'Bescherming' tegen p2p-gebruik Orange Frankrijk blijkt lek

De Franse provider Orange is in het kader van de three strikes-wet begonnen met het leveren van een dienst die moet voorkomen dat klanten met p2p-netwerken kunnen verbinden. De bijbehorende software zou echter lek zijn.

Orange Frankrijk springt met de dienst in op de angst voor de three strikes-wet. Die zogenoemde Hadopi-wet zorgt ervoor dat Fransen van internet kunnen worden afgesloten. Dit kan na een aantal waarschuwingen dat er is geconstateerd dat ze inbreuk plegen door middel van filesharing. Orange vraagt 2 euro voor een dienst die volgens het bedrijf vooral moet voorkomen dat kinderen, zonder medeweten van hun ouders, verbinding maken met p2p-netwerken.

Gebruikers zouden maximaal drie computers op dezelfde verbinding kunnen 'beveiligen' en de bijbehorende software, die overigens Windows-only is, maakt gebruik van een zwarte lijst die door Orange wordt beheerd. Welke sites en p2p-netwerken op de zwarte lijst staan, is niet bekend. "De software draait op de achtergrond om de veiligheid te garanderen zonder de belangrijke taken die je uitvoert te verstoren", schrijft Orange bij het aanbod van zijn 'Downloadbeheer'-dienst.

Die veiligheid valt echter tegen, ontdekte de Franse site TheInternets. De software zou verbinding maken met een java-servlet genaamd HadopiTechnicalServlet met als ip adres 195.146.235.67. Op 'http://195.146.235.67/status' stond aanvankelijk een publiek beschikbare lijst van ip-adressen van klanten die met de Orange-server verbinding maakten. Erger was dat de login en het wachtwoord voor het adminpanel beide nog op 'admin' stonden. Volgens Torrentfreak zijn derden de server binnengedrongen en hebben zij geconstateerd dat het mogelijk is om malware naar afnemers van de 'Downloadbeheer'-dienst van Orange te verspreiden.

Reacties (58)

[maniak]

Beetje epic fail dit.. je admin default laten op admin/admin... Toch wel jammer dat grote bedrijven en overheden geen oog hebben voor security.

[Rob Coops]

Nog veel erger je admin acces beschikbaar stellen op een publiek netwerk. Ongeacht je wachtwoorden als je de pagina beschikbaar maakt voor de gehele wereld dan kun je er van uitgaan dat iemand er op een gegeven moment toegang tot weet te krijgen. Als je de pagina alleen intern beschikbaar maakt dan is dat gelijk al een heleboel moeilijker. Nog steeds niet onmogelijk maar wel hele veel moeilijker.

Dan is er natuurlijk nog het probleem met een geheime lijst met verboden adressen... kun je een nog gevaarlijkere constructie opzetten. Het is vragen om problemen met iemand die besluit de pagina van de concurrent te blokkeren of een andere site tegen te werken. Ook het feit dat de software alleen voor Windows geschikt is is al weer een groot gevaar gewoon omdat je op die manier een groot deel van de gebruikers buitensluit en mensen dus in feite dwingt een bepaald product af te nemen om zich maximaal te kunnen beschermen tegen de entertainment maffia en haar belachelijke wetten.

Natuurlijk is de wetgeving opgesteld en alleen bedoelt voor de entertainment maffia natuurlijk de grootste fout omdat het overduidelijk gericht is op het instant houden van een falende beroeps groep door de rest van de samenleving crimineel te verklaren als zij zich geen poot laten uitdraaien door deze oplichters. Maar goed dat soort dingen mogen we niet zeggen er zijn immers genoeg tweakers die voor deze bedrijven werken en er goed geld verdienen en die zouden nog wel eens ongelukkig kunnen worden als ze lezen dat er veel mensen zijn die vinden dat hun werkgever zich crimineel gedraagt ten opzichte van de rest van de samenleving.

[kozue]

Dan is er natuurlijk nog het probleem met een geheime lijst met verboden adressen...

Geheime lijsten zijn altijd een probleem. Zelfs al zou het mogelijk zijn om het volledig hack-proof te maken, dan nog blijft het probleem dat je niet weet wie de lijst maakt en wat die er allemaal op zet. Wie zegt dat alleen p2p op staat? Misschien vind Orange het wel een mooie gelegenheid om er meteen porno, concurrenten en politieke meningen mee te blokkeren...

