J'ai un abonnement chez orange, une live box qui fonctionne très bien, jamais d'histoires
J'ai deux ordinateurs, un fixe connecté ethernet et un vieux portable connecté en WIFI WPA
En plus je connecte volontiers en WIFI les portables des amis de passage à la maison.
Sur mon fixe W XP home SP3, j'ai ouvert

• un compte administrateur avec mot de passe
  
• un compte non administrateur avec mot de passe
  
• un compte Invité qui par définition n'a pas de mot de passe
  

Avec les portables connectés WIFI je ne peux communiquer que par l'intermédiaire du dossier Documents partagés
Sinon chacun chez soi.

Sur mon compte administrateur, je me crois donc à l'abri. FireFox et thunderbid ont mon profil perso qui n'a rien à voir avec celui des autres compte je mémorise les mots de passe en les protégeant cependant par un mot de passe principal (voir options FireFox et thunderbird)

Quand je veux regarder mon compte sur le portail Orange je suis reconnu automatiquement. C'est cool!!!
Je me croyais à l'abri de toute surprise!

C'était faux, j'avais ouvert une importante faille de securité sur orange

Vendredi dernier, un ami passe à la maison avec nouveau portable. Je lui montre comment se connecter en WIFI sur ma live box. Sitôt connecté il fonce sur le portail orange et me regarde avec un large sourire et s'exclame !!!

1. Formidable Je peux lire ton courrier
   
2. Je peux aussi aller sur ton compte client, lire tes factures, modifier ton mot de passe de connection, demander un antivirus payant, ouvrir des options payantes, le minitel etc
   
3. Tiens pour voir, j'essaye de me connecter sur ta live box... 192.168.1.1 login admin mot de passe admin...
   
4. Ca marche pas!!!! Ouf j'avais changé le mot passe. Sinon
   

J'étais vert de rage, rouge de honte.
J'ai constaté par des tests supplémentaires qu'en acceptant la reconnaissance automatique sur le portail orange on ouvre son mail orange et son compte client à quiconque se connecte sur internet à travers sa livebox.
Je n'avais rien vu car je ne me connecte que très rarement sur orange. J'avais confiance .....

prochain épisode vers 14H

j.charr a écrit:

... en acceptant la reconnaissance automatique sur le portail orange...

Jusqu'à présent, j'avais une forte tendance à refuser toute reconnaissance automatique, mais je ne savais pas trop pourquoi. Maintenant, je sais (ce qui ne veut pas forcément dire que mon ordi est hyper protégé et au-dessus de tout risque...).

J'attends avec impatience l'épisode de 14 heures !

Deuxième épisode

Je viens de vérifier sur google, une recherche Google avec Faille de sécurité sur orange conduit à des sites évoquant des mésaventures encore plus graves.
Ici par exemple
http://www.presence-pc.com/forum/ppc/Internet/grosse-faille-securite-orange-sujet-4489-1.htm
Avec trou de sécurité sur orange je découvre ne suis plus du tout un cas isolé
http://www.generation-nt.com/trou-de-securite-acces-a-mes-mail-orange-via-le-portail-entraide-322397.html
C'était en février 2008 et le trou béant existe encore!
Il faut secouer l'éléphant qui est certainement averti, le forcer à corriger le tir

Avant d'interroger internet j'ai essayé de neutraliser ma connexion automatique sur le portail Orange
Je rappelle que je me croyais protégé à l'intérieur de mon compte administrateur.
J'ai commencé par effacer les mots de passe orange sur FireFox
Sur les autres comptes j'ai supprimé la mémorisation des mots de passe
Ensuite j'ai viré les cookies sur tout les comptes et demandé de les effacer à la fermeture de FireFox.

La reconnaissance automatique de votre serviteur sur orange fonctionnait encore sur sur tout les comptes
J'ai donc essayé ensuite d'annuler cette reconnaissance automatique en furetant sur le portail orange.
Figurer vous que cela n'est pas prévu!

En désespoir de cause j'ai réactivé mon compte sur le forum Livebox Asso
http://www.livebox.asso.fr/
je conte ma mésaventure >>>>ICI<<<<<
Les modérateurs sont très sympas et réagissent vite. On m'a proposé une astuce que tout les habitués connaissent.
Il suffit de créer un autre compte email pour obliger le portail Orange à lâcher prise
J'ai réouvert le compte utilisateur que j'avais créé pour mon chien (écoute que la voix de son maitre),
Je l'ai connecté sur son mail en refusant la connexion automatique. Ensuite je
lui ai proposé de lire mes factures, il s'est fait jeter. Il a lu son mail de bienvenue sur orange .... J'ai fermé rebooté et maintenant on sait bien que c'est moi le chef mais on me demande de m'identifier et je refuse désormais toute reconnaissance automatique.

Fin du deuxième épisode

Car je compte bien sur les réponses de ceux qui ont découvert qu'ils avaient le même problème.
Il yaura une suite