[Forum Somfy] Suivi de la question: Acces par le port de https

Réponse de Anna B.

Anna B. — Fri, 16 Oct 2015 13:06:50 GMT

Bonjour Nico,

Nous rappelons que nos systèmes d'alarmes ont été qualifiés pour un fonctionnement en accès à distance par les serveurs Somfy uniquement.

Nous n'avons jamais garantie l'accès à distance par d'autre biais que nos serveurs Somfy.

Merci de votre participation. ce post sera désormais clôturé.

Anna BRUNI
Resp Service Consommateurs

Réponse de Nico S.

Nico S. — Thu, 15 Oct 2015 18:46:05 GMT

POur Laurent P. il y a 11 jours, je sors d'une démo de produits DeltaDore et bizarrement leurs produits connectés se mettent à jour par une simple coupure de l'alimentation électrique puis remise sous tension. Cela provoque une recherche de mise à jour de la passerelle sur les serveurs DeltaDore. Bizarre que Somfy ne sache pas faire.

Pour la réponse de Anna B., autant dire que rien ne sera fait, car cette solution ne résout pas le problème, au mieux il tente de le contourner, mais ceux qui comme moi ne veulent pas passer par les serveurs Somfy sont bloqués en http ou condamné à vendre leur alarme pour passer à la concurrence (DeltaDore par exemple)

Réponse de Anna B.

Anna B. — Thu, 15 Oct 2015 14:51:24 GMT

Bonjour à tous,

Nous vous remercions de vos différentes remontées concernant le problème de fonctionnement que vous rencontrez.

La communication à distance en HTTPS entre notre serveur et votre Centrale/Transmetteur, ainsi que la communication en local à votre Centrale s’effectuent par le protocole SSL v3. Depuis quelques mois, les différents navigateurs et systèmes d'exploitation smartphone (iOS 9…) bloquent l'accès à ce protocole suite à une faille de sécurité découverte en 2014. Cette faille concerne principalement le chiffrement par bloc en mode CBC.

Nous vous informons que nos systèmes d'alarmes n'utilisent pas ce mode de chiffrement et fonctionnent par flux RC4, qui à ce jour assure la sécurité de connexion entre votre centrale et notre serveur.

Le blocage effectué par iOS 9 et les autres navigateurs englobe l'ensemble des chiffrements du protocole SSL v3, ce qui vous oblige à vous connecter en « Connexion rapide" depuis votre Application lorsque vous êtes sur le wifi de votre domicile, ou via le protocole HTTP sur votre ordinateur.

Nous vous informons que ce post sera clôturé, vous ayant communiqué les réponses sur ce sujet.

Merci de votre compréhension

Cordialement

Anna BRUNI
Resp Service Consommateurs

Réponse de Laurent P.

Laurent P. — Sun, 04 Oct 2015 06:40:50 GMT

Ouh la la ! Je n'ai pas dis que l'on ne pouvait pas demander de mise à jour, je dis juste que parfois ce n'est pas possible techniquement.
D'autre part je ne connais pas le reste de la gamme (en particulier les détecteurs de fumée) je ne peux donc pas juger. Par contre mon alarme (connectée ou pas) fait son boulot : une intrusion => sonnerie => alerte par sms.
D'ailleurs en parlant de sms pour ceux qui ne veulent pas être connectés à internet on peut la commander en lui envoyant des sms.

Réponse de Nico S.

Nico S. — Sat, 03 Oct 2015 16:22:43 GMT

@ Laurent P. : Donc on ne peux pas demander à un fabricant (ou peut-être juste un simple assembleur de pièces chinoises si ça se trouve vue la réactivité) de matériel de sécurité, en l’occurrence un système d'alarme, de fournir du matériel sécurisé. Dans ce cas, je vais m'empresser de faire une contre publicité des alarmes Somfy. Moi qui voulais investir dans un ou plusieurs détecteurs de fumées Somfy j'ai un doute sur leur capacité à me protéger s'ils sont comme le reste des produits, une vaste fumisterie !

Réponse de Laurent P.

Laurent P. — Sat, 03 Oct 2015 09:19:15 GMT

Bonjour,

oui Jacques il n'y a que 30 codes, sauf que pour les obtenirs tous il faut intercepter au moins 30 connexion à ta centrale. Si comme moi tu te connectes 1à 2 fois par semaine ca va prendre pas mal de temps. Si en plus tu regénères la carte régulièrement ca limite grandement les risques. Si ca se trouve il y a des utlisateurs qui critiquent le SSLv3 mais qui ont laissé la carte livrée d'usine ?

