s'authentifier automatiquement en retenant l'ip