- RouterSecurity.org estime qu’un modem et un routeur achetés soi-même sont plus sûrs que les équipements fournis par les FAI, et considère comme principaux risques les lacunes de configuration initiale, de maintenance, d’administration à distance et de contrôle du firmware
- Les équipements des FAI peuvent être configurés en privilégiant la commodité afin de réduire les coûts de support technique ; mots de passe par défaut, DNS verrouillé, mises à jour de firmware verrouillées et Wi-Fi public peuvent réduire le contrôle de l’utilisateur
- Dans les cas de Sky, Virgin Media, Comcast, Verizon, TalkTalk, EE, AT&T et Deutsche Telekom, des problèmes reviennent régulièrement : DNS rebinding, fuites de données, vulnérabilités WPS, comptes backdoor, exposition TR-069 et identifiants par défaut
- Dans les régions où le marché de l’Internet haut débit est en situation de quasi-monopole, comme aux États-Unis, l’analyse suppose que les FAI ont peu d’incitation à fournir de meilleurs équipements ou une meilleure sécurité ; une note d’octobre 2024 précise que ce point de vue peut être limité aux États-Unis
- Utiliser son propre matériel permet à l’utilisateur de contrôler le firmware, le DNS, l’équipement de secours et le choix du routeur, mais comme il est difficile de choisir immédiatement le produit parfait, il est plus réaliste d’acheter auprès d’un vendeur qui accepte les retours
Pourquoi recommander des modems et routeurs achetés soi-même
- La position défendue est que la configuration la plus sûre consiste à éviter les équipements du FAI et à utiliser un modem et un routeur achetés soi-même
- Les équipements fournis par les FAI sont considérés comme présentant les risques suivants
- Une mauvaise qualité générale peut apparaître dans la configuration initiale et la maintenance continue
- Les équipements installés avec un mot de passe par défaut sont interprétés comme le signe que le FAI n’accorde pas assez d’importance à la sécurité des utilisateurs
- Sécurité et commodité entrent en conflit, et les FAI sont susceptibles de configurer les routeurs en privilégiant la commodité afin de réduire les coûts de support technique
- Le même équipement déployé chez des millions de clients devient une grosse cible pour les attaquants et les acteurs de la surveillance
- Utiliser un équipement moins répandu est jugé plus sûr
Équipements des FAI limitant le contrôle de l’utilisateur
- Certains équipements de FAI sont verrouillés de sorte que l’utilisateur ne puisse pas modifier des paramètres essentiels
- Il y a eu des cas où il était impossible de changer le mot de passe
- Il y a aussi eu des cas où il était impossible de changer les serveurs DNS ; le BT Business Hub et Sky Broadband au Royaume-Uni, ainsi que de nombreuses régions en France, sont cités en exemple
- Sur la passerelle Arris TG1682G fournie par Comcast, il était impossible de changer l’adresse IP LAN et, même en changeant le sous-réseau, le numéro de l’équipement restait toujours 1
- La fonction de mise à jour du firmware peut elle aussi être verrouillée, alors que l’utilisateur devrait pouvoir contrôler entièrement les mises à jour du firmware
- Les FAI ne fournissent généralement qu’un seul équipement ; en cas de panne, l’utilisateur peut donc rester hors ligne jusqu’à son remplacement
- Posséder son propre matériel permet de préparer un modem ou un routeur de secours
- À long terme, acheter son propre équipement peut revenir moins cher
- Certains FAI facturent des frais de location pour un modem ou une passerelle
- La liste d’achat de modems pour les clients Time Warner et mydeviceinfo.comcast.net de Comcast sont cités en exemple
Motivations des FAI dans le choix du matériel et précision sur le marché américain
- La note d’octobre 2024 indique que ce jugement adopte le point de vue des utilisateurs américains et qu’il peut ne pas s’appliquer tel quel en dehors des États-Unis
- Aux États-Unis, une concentration des grandes entreprises est en cours dans de nombreux secteurs, et les FAI s’inscrivent aussi dans cette tendance
- Beaucoup d’utilisateurs américains, peut-être la plupart, sont considérés comme dépendant d’un seul FAI