Ook het feit dat de software alleen voor Windows geschikt is is al weer een groot gevaar

Neuh. Ik denk niet dat gebruikers van andere systemen zoiets nodig hebben. Die weten prima hoe ze met computers om moeten gaan (in ieder geval genoeg om bewust voor iets anders te kiezen). Beter was geweest als ze het niet met gare client-software hadden gedaan, maar gewoon als filter op hun firewalls. Maarja, even snel een windows-only app in elkaar flansen is waarschijnlijk goedkoper...

[Top-Rob]

Inderdaad. Nu verhelpen ze dit natuurlijk snel, maar zo'n fout zegt al genoeg over de overige security-maatregelen: daar zou ik ook geen vertrouwen meer in durven hebben.

[jeffhuys]

Maar dan willen ze er natuurlijk wél geld aan verdienen.
Waarschijnlijk zo snel mogelijk in elkaar gezet om het aan te kunnen bieden.

[Reactie gewijzigd door jeffhuys op 23 juli 2024 19:59]

[i7x]

Puur een mannier om onwetende ouders geld af te troggelen. Het simpelweg forceren van encryptie in bittorrent zou al voldoende moeten zijn de blokkade to ontwijken. Ook het downloaden van bijvoorbeeld RapidShare of MegaUpload valt niet te voorkomen.

Orange gaat je echt niet helpen in de rechtzaak ondankt het feit dat je voor deze zogenaamde bescherming betaalde.

[Remcoder]

Er moet nog altijd verbinding gemaakt worden met een bepaald adres, dat is gewoon leesbaar voor de client en kan dus gewoon het pakketje droppen.

[Rannasha]

Maar met BitTorrent maak je juist met heel veel adressen verbinding, vooral van reguliere internetters. Tuurlijk kun je wel de torrent-site (PirateBay en consorten) of de tracker blacklisten, maar die dingen komen er met een dusdanig tempo bij dat het dweilen met de kraan open is. Daarnaast is het natuurlijk een kwestie van tijd tot ook deze diensten niet meer gelokaliseerd zijn, maar in een p2p vorm worden aangeboden.

[Verwijderd]

Met eMule en Gnutella is dat alemaal al gedecentraliseerd. En eMule heeft ook al encryptie. Die is welliswaar gevoelig voor diverse aanvallen zoals MITM maar ik zie het providers nog niet realtime decoderen.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 19:59]

[latka]

Rapidshare en megaupload dichtzetten in je proxy werken uitstekend tegen downloaden van deze sites. Encrpyten van torrentverkeer is zinloos als je je torrent-file al niet kon downloaden van the piratebay, dus die ook blokeren.

Beter nog: een proxy server aanbieden als ISP met een whitelist (disney.com, nickledeon.com etc.) werkt ontzettend goed. Als je dan ook nog de proxy verplicht stelt met een username/pasword en voor je kinderen een ander account neemt dan je zelf hebt dan kun je je kids whitelisten en zelf alles surfen/doen.

Allemaal niet zo heel moeilijk maar daar kun je bijna geen 2 euro voor vragen en limiteren tot x-PCs is helemaal lastig.

[elTigro]

tja, dicht zetten: dan krijgen ze de torrents gewoon via mail van vriendjes.
En jij dan maar denken dat je veilig zit.
alhoewel.. dat denk je nu ook met deze twijfelachtige service, en dan blijkt dat je nog niet veilig bent...

Ik ben toch nooit zo voor technische oplossingen: gedragsoplossingen zijn wat dat betreft beter volgens mij....

[Kevinp]

Dat laatste is ook het gevaarlijke voor Orange, als je als ouders denkt het beste te doen omdat je nu eenmaal niet beter weet. En de rechter is het daarmee eens dan kan orange dit geld gaan kosten.

Of je wordt als ouder vrij gesproken (en verantwoordelijke over de verbinding). Hierdoor wordt het procederen niet makkelijker in ieder geval.

[Bonez0r]

Orange gaat je echt niet helpen in de rechtzaak ondankt het feit dat je voor deze zogenaamde bescherming betaalde.