A propos du SSLv3 oui il y a une faille, oui l'attaque est réalisable, oui on trouve comment faire sur internet, sauf que :
1) la mise en oeuvre réelle n'est pas à la portée du premier venu
2) il faut intercepter le trafic :

a) soit le réseau local du domicile
b) soit sur le serveur puisque apparement Somfy a mis en place un proxy
c) soit chez un Fai : je pense que leurs employés ont autres choses à faire que d'espionner les clients

Pour ceux qui souhaite se connecter en https en local il suffit de ne plus utiliser l'adresse ip locale (mettre un ip bidon dans l'application). En utilisant https://----.alarmesomfy.net on utilise le serveur Somfy.

Les technologies évoluent, on ne peut pas demander systématiquement de mises à jours, parfois ce n'est pas possible techniquement. J'ai une Renault 4CV de 1957, je ne me vois pas demander à Renault de bien vouloir ajouter l'air-bag, les ceintures de sécurités, le rétro coté droit etc etc. Je possède aussi un iPad1, Youtube n'est plus accessible depuis qq semaines et Apple ne le fera pas évoluer.

Réponse de Jacques J.

Jacques J. — Sat, 03 Oct 2015 08:01:08 GMT

Pour compléter ma réponse à Fréderic

Les WIFI des box ne son généralement plus configurées par défaut avec WEP (très vulnérable) mais avec WPA2 (un peu meilleur)

Réponse de Jacques J.

Jacques J. — Sat, 03 Oct 2015 07:55:57 GMT

Bonjour

Pour répondre a Laurent:
l’authentification par code aléatoire est une protection rudimentaire facile a déjouer: il suffit mémoriser l’ensemble des codes sur un centrale. Il n’y en a que 30

Pour répondre à Thomas:
Je crains que se soit la solution définitive. Du moins tant qu’il n’y aura pas un nouveau modèle de centrale. En effet, je ne vois toujours pas comment un mise à jour en ligne pourrait se faire. Néanmoins, à titre personnel, cette solution me convient

Pour répondre à Fréderic:

Https ne représente pas forcement la sécurité car il faut savoir surtout, quel est le protocole de cryptage utilisé derrière.
C’etait SSLv3 dont une grosse faille de sécurité a été découverte en mars 2014
Maintenant ce serait TLSV1.2 qui est un des meilleurs connu à ce jour.

Certes ce n’est pas une garantie définitive mais cela nous protège au moins de la masse des apprentis pirates qui existent par le monde

Je suis d’accord pour dire que le problème vient surtout de la lenteur de la réaction de Somfy pour trouver une solution acceptable (1,5 an). D’autre part l’interface de gestion de la centrale est ancien et largement améliorable; autant du point de vue ergonomique que du point de vue fonctionnel

Réponse de Frédéric

Frédéric — Sat, 03 Oct 2015 07:15:23 GMT

Bonjour,

On est entièrement d'accord que ce n'est pas le fait de mettre du https qui rend un site invulnérable, loin de là, surtout dans le cas de connexions aléatoires (en terme de temps et de lieu de connexion à la centrale).

Mais d'un autre côté, pour une centrale d'alame, c'est la base d'être un minimum sécurisé, notamment via le https (y compris sur un réseau local quand on voit le faible niveau de sécurité du wifi des box ADSL (WEP)).

En soit, utiliser du HTTPS en SSLv3 n'est pas forcément gênant, c'est plutôt que comme les navigateurs le bloque, on est obligé d'utiliser du http non sécurisé.

Et cela soulève également un autre problème : cela montre que Somfy ne saurait pas combler une vulnérabilité présente sur leur centrale, que ce soit au niveau du module web (session hijacking, par ex) ou des autres modules (piratage des ondes radios, ...).

D'un autre côté, je ne sais pas si les concurrents font mieux (même si on ne trouve pas de trace de de ce genre de pb sur Google).

Frederic

Réponse de Laurent P.

Laurent P. — Fri, 02 Oct 2015 12:55:21 GMT

Bonjour,
"ca n'arrive pas qu'aux autres", je suppose que tu évoques le piratage du mot de passe ? . IL faut savoir que la plupart des emails circulent en clair sur internet login et password compris. Si dans tes clients messageries (outlook ou thundurbird) sur pc ou sur smartphone que tu utilises pour récupérer ou envoyer tes emails, tu as configurés un serveur smtp sur le port 25 ou un serveur pop sur le port 110, tes emails circulent en clair.
Je ne sais pas comment fonctionnent les dernières versions des Protexiom mais il y a en plus du code d'accès un code d'authentification qui empêche de se reconnecter à ton alarme même en connaissant le code d'accès. Je trouve ca plutôt efficace, car même avec un logiciel espion sur le pc (et la le https ne changera rien à l'affaire) le malveillant ne pourra pas utiliser mon code d'accès.