- De nombreuses régions des États-Unis sont jugées proches d’un quasi-monopole pour l’accès à l’Internet haut débit
- Un FAI en quasi-monopole a peu d’incitation à fournir un bon service, et les clients sont décrits comme quasiment captifs
- Comme l’objectif d’un FAI est de gagner de l’argent, il est censé fournir le matériel le moins cher capable d’assurer les fonctions nécessaires
- Le renforcement de la sécurité augmente les appels au support technique, dont le coût incombe au FAI ; la sécurité a donc du mal à devenir une priorité
- En juin 2022, une réponse sur un forum financier, fondée sur l’expérience de vente d’équipements réseau à des opérateurs télécoms et câblo-opérateurs, a résumé les priorités des équipements installés chez le client comme « coût, administration à distance, coût »
- Cela revient à dire que les FAI veulent des routeurs bon marché et contrôlables
Inquiétudes concernant le Wi-Fi public, la surveillance et la collecte de données
- De nombreux FAI veulent mettre en place des réseaux Wi-Fi publics à partir des équipements domestiques, et rien ne permet de supposer que cela soit réalisé de manière sûre
- Article critique sur Comcast XFINITY WiFi : Comcast XFINITY WiFi: Just say no
- Cablevision fait la même chose, et Timothy Geigner a écrit en substance que les clients de Cablevision devraient acheter leur propre routeur et leur propre modem
- Juniper Research appelle ce type d’équipement un « homespot router »
- Des FAI ont déjà coopéré avec des agences de surveillance ou des gouvernements, et même sans influence extérieure, ils pourraient intégrer des backdoors dans les équipements des clients
- Your ISP is Probably Spying On You de Harrison Sand traite d’un cas où un routeur collectait des informations sur les équipements côté LAN et les envoyait au FAI
Exemples récurrents de vulnérabilités dans les équipements de FAI
- En mai 2023, un client Spectrum a reçu un routeur contenant des cafards ; ce n’est pas un problème de sécurité, mais l’exemple est présenté comme révélateur du niveau de gestion des équipements clients
- En novembre 2021, une vulnérabilité de DNS rebinding a été révélée sur 6 millions de routeurs Sky
- Sky a mis 18 mois à corriger le problème et aurait souvent ignoré Pen Test Partners, qui avait découvert la vulnérabilité
- Article lié : SkyFail. 6 million routers left exposed
- En septembre 2021, il a été rapporté que Virgin Media n’avait pas corrigé une vulnérabilité de routeur depuis plus de deux ans
- En août 2021, une présentation à BlackHat a traité du problème de certains FAI qui continuaient à inclure des adresses MAC dans les adresses IPv6 publiques
- Les chercheurs ont trouvé plus de 12 millions de routeurs et passerelles dont l’adresse MAC était incluse
- Aux États-Unis, plus d’un million de routeurs-passerelles Comcast Xfinity présentaient ce défaut de conception
- En 2019, Sky Broadband a mis hors ligne certains clients avec une mise à jour de ses hubs haut débit, en particulier ceux qui avaient configuré des serveurs DNS autres que ceux de Sky
- Il est indiqué que la dernière mise à jour semble aussi avoir supprimé la possibilité même de modifier les serveurs DNS
Cas Comcast, Verizon, TalkTalk et EE
- En 2018, une vulnérabilité du site web de Comcast pouvait exposer l’adresse du domicile, le nom du réseau Wi-Fi et le mot de passe Wi-Fi des clients Xfinity
- Il suffisait à l’attaquant de connaître le numéro de compte du client et le numéro de maison ou d’appartement
- Cela ne concernait que les clients utilisant l’équipement Comcast, tandis que les utilisateurs de leur propre routeur étaient en sécurité
- L’attaquant pouvait aussi modifier le SSID ou le mot de passe Wi-Fi
- En juin 2018, une autre fuite de données a été révélée : n’importe quel équipement du réseau d’un client Comcast pouvait appeler une API pour obtenir le numéro de compte, l’adresse du domicile, le type de compte et les informations sur les services actifs
- En décembre 2018, Tenable a découvert trois bugs dans des routeurs-passerelles Verizon FIOS
- Verizon n’ayant pas écrit le firmware lui-même, il a dû confier les corrections à un tiers, et la réponse aux bugs était répartie entre plusieurs groupes
- Un bug déjà connu n’avait pas été corrigé, et il n’y aurait eu aucun projet d’information publique
