Interfaces d’administration

Activer l’authentification

En absence de mot de passe, tout accès local à l’équipement donne les droits d’administration. Afin de prévenir les accès illégitimes et de restreindre les modifications de la configuration des équipements, l’administration de l’équipement doit impérativement nécessiter un mot de passe. Pour que le mot de passe ne soit pas récupérable en cas de compromission de l’équipement ou de ses extraits de configuration, les mots de passe doivent être enregistrés sous forme de hash selon un algorithme à l’état de l’art (Annexe B1 du RGS).

Protocole HTTPs

Les flux non chiffrés peuvent être « écoutés » à de nombreux points du réseau, et les informations (telles que le mot de passe administrateur) sont alors accessibles. Afin qu’une tierce partie ne puisse pas écouter les échanges et récupérer des informations sensibles (identifiants…), l’administration de l’équipement doit se faire par des protocoles sécurisés et chiffrés (SSH, HTTPS…). Afin d’assurer l’authentification du serveur, le certificat associé doit être valide et issu d’une CA reconnue, en particulier la première connexion à la console d’administration ne doit pas lever d’alerte. Les interfaces d’administration sont une cible privilégiée pour un attaquant. Le concept de défense en profondeur implique de protéger par couches successives ces interfaces. L’une des premières actions est de changer les ports d’administrations définis par défaut par le constructeur, ce qui ralentira leur découverte par un attaquant.

Désactiver l’accès à l’administration par M2Me

Si le routeur autorise l’accès par M2Me, ce canal peut être utilisé pour accéder à la console d’administration.

Désactiver l’accès à l’administration par le WAN

L’interface WAN étant par définition accessible depuis un réseau externe, il est nécessaire de désactiver l’accès à l’administration par ce biais.

Désactiver le serveur SSH

Les serveurs SSH peuvent être facilement détectés par scan de port, et en absence de protection anti-brute force, l’interface SSH est fortement exposée à ces attaques. Afin de restreindre l’exposition de l’équipement, si le protocole SSH n’est pas utilisé régulièrement, il doit être désactivé et pourra être réactivé temporairement si une opération le justifie.

Gestion des accès

Les administrateurs n’ont pas tous les mêmes usages. Il est nécessaire d’avoir des utilisateurs distincts avec le rôle d’administrateur associé correspondant à leur besoin d’utilisation. Réduire le champ d’action d’un administrateur permet de minimiser les changements de configuration non désirés, malveillants ou non. La compromission d’un compte administrateur n’ayant pas les droits maximums ne permet pas à l’attaquant de tout faire sur le produit.
Restreindre le champ d’action des administrateurs au strict nécessaire en choisissant le rôle adéquat améliore la sécurité du produit.

Désactiver retour configuration usine temporaire

Le retour à la configuration d’usine temporaire permet de prendre la main sur l’équipement, en appliquant la configuration usine par défaut. Un attaquant pourrait alors obtenir un accès à l’équipement, visualiser l’ensemble de la configuration et l’éditer.
Afin de restreindre l’accès au firmware et donc préserver l’intégrité de l’équipement, il est recommandé d’empêcher le retour à la configuration d’usine temporaire par un appui sur le bouton poussoir de face arrière.

Configuration de l’accès hotline

L’accès pour le SAV nécessite la connaissance de deux mots de passe, le mot de passe généré sur le produit à la demande d’un administrateur. Et le mot de passe unique du produit détenu par Etic Telecom.
Le mot de passe généré sur le produit doit être stocké de manière sécurisée

Désactiver accès distant par bouton poussoir

Le bouton face avant du produit permet au SAV d'Etic Telecom de se connecter au produit sans le mot de passe généré sur le produit. Ce contournement du mot de passe est valide sur une période d’une heure.
Restreindre cette option ne permet pas de contourner le mot de passe généré par le produit.