Hah, het krijgt steeds meer parallellen met de mafia. Nu betaalt men al beschermingsgeld en je krijgt er niks nuttigs voor terug

[AllSeeyinEye]

Leuk als je dan een Xfire of WoW update oid voor je kiezen krijgt en dit progsel zorgt ervoor dat je geen p2p verbinding krijgt...

[Kettrick]

Dan download je het alsnog via een fallback http server, niets aan de hand .
Zo werkt WoW iig., elke andere serieuze applicatie zal dit ook doen.

[kozue]

Als het gewoon een progje is dat IP's of URL's blokkeert (meer verwacht ik er niet van), zal het tegen torrents niet zo veel uithalen, vooral omdat torrents geen vaste poort hebben.

[fractus]

Het programma zal waarschijnlijk mbv een password of zoiets tijdelijk uit te zetten zijn. Het is ook bedoelt om kinderen van downloaden af te houden, pappie (en mammie, maar dat hoor je minder) moeten natuurlijk wel de volle bak kunnen downen

ff OT, het is dus bij jouw voorbeeld een kwestie van 'WoW update, hé, hij doet het niet. Pap, kom je ff het wachtwoord typen? heb een update voor m'n spel.'

Het ergste wat er kan gebeuren is dat je moet wachten tot pappie of mammie thuis is, en dat lijkt me wel te doen (ga je toch tv kijken? )

[stresstak]

En als pappie et mammie heel vaak afwezig zijn moeten ze het wachtwoord gewoon even opschrijven voor les enfants.

[Cafe Del Mar]

Als je uw computerpark tegen uw kinderen moet beveiligen zijn er toch ook andere mogelijkheden:
- opvoeden
- SSL
- poorten blokkeren (alles, behalve 80, 443, 563, 119, ...)

[M2M]

ik zou eigenlijk enkel en alleen het eerste doen.

mocht je een waarschuwing binnen krijgen, dan pas het account van de kids helemaal indammen.

[latka]

- opvoeden
- SSL
- poorten blokkeren (alles, behalve 80, 443, 563, 119, ...)

SSL en poort 80 zijn geen probleem voor p2p: doe je gewoon alsof je een browser bent.
Opvoeden of internet opzeggen werken wel (evenals proxy-server met username/password en die niet melden aan de kids of eventueel een whitelist van sites die bezocht mogen worden).

[Verwijderd]

- poorten blokkeren (alles, behalve 80, 443, 563, 119, ...)

Dus usenet (119) downloaden wil je expliciet toestaan?

[Cafe Del Mar]

Het gaat hier over P2P downloads. Usenet zou ik niet echt als "P2P" klasseren, vandaar.
De gemiddelde kleine weet niet van het bestaan van usenet en downloaden van usenet is iets technischer dan P2P.

[elmuerte]

Hadopi is niet beperkt tot P2P

[Zyppora]

Of HTTP downloads (80)?

[kozue]

Internetten wordt een beetje lastig als je http blokkeert he?

[Azzmodan]

p2p kan ook gewoon over poort 80. Het kan zelfs z'n communicatie over http doen.

[Gepetto]

(alles, behalve 80,.....

Enig idee hoeveel illegale content er dagelijks via poort 80 wordt binnengehaald (http) ?

[Cafe Del Mar]

Je moet nog wel kunnen surfen é

[Trinitronic]

en uitgaande poort 25 en 53 dan?

[jeffhuys]

Geweldig... Hoe kan je nou zoiets belangrijks op het DEFAULT user/pass laten staan?
Trouwens, ik vraag me af hoeveel klanten ze zouden hebben gekregen voor dit...

[arjankoole]

Geweldig... Hoe kan je nou zoiets belangrijks op het DEFAULT user/pass laten staan?
Trouwens, ik vraag me af hoeveel klanten ze zouden hebben gekregen voor dit...

Genoeg, als jij een ouder bent die zich zorgen maakt dat je kind ondanks uitdrukkelijk verbod ( hey, logisch ) toch gaat P2P'en. 3-strikes, en je bent het haasje.

[Huppie]

Three strikes == drie waarschuwingen. Het lijkt me dan ook dat je als ouder pas overgaat op dergelijke maatregelen als je de eerste (twee) waarschuwing(en) op de deurmat hebt liggen.