- En mai 2018, il a été confirmé que des routeurs TalkTalk étaient vulnérables à une attaque par code PIN WPS déjà connue en 2011
- En octobre 2018, la passerelle 4GEE HH70 d’EE contenait un compte backdoor accessible en SSH côté LAN
- EE a d’abord ignoré le problème, et la réponse n’a avancé qu’après l’intervention de The Register
- Un correctif est ensuite sorti, mais les clients devaient installer eux-mêmes le nouveau firmware
Botnets, spywares et vulnérabilités à grande échelle
- En novembre 2017, un nouveau botnet exploitant une vulnérabilité d’équipements ZyXEL a été découvert
- Il était possible de se connecter à distance avec l’identifiant utilisateur et le mot de passe par défaut, et le port était ouvert
- Un mot de passe superutilisateur codé en dur permettait aussi aux attaquants d’obtenir les droits root
- Environ 100 000 équipements étaient infectés, presque tous sur le réseau de Telefonica de Argentina
- En septembre 2017, ESET a signalé que certains FAI de deux pays non nommés semblaient coopérer à la diffusion du spyware FinFisher
- Lorsque des utilisateurs ciblés tentaient de télécharger des applications légitimes comme WhatsApp, Skype, Avast, WinRAR ou VLC Player, ils étaient redirigés vers des versions infectées
- Le mode d’attaque suggère fortement une attaque de l’homme du milieu au niveau du FAI
- À DEF CON 25, Marc Newlin, Logan Lamb et Chris Grayson ont annoncé avoir trouvé 26 bugs dans des passerelles et décodeurs fournis par des FAI
- Des équipements Cisco, Arris, Technicolor, Motorola et Xfinity étaient concernés
- Plusieurs vulnérabilités d’exécution de code à distance sans authentification étaient présentes
- Il est indiqué que la diffusion des correctifs prend des mois, que les signalements de bugs officiels ne sont pas déposés et que les clients ne sont pas informés des problèmes
- Un document de Trend Micro de 2017 recommandait, comme point de départ pour la sécurité des routeurs domestiques, d’éviter les routeurs gratuits inclus dans les offres Internet
Anciens problèmes de réglages par défaut et de backdoors
- En 2016, Scott Helme estimait que le principal critère de choix des équipements de FAI était le coût, et qu’un faible coût pouvait entraîner une qualité moindre non seulement du matériel, mais aussi d’aspects comme la sécurité
- Il citait comme exemple de graves vulnérabilités des routeurs EE BrightBox, ainsi que des vulnérabilités restantes après des correctifs tardifs
- En octobre 2016, un FAI australien a distribué des routeurs dont le SSID était très proche de l’identifiant utilisateur et du mot de passe par défaut
- En 2015, Lucian Constantin a écrit que la sécurité des routeurs fournis par les FAI était souvent moins bonne que celle des produits vendus au détail
- Si l’administration à distance est activée, l’interface d’administration et les vulnérabilités peuvent être exposées à Internet
- Même si les FAI peuvent mettre à jour le firmware à distance, ils ne le font pas souvent, et les utilisateurs peuvent ne pas pouvoir le faire eux-mêmes à cause de droits d’accès limités
- En 2015, Bernardo Rodrigues a écrit que les passerelles Arris TG862A, TG860A et DG860A contenaient du XSS, du CSRF, des mots de passe codés en dur et une backdoor dans la backdoor
- Une interface HTTP cachée ou des MIB SNMP personnalisées pouvaient être utilisées pour activer Telnet et SSH à distance
- Plus de 600 000 équipements vulnérables accessibles de l’extérieur étaient estimés
- Verizon a fourni à de nouveaux clients des routeurs configurés par défaut en WEP, alors même que WEP était connu depuis longtemps comme non sécurisé
- La FTC a envoyé en 2014 une lettre indiquant qu’elle enquêtait pour savoir si Verizon avait protégé de manière raisonnable et adéquate les routeurs fournis à ses clients DSL et FiOS
- WEP est une norme abandonnée par l’IEEE en 2004 au profit de WPA puis WPA2
TR-069 et exposition de l’administration à distance
- La configuration à distance des routeurs et modems fournis par les FAI est considérée comme un gros enjeu de sécurité
- L’un des mécanismes de mise à jour à distance est TR-069, ou CWMP
- Des bugs de ce protocole ont été exploités à plusieurs reprises
