{"partition": "head_middle", "source_domain": "forum.ubuntu-fr.org", "digest": "sha1:JZAIBOB4NSV5UCJ4BA5HLTV3GTIHOLAD", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2014-15/000_00036.parquet"}
» [Utilitaire Freebox] Script pour télécharger sur votre V6
Vinky41
Re : [Utilitaire Freebox] Script pour télécharger sur votre V6
Pour le VPN, c'est moi qui l'ai mis en place, pas de souci là dessus, c'est mon serveur qui le gère c'est d'ailleurs sur ce même serveur que sont les fichiers que je veux mettre sur la box.
Zakhar
Ok, si c'est ton serveur à toi, il y a moins de problème... mais cependant, à moins que ce soit une "dedibox" donc aussi chez Free (en fait Online, mais c'est une filiale), n'oublie pas que l'opérateur (OVH, Gandi, etc...) verra les flux "en clair" passer sur son infra. Dernière modification par Zakhar (Le 18/01/2013, à 23:30)
"A computer is like air conditioning: it becomes useless when you open windows." (Linus Torvald)
ouais ouais ça c'est obligatoire, mais bon, cette crainte est valable pour tout accès sur ma box à distance malheureusement Mais tu as raison de le rappeler.
Absolument, c'est la raison pour laquelle je ne fais cet accès distant (chez ma mère) que depuis chez moi. Comme je suis aussi chez Free, ça reste dans le "réseau local Free", et vu que contractuellement la Freebox de ma mère leur appartient, ainsi que tout ce qu'il y a dessus... c'est pas trop choquant dans ce cas d'avoir un truc en clair. De toute façon, si c'était chiffré avec un certificat SSL, Free aurait la clé privée et par conséquent les moyens de déchiffrer de toute façon.Comme je l'ai mis dans le bugtracker (sur un autre bug d'un gars qui avait l'air de découvrir ce manque de sécurité), c'est tellement gros qu'à mon avis ils l'ont fait exprès pour que si tu as 2 notions de sécurité et 3 grammes de jugeote, tu ne le fasses pas en dehors du réseau Free (ou alors tu changes les MdP/Port de chez toi juste après !).Même sans certificat, il y a des moyens simples de sécuriser un peu mieux.Il suffit que la Freebox envoie un "challenge" (c'est à dire une chaîne aléatoire) dans la page de login, et la page de login fait :SHA512(SHA512(MotDePasse) + Challenge) (**).Du côté du serveur tu fais le même calcul et tu vérifies. Ainsi ce qui circule est un truc brouillé (non déchiffrable) et différent à chaque login (donc inutile de le "piquer" pour le rejouer, ça ne fonctionne pas !).Pour faire ça, tu as besoin juste d'un truc : une bibliothèque qui calcule un SHA512 (tout autre hash "raisonnable" fonctionnerait tout aussi bien) en JavaScript(*)... et je suis sûr qu'en 10 sec de recherche sur le web on trouve ça ! (*) parce que côté Freebox, c'est du Linux, donc la librairie pour calculer un SHA512 existe à l'évidence.(**) ça c'est pour que la Freebox ne conserve pas le MdP en clair, mais seulement un hash. Sinon tu peux simplifier le premier SHA512... mais du coup, risque sur le stockage local -on doit pouvoir démonter le disque de la Fbx et le lire sur n'importe quel PC après tout!-
Dernière modification par Zakhar (Le 18/01/2013, à 23:47)
Je ne suis pas certain que la sécurité soit "meilleure" si tu fais ça depuis une autre freebox. Ca n'empêche pas quelqu'un se positionnant entre toi et la box de chez toi de voir ton mot de passe Enfin bref, ce n'est pas vraiment le débat, mais tu as eu raison (pour ceux qui liront ce topic) de rappeller de bien faire attention à ce point de sécurité et dans tous les cas de prendre en compte les conséquences de ce choix PS : Je ne sais pas si tu avais vu sur la page précédente, mais malgré l'ajout du "-H 'X-Requested-With: XMLHttpRequest'" cela ne fonctionne pas non plus Dernière modification par Vinky41 (Le 18/01/2013, à 23:49)