Réponse de Nico S.

Nico S. — Thu, 01 Oct 2015 16:26:58 GMT

En effet et quand tu veux te connecter depuis l'extérieur de ton logement (en vacances par exemple) tu fais comment ?
Le HTTP à ses limites et ça n'arrive pas qu'aux autres. ET puis le https existe, sauf qu'il n'est plus utilisable en l'état. On ne demande pas une nouvelle fonction, juste que l'existant fonctionne correctement dans des conditions de sécurité acceptable.

Réponse de Laurent P.

Laurent P. — Thu, 01 Oct 2015 16:17:56 GMT

Bonjour à tous,

j'utilise une Protexiom depuis plus de 3 ans. Je me connecte à distance et en local avec mon pc portable. j'utilise toujours http en local c'est plus fluide. Les occupants de mon réseau local on autre chose à faire que d'espionner le trafic vers la centrale !

Réponse de Frédéric

Frédéric — Wed, 30 Sep 2015 06:04:12 GMT

Et quand on parle du loup ...

http://www.zataz.com/somfy-infiltre-le-personnel-en-danger/

Réponse de Jacques J.

Jacques J. — Tue, 29 Sep 2015 18:35:42 GMT

Bonsoir Nico

Je suis utilisateur comme vous et j'aimerais bien que ça puisse marcher comme cela.
Mais je ne vois pas comment SOMFY pourrait mettre à jour son parc existant car j'ai l'impression qu'il n'a pas prévu un système de mises a jour en ligne.
Ou alors ils font faillite avec un centre de dépannage.
Peut-être un jour sur de nouvelles centrales.....

Réponse de Nico S.

Nico S. — Tue, 29 Sep 2015 18:26:36 GMT

Comme Frédéric ci-dessus, le problème de serveur web embarqué dans les alarmes n'est pas réglé pour autant, ce qui oblige à passer par les serveurs Somfy, alors que ce n'est pas ce que je veux. Je veux me connecter sur mon réseau local en https, et depuis l'extérieur de mon réseau directement via mon IP publique (qui est fixe) après une redirection de port vers ma centrale d'alarme.
Donc, je repose la question que j'ai déjà posé : Quand et comment allez-vous mettre à jour les serveurs web embarqué dans les centrales pour qu'ils soient sécurisés et compatibles avec les navigateurs récents ?

Réponse de Jacques J.

Jacques J. — Tue, 29 Sep 2015 18:07:12 GMT

Bonjour

Peut-etre enfin la solution
Ca remarche maintenant en https avec la dernière version de firefox. C'est à condition de passer par le serveur de somfy : alarmesomfy.net.
qui met en oeuvre le protocole TLSV1.2 (incompatible avec le protocole SSLV3).

L’accès direct par l'adresse IP de la centrale est désormais interdit de l'extérieur et il ne faut pas activer http et le port 80 quand on est connecté à l'internet. Ca devrait être écrit en rouge quelque part.

Pour répondre à Fréderic qui a un doute car comme moi il pensait qu'une mise à jour des centrales était nécessaire:
J’ose espérer qu’on se trompait et que par la méthode utilisée entre le serveur somfy et nos centrale, la communication est bien cryptée et sécurisée par un protocole exempte de failles connues comme SSLv3

Un précision technique pourrait nous rassurer

Merci

Réponse de Frédéric

Frédéric — Tue, 29 Sep 2015 11:36:39 GMT

Bonjour,

Merci pour ces précisions.
Par contre, cela ne règle en rien le problème car la centrale elle-même n'a pas été mise à jour et délivre toujours un certificat en SSLv3.

Par conséquent, l'accès direct à la centrale via son IP interne ou via l'IP publique de la box reste en SSLv3 et est donc toujours peu sécurisé et bloqué par les navigateurs.

Et je suppose donc que les serveurs Somfy se connectent en SSLv3 à la centrale qui est donc d'autant plus vulnérable car il est plus facile pour un pirate d'intercepter un flux HTTP(S) (attaque Man in the middle) à partir d'un serveur fixe que d'une connexion d'un utilisateur à partir d'un emplacement quelconque.