- En novembre 2016, environ 900 000 clients de Deutsche Telekom ont été mis hors ligne à cause d’un problème de routeur
- L’attaque provenait d’une variante de Mirai, et le fait que le FAI n’ait pas protégé des ports TCP/IP ouverts a été pointé du doigt
- Certains routeurs fournis par des FAI exécutaient un serveur TR-064 ouvert sur l’Internet public, ce qui est considéré comme une grave erreur de configuration
- En avril 2017, Wordfence a écrit qu’il ne fallait pas permettre l’accès au port 7547 d’un routeur depuis l’Internet public
- Shodan a signalé que le port 7547 était ouvert sur l’Internet public pour plus de 41 millions de routeurs domestiques
- Plus de 10 000 routeurs domestiques infectés ont été trouvés en Algérie et plus de 11 000 en Inde, ce qui a été relié à l’exposition du port 7547
- En 2014, Lucian Constantin a écrit que les routeurs domestiques fournis par les FAI pouvaient être compromis en masse
- En 2011, 147 millions d’équipements avec TR-069 actif écoutaient en ligne sur le port TCP 7547
- Shahar Tal de Check Point estimait que les serveurs ACS pouvaient être facilement compromis
- La spécification TR-069 recommande l’usage de HTTPS, mais environ 80 % utilisaient le HTTP non sécurisé, les exposant aux attaques de l’homme du milieu
AT&T U-Verse et autres ports exposés
- Le problème des ports exposés ne se limite pas à TR-069
- En septembre 2017, Nomotion a traité de deux ports ouverts sur les passerelles AT&T U-Verse
- L’un était SSH, et le port TCP 49152 aurait permis à un attaquant côté WAN de contourner le pare-feu
- Trois comptes backdoor codés en dur ont aussi été découverts
- Le titre de l’article lié est SharknAT&To
- AT&T n’a rien dit sur les problèmes de sécurité pendant deux semaines même après l’humiliation publique, et Arris serait également resté silencieux après avoir annoncé une enquête
- HD Moore de Rapid7 estimait que la situation s’aggravait parce que certains FAI distribuaient des équipements haut débit comme les routeurs domestiques sans les vérifier suffisamment ni les configurer correctement en matière de sécurité
Honnêteté, débits et choix de l’équipement
- Au-delà de la sécurité, la question de l’honnêteté des FAI est soulevée
- Time Warner Cable, c’est-à-dire Spectrum et Charter, a été poursuivi en 2017 dans l’État de New York pour avoir menti sur les débits de téléchargement fournis aux clients
- Susan Crawford a écrit que presque tout ce que l’entreprise avait déclaré depuis 2012 aux habitants de l’État de New York au sujet de l’accès Internet et des services de données semblait faux
- Les 2,5 millions d’abonnés de New York se seraient vu promettre des débits descendants et montants supérieurs à la réalité
- Les méthodes utilisées par Charter/Spectrum/Time Warner Cable pour réduire les débits se résument à trois points
- Entasser davantage de foyers sur des connexions de quartier partagées insuffisantes
- Mettre sous pression les interconnexions entre le réseau Spectrum et d’autres réseaux
- Faire pression sur les consommateurs qui auraient dû recevoir un équipement domestique mis à niveau
- Ce procès s’est conclu en décembre 2018 par un accord prévoyant que Charter/Spectrum paie 176 millions de dollars
- Les routeurs mesh grand public eero, AmpliFi et Google Wifi peuvent exécuter des tests de débit depuis le routeur lui-même
- eero semble effectuer un test de débit chaque jour
- AmpliFi et Google Wifi conservent l’historique des tests de débit, ce qui facilite l’observation des tendances
- eero ne conserve pas l’historique
- Les différences entre routeurs étant importantes, il ne faut pas s’attendre à acheter immédiatement le routeur parfait pour ses besoins
- Si possible, mieux vaut acheter un routeur auprès d’un vendeur qui accepte les retours
1 commentaires
Avis sur Hacker News
J’aimerais bien. J’ai mon propre modem et mon propre routeur, mais Comcast ne me laisse les utiliser que si je paie beaucoup de frais supplémentaires ou si j’accepte un plafond mensuel de données ridiculement bas
Du coup, j’utilise mon routeur derrière l’équipement Comcast, et c’est assez agaçant. En particulier, les appareils combinés modem-routeur de Comcast surchauffent et il faut les débrancher pour les redémarrer environ une fois par mois
