Ce que j'en retiens :

• Je n'y avais pas pensé avant mais un arbre GPON est partagé donc tous les membres de l'arbre reçoivent les flux descendants (Internet -> abonné-e) de tous les autres membres de l'arbre. Ce flux peut être chiffré avec AES entre l'OLT et l'ONT (reste à savoir si les FAI le mette en pratique). L'upstream n'est pas dupliqué et n'est pas chiffré. On retrouve les mêmes problématiques de média partagé que sur le câble… ou le Wi-Fi (oui, même avec un mécanisme WPA-2 avec chiffrement AES+CCMP, toutes les personnes qui connaissent la passphrase peuvent prendre connaissance du trafic de toutes les autres).
  
  

• L'authentification de l'ONT de l'abonné-e est réalisée par l'OLT avec un identifiant, le SLID. Soit cet ID est provisionné en amont de l'installation chez le client puis configuré sur l'ONT lors de l'installation chez le client (Orange), soit il est volatile (SFR en 2013). Dans ce dernier cas, l'OLT peut utiliser l'adresse MAC de l'ONT pour l'authentifier, c'est ce que SFR ferait en 2016 en plus du SLID (voir http://www.zdnet.fr/actualites/d-inquietantes-failles-de-securite-dans-les-acces-fibre-optique-ftth-en-france-39844258.htm).
  
  

• Au final, pour monter une connexion Internet fonctionnelle, il faut :

  • dans tous les cas : forcer une armoire d'immeuble et avoir un ONT.
    
    
  • chez SFR : (un SLID valide qui doit être enregistré sur le bon arbre GPON ?) + le DHCP vendor-id qui est parfois spécifique à une zone géographique donnée.
    
    
  • chez Orange : un SLID valide qui doit être enregistré sur le bon arbre GPON + login PPP ou DHCP mais il doit falloir transmettre au serveur des attributs spécifiques, je pense.

• Sur les ONT en eux-même :

  • J'apprends qu'il ne s'agit pas d'un équipement passif qui ferait uniquement du codage de l'information en couche 1 entre fibre et cuivre. Il s'agit d'un vrai Linux + busybox avec une IP locale, du telnet et tout.
    
    
  • Comme d'habitude, on trouve un accès de maintenance dont le login/mdp (qui permet au technicien de saisir le SLID lors de l'installation chez le client) a fuité depuis fort longtemps. Mais, on trouve aussi plusieurs comptes root, un « Alcatel User » quand Alcatel est l'équipementier, etc.
    
    
  • Comme d'habitude sur ce genre d'équipement, tous les ONT Alcatel partagent les mêmes clés SSH (ce qui n'est pas conforme au modèle de sécurité de SSH mais bon, osef, les techniciens n'utilisent pas SSH mais telnet), les permissions Unix sont désastreuses, il y a une faille Remote Code Exploitation dans les scripts CGI (mais il faut être authentifié… mais comme un couple login/mdp a fuité ;) ), bref, c'est crade.

En bref : je suis déçu par ce papier. l'authentification foireuse dans un arbre quand on remonte physiquement la chaîne des équipements physiques de fourniture d'accès, on a déjà eu ça sur le câble. L'auth' foireuse au niveau PPP, on a déjà eu ça sur l'ADSL (genre un couple identifiant/mdp qui fonctionne sur d'autres lignes physiques que celle de l'abonné, genre un login FDN marchait sur une ligne SFR pas encore migrée vers FDN, ce genre de choses). Rien de neuf ni d'alarmant : il faut quand même réunir beaucoup d'éléments pour avoir une connexion THD "anonyme". À ce compte-là, tu peux aussi prétendre que les connexion THD sur les campus universitaires sont totalement pas sécurisées et qu'elles permettent des connexions THD "anonymes".

Il y a un flou dans l'article de zdnet : Orange distribuait encore des ONT Alcatel en octobre-novembre 2015 à ses nouveaux clients. À l'inverse, en novembre 2014, dans une autre ville de France, c'est bien un ONT chinois qui est distribué par Orange à ses nouveaux clients. Il en découle qu'il doit encore y avoir masse d'ONT Alcatel en circulation.

Via #ffdn.