[Forum Somfy] Suivi de la question: Acces Internet et SSL V3

Réponse de Christophe P.

Christophe P. — Tue, 03 May 2016 13:42:02 GMT

Merci, je vais voir pour paramétrer de manière correcte, en passant par votre site.

Réponse de Thomas M.

Thomas M. — Tue, 03 May 2016 09:32:21 GMT

Bonjour Stéphane et Christophe,

Stéphane, je vous confirme que vous avez bien cerné le problème et la mise en place du reverse proxy pour ne plus rencontrer de problèmes de connexions à distance. Mais il est important de préciser que les différents navigateurs et systèmes d'exploitations ont bloqué le protocole de cryptage SSL v3 suite à la découverte d'une faille de sécurité. Cette faille concerne principalement le chiffrement par bloc en mode CBC.

Nous vous informons que nos systèmes d'alarmes n'utilisent pas ce mode de chiffrement et fonctionnent par flux RC4, qui à ce jour assure la sécurité de connexion entre votre centrale et notre serveur.

Le blocage effectué par les systèmes d'exploitation et les autres navigateurs englobe l'ensemble des chiffrements du protocole SSL v3.

Christophe, il est sur que si vous ne respectez pas les indications de la notice, nous ne pourrons en aucun cas garantir le fonctionnement de votre accès à distance. Il est obligatoire de passer par nos serveurs en créant un compte d'accès à distance sur le site http://www.alarmesomfy.net si vous souhaitez bénéficier de l'accès à distance et de l'application smartphone.

Merci de votre compréhension

Cordialement.

Réponse de Christophe P.

Christophe P. — Mon, 02 May 2016 06:04:06 GMT

Bonjour,

Personnellement, je passe pas par le site alarmesomfy.net (d'ailleur j'ai pas de compte). je gère tout de mon coté avec le site no-ip pour pouvoir avoir un nom de domaine fixe.

Réponse de Stéphane L.

Stéphane L. — Fri, 29 Apr 2016 21:28:09 GMT

Bonjour,

Je crois que je viens de comprendre un truc :

EN RESUME :
En résumé, avec la solution Somfy, il faut utiliser https://[Mon compte].alarmesomfy.net :
1/ Tout passe en clair sur internet (mot de passe compris) entre votre box et le serveur de Somfy
2/ Le serveur de Somfy encrypte la page, et la transmet à votre naviguateur. Votre navigateur ne voit que la page qui est encryptée.

EN DETAIL :
En fait, si on accède directement à la box en https, ca ne marche pas. Depuis l'exterieur, ou en connection locale, ca ne marche pas.

Par contre, Somfy a mis en place un service spécial sur leurs serveurs. Je m'explique :
Dans la procédure de configuration de votre alarme, Somfy indique qu'il faut créer un compte sur "alarmesomfy.net". Ce compte va créer un lien entre un nom de compte (par exemple [Mon compte]) et l'adresse IP sur laquelle votre alarme est accessible. Et grâce à ce lien, vous aurez accès en httpS (et non plus http) à votre box en utilisant l'adresse "https://[Mon compte].alarmesomfy.net".

Comment ca marche ? Et bien le serveur Somfy recoit une demande de page sur "alarmesomfy.net" en https (crypté), et le serveur de Somfy pose la même demande à votre box Somfy que vous avez enregistré, mais en http (non crypté) cette fois. Le serveur de Somfy peut le faire car vous avez créer une association entre votre compte Somfy et votre box (l'adresse IP) lors de votre création de compte.
Cela s'appelle du "reverse proxy".

CONCLUSION :
A vous de juger si cela est suffisament sécurisé. Il ne reste plus qu'à espèrer que le cambrioleur qui voudra passer chez moi ne s'y connait pas trop en informatique...

Réponse de Christophe P.

Christophe P. — Fri, 29 Apr 2016 06:01:14 GMT

Merci Thomas pour la réponse.
Je viens de tester de l’extérieur (du web) en https.
"Ce site ne peut pas fournir de connexion sécurisée", dois je modifier mon paramétrage au niveau de la console ?

Réponse de Thomas M.

Thomas M. — Thu, 28 Apr 2016 09:56:14 GMT

Bonjour Stéphane et Christophe,

En connexion locale (sur un ordinateur connecté à internet via la même box ADSL que celle où est raccordée le système d'alarme), il vous faut impérativement vous connecter en HTTP comme il a toujours été demandé.

Toutefois en accès à distance (sur un ordinateur connecté à internet via une autre box ADSL que celle où est raccordée le système d'alarme), vous pouvez vous connecter en HTTPS.

Bonne journée,

Réponse de Christophe P.

Christophe P. — Thu, 28 Apr 2016 05:34:43 GMT

@Stephane.L
J'ai pas tout compris, je pense que leurs reverse proxy est placé sur leurs serveurs...
Personnellement, je me connecte toujours en http et non en https.. pour moi cela ne fonctionne pas.
Si quelqu'un peut nous affirmer que cela fonctionne et le tuto pour le mettre en place, je suis preneur.