Malheureusement, chez nous à San Francisco, il n’y a pas d’autre option. Pas de ligne téléphonique, donc pas de DSL, et la fibre qui se développe à San Francisco arrive surtout au centre-ville ou dans les grands immeubles. Notre maison individuelle n’a ni la nouvelle fibre d’AT&T, ni Webpass
En gros, c’est Comcast ou pas d’internet. On dit que San Francisco est la capitale technologique du monde, mais sa connectivité internet est pire que dans la campagne chinoise. J’ai aussi passé beaucoup de temps dans des zones rurales et montagneuses de Chine, et à part le problème du pare-feu, le réseau mobile comme le réseau fixe y étaient bien meilleurs qu’à San Francisco
On est en 2025 et j’ai du mal à croire que ce genre de problème existe encore dans une grande ville technologique
Avant, je branchais directement la fibre sur ma Fritz!Box avec un module SFP XGS-PON, et maintenant j’utilise l’ONT du fournisseur connecté à un Unifi Cloud Gateway Max. Cet ONT n’est en pratique qu’un convertisseur de média entre fibre et Ethernet
Ici, beaucoup de gens branchent aussi directement du matériel UDM ou OpnSense sur la fibre avec un module XGS-PON Zaram. C’est vraiment dommage de devoir subir des plafonds de données ; aux Pays-Bas, c’est illimité depuis le passage du 56k6 à l’ADSL. Même la 5G est illimitée pour 25 euros par mois
Cela dit, il faut aussi préciser qu’on n’a pas d’eau du robinet potable et qu’on doit utiliser l’eau de pluie
Je paie 130 dollars par mois pour 1,4 Gbps et des données illimitées. C’est cher, mais moi non plus je n’ai pas vraiment d’alternative. Sonic s’arrête à un pâté de maisons, et je n’ai pas réussi à les convaincre de câbler jusqu’au nôtre
Ça fait plusieurs années que j’ai cette offre, donc c’est peut-être un ancien avantage conservé, ou alors un commercial de Comcast m’a caché les autres options
Les grands FAI concluent aussi parfois des accords informels pour ne pas se faire concurrence dans certaines zones. Cela touche les banlieues, les villes et les zones rurales, et à mon avis c’est encore pire à la campagne
Comme ils savent que vous n’avez pas le choix, ils n’ont aucune raison de faire des efforts sur le service client ou les améliorations
L’internet via réseau mobile a un peu amélioré la situation, mais il a aussi ses défauts : limitation de débit en cas de congestion et latence globalement médiocre
L’exemple idéal de FAI municipal que j’ai vu, c’est EPB à Chattanooga, Tennessee. Ils proposent aux particuliers des connexions symétriques de 1 000 Mbps à 25 000 Mbps https://epb.com/fi-speed-internet/?#choose-your-plan
Leur offre 1 Gbps est moins chère que Google Fiber, et leur offre 2,5 Gbps est aussi compétitive. L’argent reste dans l’écosystème local, crée des emplois bien rémunérés, et les bénéfices sont réinvestis dans le réseau au lieu de servir à des rachats d’actions ou à financer des dirigeants qui font de longs trajets en jet privé
La comparaison avec une colonie de cafards est un peu injuste
Les insectes aiment la chaleur et le bruit des appareils électroniques. Si du matériel électronique reste stocké longtemps, des insectes peuvent très bien s’y glisser depuis les objets voisins
Cela peut tout aussi bien arriver à un routeur qui ne vient pas d’un fournisseur d’accès. Bien sûr, je n’ai pas de statistiques pour appuyer ça, mais l’autre camp n’en a pas non plus
Votre routeur open source préféré a peut-être simplement passé plus de temps dans un entrepôt
J’ai des sentiments mitigés sur les routeurs des FAI et sur les FAI eux-mêmes, mais une infestation d’insectes dans un appareil électronique est un vrai problème, et pas quelque chose de directement lié au fournisseur d’accès
Et pourquoi y aurait-il du matériel d’occasion sur l’étagère à côté du routeur neuf que je veux acheter ?
Si c’était du matériel d’occasion, on pourrait dire que « c’est possible à ce point-là », mais si j’achète un routeur, je ne vais pas l’acheter d’occasion
Le billet lié explique qu’il y avait une colonie vivante de cafards dans l’emballage expédié par le fournisseur d’accès. S’ils n’ont même pas vu ça, que faut-il penser de la sécurité de leur chaîne logistique ?
