Nous avons déjà vu des cas graves de négligence de la part de certaines entreprises, mais ce qui est arrivé à TP-Link ces derniers jours nous donne envie de mettre un sac en papier sur la tête tellement c'est gênant. Apparemment, le fabricant chinois a laissé tomber les domaines pour deux des adresses que ses produits datant d'avant 2014 utilisent comme portail de configuration initial, et leurs nouveaux propriétaires demandent 2,5 millions de dollars… rien que pour l'un d'eux.
Pendant longtemps, les principaux fabricants de modems, de routeurs, de commutateurs, d'extensions WiFi et d'autres appareils similaires ont cherché à simplifier le processus de configuration. Personnellement, je suis le premier à admettre que la configuration d'un routeur est tout sauf intuitive, mais une fois que l'on a croisé le fer avec plusieurs modèles, les paramètres généraux sont faciles à suivre. Cependant, je comprends que l'utilisateur se sente mal à l'aise en tapant «192.168.1.1» là où on met habituellement une adresse Web, et dans une tentative d'exploiter cette «intuition» si l'on veut, plusieurs entreprises ont décidé d'implémenter des adresses partielles ou totales comme portail de configuration. Par exemple, Belkin utilise «http://router», ce qui fonctionne plutôt bien, tandis que chez Asus on trouve «http://router.asus.com». La première fois que l'on configure le routeur, ces adresses envoient correctement l'utilisateur vers la page de configuration, mais une fois que la connexion Internet est active, ces adresses pourraient être résolues.
Ce dernier détail exige une certaine responsabilité de la part du fabricant, et d'après ce que nous avons pu vérifier, les amis de TP-Link l'ont laissée à la porte. Selon Amitay Dan de la société de sécurité Cybermoon, TP-Link a oublié de renouveler les enregistrements pour deux de ses domaines, tplinklogin-dot-net et tplinkextender-dot-net. Ces adresses apparaissent sur les étiquettes de ses produits vendus avant 2014, et maintenant ils en présentent d'autres (tplinkwifi-dot-net et tplinkrepeater-dot-net pour être plus précis), mais ce n'est pas le problème. En oubliant le renouvellement, les deux domaines sont passés sous le contrôle d'éléments externes, qui les ont rapidement mis en vente. Combien demandent-ils ? Tplinklogin-dot-net est le plus populaire des deux, avec 4,4 millions de visites mensuelles, et le nombre magique est de 2,5 millions de dollars.
Face à un tel prix, TP-Link n'a pas eu d'autre choix que d'abandonner complètement ces domaines et de modifier toutes les références à leur sujet sur sa page officielle, mais cela n'élimine pas le risque de sécurité. Les deux domaines pourraient se transformer en une attaque de phishing (en se faisant passer pour une page officielle) ou en un mécanisme de distribution de malware, distribuant de fausses «mises à jour du firmware». Heureusement, se protéger est simple : nous devons ignorer ces deux domaines, et utiliser l'adresse IP interne de l'appareil pour effectuer sa configuration (que ce soit 192.168.0.1, 192.168.1.1, 10.0.0.1, ou une autre variante). Que va-t-il leur arriver ? En raison du problème qu'ils représentent, il est probable qu'ils soient bloqués au niveau du navigateur ou du FAI. En attendant, les propriétaires de matériel TP-Link ayant quelques années pourraient vouloir marcher avec un peu plus de prudence.