Cordialement,

Frédéric

Réponse de Thomas M.

Thomas M. — Tue, 29 Sep 2015 11:21:53 GMT

Bonjour à tous,

Le 24 septembre, nous avons mis en place un reverse proxy pour assurer les échanges entre un point de contact externe et nos centrales, nos serveurs.

Ce reverse proxy utilise pour la communication entre le proxy et le navigateur le protocole TLSv1.2. Le certificat n’est plus autosigné, il est maintenant délivré par une autorité officielle ce qui implique qu’il n’y aura plus d’alerte de certificat.

L’algorithme de chiffrement sera désormais le SHA-256 qui est compatible avec tous les navigateurs ainsi que IOS9.

Cette modification permet de nouveau l’accès à distance au système d’alarme par le biais du port sécurisé.

Merci pour votre compréhension et veuillez de nouveau nous excuser pour le délais de mise en place de cette solution.

Bonne journée,

Réponse de igloome

igloome — Thu, 23 Jul 2015 07:19:02 GMT

Je suis aussi dans l'attente d'un correctif depuis de longs mois.
J'ai acquis mon alarme alors même que SSLV3 était d'ors et déjà identifié comme vulnérable et donc inutilisable.
Aussi, je me demande comment/si le firmware de la protexiom 600 pourrait être mis à jour.

Réponse de Yoan G.

Yoan G. — Tue, 21 Jul 2015 17:46:31 GMT

Communication via Facebook aujourd'hui :
Bonjour Yoan,
Nos équipes travaillent sur une mise à jour de l'application alarme afin de répondre aux besoins remontés. Pas de communication officielle à ce jour, mais nous devrions pouvoir faire une première mise à jour d'ici septembre. Je vous remercie de votre compréhension et reste à votre écoute. Marie A. Community Manager

Réponse de Xavier

Xavier — Tue, 21 Jul 2015 17:04:28 GMT

Bonjour

a la lecture des différents échanges je trouve plus qu'inquiétant que SOMFY mette au tant de temps à trouver une solution à un tel problème qui bloque l'usage de la Centrale. Il encore plus inquiétant de voir la rapidité à laquelle face à une faille de sécurité SOMFY réagit. Je pense en effet nécessaire d'alerter les associations de consommateurs afin que les futurs acheteurs le fassent en connaissance de cause.

Réponse de Yoan G.

Yoan G. — Fri, 17 Jul 2015 11:46:12 GMT

Vraiment dans l'attente d'une solution ...
le manque de réactivité est très pénalisant pour nous utilisateur ...

Réponse de Thomas M.

Thomas M. — Wed, 15 Jul 2015 14:02:48 GMT

Bonjour Nico,

Nous comprenons votre désagrément et sachez que nous travaillons actuellement sur la mise en place d'une solution qui devrait être effective pour le dernier trimestre de l'année 2015. En effet, nos équipes rencontrent des difficultés quand à la mise en place d'une solution globale pour ce problème qui nous impacte depuis le début de l'année 2015 et qui touche tous notre parck d'alarme commercialisé depuis 2010.

Merci pour votre compréhension et bonne journée,

Réponse de Nico S.

Nico S. — Sat, 11 Jul 2015 14:31:16 GMT

Comme Pierre ci-dessus et tous les autres bien avant, j'ai acquis une Protexiom il y a quelques semaines et je me rend compte à mon tour que la version SSL du serveur web embarqué n'est pas sécurisé. Pour des vendeurs d'alarme, c'est très gênant, d'autant plus qu'aucune solution n'est envisagée à court terme, c'est même à se demander si quelqu'un travaille dessus. Pour info, j'ai fait la modif du about:config mais cette "astuce" ne semble plus fonctionner dans Firefox 39, car j'ai toujours la même erreur.

Donc depuis le temps (à en lire les messages, ça date de plus de 2 ans), auriez-vous une réponse pour cette mise à jour ? Sinon je vous suggère de virer le programmeur et d'en embaucher un plus performant.

Réponse de Pierre

Pierre — Sun, 14 Jun 2015 01:52:30 GMT

Bonjour,
Je viens d'acheter aujourd'hui même une Protexiom Extra et après plusieurs heures de recherche et navigation sur le net j'arrive sur ce constat ... consternant. J'ai acquis un système de sécurité ... non sécurisé et obsolète technologiquement à l'heure actuelle. Une communication officielle et une deadline s'avèrent plus que nécessaire. (Je posterai la question sur les réseaux sociaux + forums si pas de réponse).
A vous lire.