Si vous recevez un emballage infesté d’insectes de l’endroit où vous achetez vos appareils électroniques, il faut changer de fournisseur. Ce n’est pas normal
Heureusement, UPS l’avait laissée dans la neige, et je ne l’ai trouvée que quelques jours plus tard, donc les cafards étaient morts gelés. Du coup, je ne recommande pas les routeurs de FAI ni les équipements associés
Dans une actualité similaire, le régulateur allemand BNetzA a reconfirmé il y a deux semaines que les réseaux optiques passifs ne constituent pas une exception au TKG, c’est-à-dire au §73(1) de la loi sur les télécommunications https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilung...
Cette disposition exige que l’interface entre le fournisseur et le client soit une interface passive ; imposer un ONT constitue donc déjà en soi une violation
Et c’est une bonne direction. Les différents standards PON sont suffisamment bien normalisés, et la plupart peuvent fonctionner avec les modes standard des fabricants d’équipement. Les opérateurs risquent de perdre quelques fonctions propriétaires, mais l’histoire montre que les fabricants se sont adaptés au marché allemand
La loi autorise bien des exceptions, mais elles sont principalement limitées aux cas où la technologie d’accès l’exige. Même dans ce cas, elle précise que l’équipement qui relie l’appareil de l’utilisateur final au service, autrement dit le routeur, ne peut pas être imposé par le fournisseur d’accès. Il peut être fourni, mais on ne peut pas empêcher l’utilisateur de brancher son propre matériel
L’époque où je vivais en Allemagne me manque parfois
Quand on regarde le comportement des fournisseurs d’accès ici, on lit des choses délirantes. L’Australie a largement contribué à saboter son infrastructure internet nationale, mais au moins on peut choisir presque n’importe quel fournisseur et utiliser le routeur de son choix
Je crois que ça fait environ 15 ans que je n’ai pas utilisé un routeur fourni par le FAI
Le choix de fournisseurs selon la zone est totalement aléatoire. Même dans de grandes villes régionales, c’était souvent affreux, et les gens qui vivent à la campagne ou dans des endroits isolés sont traités comme s’ils n’existaient pas. Si je devais déménager quelque part où seul Telstra est disponible, j’envisagerais sérieusement de ne pas avoir internet du tout. Payer Telstra et avoir accès à internet, c’est à peu près pareil, sauf que ne pas payer coûte beaucoup moins cher
Le coup le plus marquant venait de Verizon DSL. À chaque tentative de connexion entrante, ils attribuaient une nouvelle IP publique. L’IP changeait aussi vite qu’on pouvait enregistrer la nouvelle adresse dans la configuration distante et se reconnecter ; on pouvait pousser ça à plus de six fois par minute
Il n’y a pas forcément besoin d’un modem supplémentaire et on peut même brancher directement un PC, ce qui réduit considérablement la douleur et diminue aussi l’intérêt d’un modem fourni par le FAI
Les routeurs AT&T Fiber avaient tendance à surchauffer autrefois, promettaient des choses creuses comme le mode « DMZ Plus », et à cause de divers problèmes un marché noir s’était même créé pour acheter et vendre des fichiers de certificats AT&T volés sur internet
Quand l’équipement était séparé, AT&T utilisait du 802.1x entre la combinaison « Router/gateway » et l’ONT. Le réseau AT&T XGS-PON est aujourd’hui principalement intégré, donc cette fois les gens fabriquent des modules SFP+ compatibles capables de remplacer toute la pile GPON
Je peux me tromper, mais parmi les FAI américains, AT&T Fiber semble être le seul à ne même pas autoriser les utilisateurs à se connecter directement au réseau. Si l’on utilise leur routeur, ils ne proposent que le mode « DMZ Plus », et ce routeur/passerelle continue malgré tout à gérer la table d’état, ce qui le rend vulnérable aux problèmes matériels et logiciels de l’équipement du FAI
Au final, des gens se retrouvent à programmer des modules SFP+ et à apprendre le réseau du fournisseur bien plus en profondeur que nécessaire, simplement parce qu’ils veulent utiliser un routeur/modem plus sûr
