[Forum Somfy] Suivi de la question: Port SSH Somfy Box.

Réponse de Jean T.

Jean T. — Tue, 14 Mar 2017 17:54:10 GMT

Je dresse juste la réalité du tableau. Je suis moi même développeur web et je fais de temps à autre un peu d'administration système.

Je dis simplement qu'un logiciel libre, avec accès au code source, il est possible de l'auditer. Une solution propriétaire, qui plus est dans le cloud, nous n'avons pas cette possibilité.

Il s'agit d'une balance bénéfices/risques que chacun est ensuite libre d'apprécier pour décider si oui ou non il souhaite s'engager dans cette voie en utilisant cette solution.

Réponse de Laurent L.

Laurent L. — Tue, 14 Mar 2017 17:46:11 GMT

Pardon Jean, mais ce que vous dites me rassure encore moins :-)

Mon métier est la sécurité des systèmes et réseaux et les audits. Rares, très rares sont les cloud sécurisés. Il n'est pas si compliqué de passer outre les "mécanismes d'étancheite".
Par ailleurs, si je me rappelle bien, tahoma fait du web service pour sa gestion, et si un tunnel SSH est monté par défaut (comme je le fais moi-meme pour passer outre tout mecanisme de securite hors de mon controle), et sachant que les yellows ou l'equipe informatique ont la capacite de manipuler nos boxes, je serais vous je serais loin d'etre aussi confiant.

A ce jour casser de la securite Somfy IO n'est pas tres complique. Je peux penetrer ma propre maison très facilement si je perds mes clés, en manipulant les mecanismes IO...

Réponse de Jean T.

Jean T. — Tue, 14 Mar 2017 17:26:45 GMT

Nous sommes bien d'accords.

Il appartient ensuite à chacun d'accorder ou non sa confiance à une marque/entreprise tout en sachant que nous n'avons aucun moyen de vérifier la sécurité puisque c'est un système fermé de type cloud et que nous n'avons donc pas accès aux sources (comme tout logiciel/système propriétaire).

Réponse de Laurent L.

Laurent L. — Tue, 14 Mar 2017 17:16:11 GMT

Effectivement :
telnet tahoma 22
Trying 192.168.0.30...
telnet: connect to address 192.168.0.30: Connection refused
telnet: Unable to connect to remote host

Cela dit, le risque d'un acces Somfy a nos reseaux reste plein et entier lui :-)

Réponse de Jean T.

Jean T. — Tue, 14 Mar 2017 15:48:51 GMT

Salut Laurent,

Je viens de scanner le port 22 de la Tahoma avec nmap par curiosité et il est bien fermé ;)

Voilà la sortie de nmap :

sudo nmap -p 22 192.168.1.175

Starting Nmap 7.40 ( https://nmap.org ) at 2017-03-14 16:46 CET
Nmap scan report for 192.168.1.175
Host is up (0.00023s latency).
PORT STATE SERVICE
22/tcp closed ssh
MAC Address: **:**:**:**:**:** (Overkiz)

Nmap done: 1 IP address (1 host up) scanned in 0.24 seconds

Réponse de Laurent L.

Laurent L. — Tue, 14 Mar 2017 14:30:06 GMT

Bonjour,

Si vous n'avez pas besoin du port SSH, pourquoi alors est-il à l'ecoute sur le reseau. Vous pouvez facilement le "binder" pour qu'il n'ecoute pas ou sur localhost.

Par ailleurs, abordant le sujet de la sécurité, je pense que tout le monde est bien conscient qu'un boitier tahoma est une immense backdoor dans nos domiciles. Si Somfy est compromis, alors l'intrus pourra atteindre nos boitiers et de la rebondir sur notre reseau interne...

Réponse de Gladys B.

Gladys B. — Mon, 09 Nov 2015 09:13:31 GMT

Bonjour à tous les deux,

Concernant, ce port SSH, je viens donc d'avoir une réponse.
TaHoma n'ouvre aucun port SSH, nous n'avons pas les autorisations pour ce type de modifications.
Vous pouvez donc fermer ce port, cela n'aura pas d'impact pour TaHoma.

Bonne journée.

Réponse de Jean T.

Jean T. — Sat, 07 Nov 2015 22:11:51 GMT

Bonjour,

Je suis également très intéressé pour avoir un réponse sur cette question.

Réponse de Ju J.

Ju J. — Wed, 04 Nov 2015 16:23:03 GMT

Merci de votre réponse, j'attend donc un retour de votre part.
Un port SSH ouvert peut permettre à toute personne d'essayer d'accéder au système, d'essayer de bruteforcer le mot de passe, etc.
Si il y a une bonne raison, ce que je ne doute pas, la question suivante est comment est sécurisé l'authentification? Identifiant/mot de passe unique pour chaque box, mot de passe fort, autentification par clé?

Réponse de Gladys B.

Gladys B. — Wed, 04 Nov 2015 10:53:12 GMT

Bonjour Ju,

La question a été posé à nos informaticiens et développeurs le 27 octobre et nous n'avons toujours pas de réponses aujourd'hui.
Je ne peux vous répondre et ne vous conseille pas de le bloquer, s'il est ouvert, il y a sûrement une bonne raison.
Je vous le confirmerais dès que j'aurais une réponse.

Bonne journée.

Réponse de Ju J.

Ju J. — Fri, 30 Oct 2015 22:21:03 GMT

Quelqu'un de chez Somfy pourrait me répondre?
Un port ssh ouvert dans mon installation c'est une belle backdoor, donc j'aimerai comprendre à quoi ça sert avant de le bloquer.
Merci à vous.