[arjankoole]

Three strikes == drie waarschuwingen. Het lijkt me dan ook dat je als ouder pas overgaat op dergelijke maatregelen als je de eerste (twee) waarschuwing(en) op de deurmat hebt liggen.

Er zijn genoeg mensen/ouders die redeneren: dat ben ik voor, ik wil 0 waarschuwingen.

Ik bedoel dan ook, na 3 waarschuwingen ben je 't haasje (geen internet meer)

[fractus]

Aan de ene kant vinden ze dat ze de rechten op internet moeten verdedigen, aan de andere kant kunnen ze geeneens de veiligheid van normale internetgebruikers verdedigen...

Hoe kan je nou doen alsof je de onwetende burger beschermt tegen zichzelf als je aan de andere kant zelf geeneens een server kunt beveiligen? Dan kun je jezelf toch niet meer een internet-expert noemen...

[kozue]

Ze noemen zich ook geen internet expert, ze noemen zich een ISP, en bieden als service ook nog een progje aan. Het enige wat ik hier schandalig vind is de prijs die ze durven te vragen voor een simpel ding wat af en toe een lijst download en niet eens behoorlijk beveiligd is.

[Fairy]

Ik heb het gevoel dat de internetbedrijven handig op de regel inspelen en gebruikers bang maken voor p2p. Zo vergaand dat ze er nu zelfs al tools voor aanbieden.

De internetbedrijven zijn hier heel blij mee, want dit betekent dat er minder dataverkeer zal worden gegenereerd, maar de abonnementskosten blijven hetzelfde.

Ik vraag me sterk af of dit een gezonde situatie is...

[Verwijderd]

Natuurlijk niet, als ik bang zou worden ga ik m'n dure superspeed abonnement zonder FUP of datalimieten omzetten in een instap abonnement. Ik krijg toch niet zoveel mail binnen en haal niet zoveel webpagina's binnen dat je daarvoor meer nodig hebt, en voor "legale" streamingdiensten loop ik ook al niet warm.

[boombes]

Wel echt een hele grove beginners fout, Admin admin wachtwoord usernaam.
Dit mag eigenlijk niet gebeuren.

[MossMan]

Bwahahah!

En het verbaast me niets... na enkele jaren marteling van deze hufters ben ik in januari overgestapt naar een andere provider (Free - wat blijkt te zijn begonnen door een clubje Linux-freaks... wat terug te vinden is in hun (zelf-ontworpen) hardware en website waar je alles op afstand kan instellen en regelen).

Zelfs bij het opstappen van Orange gingen dingen (weer) mis en probeerde ze door te rekenen voor internet terwijl de ADSL verbinding al drie maanden gesloten was.

En mijn oud homepage, wat kort voor het opstappen ontoegangkelijk werd, is inmiddels *ook* weer herrezen uit één of ander backup! Zonder dat ik toegang heb om het te veranderen of (liever) wissen. Blijkbaar hebben ze overal en voor elk taakje een ander slecht functionerende systeem met helemaal geen overkoepelend beheer van alle accounts.

Zucht...

[IStealYourGun]

Vreemd dat ze hier om te beginnen geld voor vragen en die niet aanbieden als een extra netwerk dienst. Dat laatste zal het misschien ook niet voor 100% dichten (hoewel er al vergaande oplossingen bestaan), maar het maakt het in elk geval een stuk moeilijker.

[Parasietje]

Ik denk niet dat veel Tweakers snappen wat deze service betekent. Als je je inschrijft voor deze service, heb je aantoonbaar bewijs dat je niet wil downloaden. Als je dan toch gepakt wordt door de 3-strikes wet, kan je dit als bewijs gebruiken dat je er niets mee te maken hebt. Beetje zoals gebruikers ook niet verantwoordelijk kunnen gehouden worden als een virus kinderporno begint te downloaden, indien ze een goede virusscanner ge-installeerd hadden.

[teek2]

Yeah right, dus dit installeren, een omweg vinden (op 1 pc installeren, op andere pc downloaden en die verstoppen bijvoorbeeld) geeft je een "verlaat de gevangenis zonder betalen" garantie?

Denk het niet.