À cause de problèmes de sécurité, plusieurs personnes ont publié des guides expliquant comment exploiter le firmware du routeur/de la passerelle pour extraire les certificats et les clés privées des équipements AT&T, voire en ont fait une véritable activité. Le but n’est pas d’obtenir internet gratuitement, mais simplement de pouvoir authentifier son propre équipement sur le réseau
Comme cet équipement m’a été imposé à l’achat par l’opérateur pour utiliser le service, je peux en faire ce que je veux
Si c’était pour voler le service, je serais d’accord, mais nous voulons seulement éviter d’utiliser un matériel instable et inacceptable
Rien que sur le coût, je suis totalement d’accord. Par rapport aux frais de location versés au FAI, mon modem câble est rentabilisé depuis longtemps
Et il vaut mieux acheter séparément le modem et le routeur. Les appareils tout-en-un sont plus difficiles à diagnostiquer, et on ne peut pas réutiliser le routeur quand on change de type d’accès
L’idée que « sur le long terme, acheter son propre matériel peut coûter moins cher » est précisément la raison pour laquelle mon FAI m’impose une location de son équipement
C’est l’histoire classique d’un acteur qui utilise sa domination sur un marché pour la pousser vers un autre
Au final, je traite le réseau comme n’importe quel autre réseau. Je pars du principe qu’il est déjà compromis, et que la sécurité doit se faire sur les équipements terminaux
Je suis d’accord avec l’article, mais à propos du passage disant que « la fonction de mise à jour du firmware peut aussi être verrouillée. Il faut pouvoir contrôler totalement les mises à jour du firmware », j’ajouterais que, de façon étrange, pour les modems DOCSIS, le FAI contrôle le firmware même si le modem a été acheté par l’utilisateur
Ils peuvent pousser n’importe quel firmware dans mon modem, et ils le font réellement. Les fabricants, pour une raison ou une autre, coopèrent aussi à ce système
C’est pour cela qu’il vaut absolument mieux séparer modem et routeur
Donc il sait assez bien où vous allez, même s’il ne sait pas toujours ce qui y est transmis. Et parfois, il peut aussi le savoir
À l’inverse, utiliser leur routeur et leur modem déplace la frontière de responsabilité jusqu’au port Ethernet à l’intérieur du routeur, ce qui rend l’assistance bien plus facile
Pour moi, c’est plus important que le contrôle. Et je sais aussi très bien qu’ils n’ont pas le temps de me surveiller. Puisque c’est amusant d’invoquer l’argument d’autorité, j’ajoute que j’ai travaillé pendant des décennies comme ingénieur et concepteur réseau
Mon fournisseur d’accès à Internet m’a envoyé une Fritz!Box, tout en proposant aussi l’option d’utiliser son propre matériel. L’équipement était préconfiguré pour l’accès Internet
Dans les paramètres, j’ai désactivé l’accès à distance et TR-069 via les interrupteurs prévus, puis j’ai changé le mot de passe administrateur. En pratique, c’est largement suffisant pour garder le contrôle d’un routeur comme celui-là
Il y a des raisons de ne pas aimer les routeurs AVM, mais leur logiciel est plutôt solide du point de vue des réglages utilisateur et de la sécurité réseau. Ce n’est pas du mauvais matériel, et les gros fournisseurs d’accès peuvent obtenir de fortes remises en commandant en masse, ce qui leur permet de les proposer à la location à un tarif inférieur au prix en magasin
Dans l’un de mes anciens emplois, nous avions commandé une palette de routeurs Huawei, et ils sont arrivés avec un firmware personnalisé créé par un autre fournisseur d’accès. Ils étaient totalement verrouillés et ne pouvaient être configurés que via TR-069 et la fonction ONT propriétaire de Huawei
Un autre client avait aussi déployé des routeurs administrés uniquement via le cloud du fournisseur d’accès. Ce n’était même pas du TR-069 : ils faisaient juste du DHCP, puis contactaient la maison mère via un protocole propriétaire. Le client trouvait ça magique parce qu’il pouvait redémarrer à distance les routeurs de ses clients, mais le fabricant a fait faillite huit mois plus tard, et ils se sont retrouvés avec un tas de routeurs préconfigurés sans portail cloud et sans issue. C’est presque surprenant qu’on n’ait pas encore vu de cas de détournement DNS
Cet appareil est parti à la poubelle dès le lendemain