Réponse de Stéphane L.

Stéphane L. — Wed, 27 Apr 2016 23:12:29 GMT

Bonjour,
Est-ce quelqu'un a compris en quoi le reverse proxy résoud ce probleme ? Je me connecte toujours sur ma centrale en utilisant http, le https ne fonctionnant pas. Comment faire pour se connecter avec https ?

Réponse de Thomas M.

Thomas M. — Tue, 29 Sep 2015 11:19:45 GMT

Bonjour à tous,

Le 24 septembre, nous avons mis en place un reverse proxy pour assurer les échanges entre un point de contact externe et nos centrales, nos serveurs.

Ce reverse proxy utilise pour la communication entre le proxy et le navigateur le protocole TLSv1.2. Le certificat n’est plus autosigné, il est maintenant délivré par une autorité officielle ce qui implique qu’il n’y aura plus d’alerte de certificat.

L’algorithme de chiffrement sera désormais le SHA-256 qui est compatible avec tous les navigateurs ainsi que IOS9.

Cette modification permet de nouveau l’accès à distance au système d’alarme par le biais du port sécurisé.

Merci pour votre compréhension et veuillez de nouveau nous excuser pour le délais de mise en place de cette solution.

Bonne journée,

Réponse de cvvav O.

cvvav O. — Tue, 05 May 2015 15:22:30 GMT

Bonjour Karl

Depuis j'ai posté un autre message.
J'utilise uniquement pour Somfy un vieux navigateur Opéra - plus de pb - mais que pour somfy !

Ici : des anciens navigateurs compatibles
j'ai téléchargé et installé opéra, uniquement pour l'alarme, rien d'autre
la maj est desactivée
http://arc.opera.com/pub/opera/win/800/en/

Réponse de Karl M.

Karl M. — Tue, 05 May 2015 13:31:57 GMT

Bonjour,

Je viens aussi de faire le process décrit par cvvav O. (changement du paramètre security.tls.version.min) et cela ne fonctionne pas (Firefox 37.0.2 sur Windows 7). J'obtiens le message suivant (avec la vraie adresse IP de la centrale):

Échec de la connexion sécurisée

Une erreur est survenue pendant une connexion à <<adresse ip de la centrale>>. Impossible de communiquer en mode sécurisé avec le pair : aucun algorithme de chiffrement en commun. (Code d'erreur : ssl_error_no_cypher_overlap)

Je souhaiterai moi aussi savoir quand un correctif sera mis au point par Somfy et comment se passera la mise à jour. De plus, comment serons-nous prévenus ?

A+

Réponse de Chris B.

Chris B. — Sun, 08 Mar 2015 15:59:13 GMT

Bonjour à Tous,
Je viens de faire le process décrit par cvvav O. (changement du paramètre security.tls.version.min) et cela fonctionne bien.
Merci beaucoup,
Cdt

Réponse de E T.

E T. — Wed, 11 Feb 2015 21:54:03 GMT

J'ai aussi le même problème avec une centrale Protexiom.
Espérons que Somfy proposera une solution rapide et efficace à ses clients pour mettre à jour un nouveau protocole de com.

Réponse de Hugues M.

Hugues M. — Wed, 04 Feb 2015 21:23:41 GMT

Voici une solution en attendant que Somfy se bouge.
Avec Firefox dernière version: dans la barre d'URL tapez about:config.

Ensuite recherchez le paramètre : security.tls.version.min et passez la valeur à 0.

F5 pour rafraîchir, et tout est OK.

Réponse de cvvav O.

cvvav O. — Wed, 04 Feb 2015 18:26:15 GMT

Ici : des anciens navigateurs compatibles
j'ai téléchargé et installé opéra, uniquement pour l'alarme, rien d'autre
la maj est desactivée
http://arc.opera.com/pub/opera/win/800/en/

Réponse de cvvav O.

cvvav O. — Wed, 04 Feb 2015 17:38:50 GMT

bjr
quel navigateur ?
j'avais installé chrome, mais il a aussi été mis à jour et maintenant de nouveau bloqué
je trouve que somfy ne fait pas preuve de professionnalisme sur le coup et nous répondant au compte goutte et sans réelles solutions.
nos centrales sont connectées à internet, pourquoi ne pas procéder à des majs à distances ?

Réponse de Christophe P.

Christophe P. — Wed, 04 Feb 2015 17:20:12 GMT

J'ai trouvé une parade, pas tres cool...mais bon.
J'ai installé un vieux navigateur qui utilise encore ssl2. J'ai accés a la central et de-activer le https !
Bon au niveau securité c'est pas le top !
J'ai utilsé Aroa sous linux

Réponse de Christophe P.

Christophe P. — Wed, 04 Feb 2015 16:54:10 GMT

J'ai le même soucis ! Impossible d’accéder a la central (adresse ip fixe sur mon reseau). Une mise a jour de la centrale serait la bienvenue !!
En http il me demande le https, mais en https j'ai cette erreur "Code d'erreur : ssl_error_no_cypher_overlap".