Nouveau système d'authentification et d'autorisation dans les firmwares (adieu Orca ?)

[pjtlivjy]

il y a 1 minute, RT36 a dit :

@pjtlivjy diviser pour mieux sécuriser  

il faudrait le proposer comme sujet à la prochaine cession du bac en philosophie ... 

Modifié (le) Janvier 19 par pjtlivjy

[medmed]

il y a 37 minutes, RFN_31 a dit :

Non la sécurité n'est pas qu'un prétexte, si toi tu ne le comprends pas, je ne peux pas t'aider...

Par contre oui, après explication sur le forum Bambu LAb (suivre le lien que j'ai donné plus haut), il est clairement dit que l'approbation par Bambu Lab sera obligatoire (du moins pour le moment) et ça pour moi, c'est inacceptable. Du jour au lendemain Bambu Lab pourrait décidé de m'interdire d'utiliser mon imprimante sauf à passer par la carte µSD.

Que soit rajouté une couche pour les autres slicers (ou logiciels se faisant passer pour un slicer), soit, mais m’empêcher d'utiliser mon imprimante, pas du tout d'accord : mon A1 est probablement la première et la dernière de cette marque.

Je pense que je vais attendre avant d’appliquer ce firmware et je place ma machine en LAN uniquement (pour éviter une MAJ de firmware intempestive). Le jour où Bambu Lab autorisera à nouveau le LAN sans approbation de leur part, je reverrai ma position.

Là, on est d'accord .. 

J'ai acheté une A1 Mini, et c'est précisément pour cela que je ne suis pas d'accord avec ce qui se passe. Bambu change les règles du jeu sous prétexte de sécurité, mais personne n'est dupe. Ce n'était pas mentionné dans le contrat que Bambu pouvait, théoriquement, couper l'accès à mon imprimante, qui, au final, ne m'appartient même plus entièrement.

Je grossis le trait à dessein, mais il est important de comprendre que ce n'est pas parce que des entreprises comme Google, Microsoft, et d'autres se permettent des actions discutables qu'il faut baisser les bras. Au contraire, c'est précisément parce que nous avons été avertis,  que nous savons clairement où cela peut mener, qu'il est essentiel de ne pas laisser ces pratiques se normaliser.
C'est par notre passivité que ces entreprises peuvent nous passer la corde cou. Parce qu'à ce rythme, dans quelque temps nous seront locataire sous contrat de tout, y compris de notre propre corps. 

[RFN_31]

Oui, ça ne m'embête pas trop de devoir utiliser Bambu Studio, mais je veux le plein accès à mon imprimante !

Je vais suivre attentivement le déploiement du firmware sur la série des X1 ...

Modifié (le) Janvier 19 par RFN_31

[RT36]

Il y a 1 heure, pjtlivjy a dit :

il faudrait le proposer comme sujet à la prochaine cession du bac en philosophie ... 

et celui qui aura la meilleur note, sera promus ... 

 

il y a 47 minutes, medmed a dit :

Ce n'était pas mentionné dans le contrat que Bambu pouvait, théoriquement, couper l'accès à mon imprimante, qui, au final, ne m'appartient même plus entièrement.

"le contrat" peut être modifier à n'importe quel moment, et c'est précisé dans les CGU, qu'on ne lit pas ... par exemple

Citation

 

18. Entire Terms

These Terms and Privacy Policy constitutes the entire agreement between you and Bambu Lab governing your use of the Product and supersedes any prior agreements between you and Bambu Lab relating to the use of the Software. You may also be subject to additional terms and conditions that may apply when you use or purchase open source software, third-party content, or other Bambu Lab services.

source : https://bambulab.com/en/policies/terms

 

 

Modifié (le) Janvier 19 par RT36

[medmed]

BambuConnect serait déjà piraté ... 

Voilà à quoi doit s'attendre bambu en voulant ériger des murs. Il va juste motiver à les détruire. 

[LionelXL]

https://www.youtube.com/watch?v=aIyaDD8onIE

------------------------------------------------------------
C'est vraiment du foutage de gueule pour parler sans détours: "Maintenant que vous avez payés l'imprimante, on va vous la louer..."
ça sent l'imposition d'un futur abonnement (serveur cloud) pour pouvoir se servir d'une machine achetée le prix fort !
J'hésitais à en acheter une, et bien je vais continuer avec ma vieille Prusa i3 !
Elle est peut-être vieille mais je m'en sert et je peux la faire évoluer comme je veux, sans rien payer de plus que l'imprimante que j'ai acheté.

Et vous ? Qu'en pensez vous ?

Modifié (le) Janvier 19 par LionelXL
Bientôt une obligation d'abonnement pour utiliser ce qu'on a acheté ?

[Jc2101]

Il y a 11 heures, RFN_31 a dit :

Où as-tu vu qu'ils s'attaquaient à ton réseau domestique ?

Contrôlaient ! Ne change pas les termes, je ne parle pas d'attaque mais de contrôle. Et c'est déjà trop pour moi.

 

 

 

Il y a 9 heures, pascal_lb a dit :

Cette discussion me fait bien rire car si vous vous sentez enfermé dans le système BBL et ses contraintes pourquoi ne pas acheter une machine de la concurrence ?

C'est exactement ce que je suis en train de considérer  

[Motard Geek]

@LionelXL j'ai fusionné ton topic avec celui existant à ce sujet  

[SR-G]

Une authentification "forte" (d'une manière ou d'une autre) pour : associer son compte sur l'imprimante, ou mettre à jour le firmware, franchement çà me pose 0 soucis (et çà peut même avoir du sens dans un usage semi-publique, dans un labo, en entreprise, etc.).

Par contre brider l'écosystème pour les impressions, c'est bof bof.

Sachant que la solution "Bambu Connect" n'en n'est pas une : 

- déjà, çà fait un bordel en plus : on perd en simplicité - alors que c'était une force majeure de l'écosystème Bambu. Car ce composant (programme externe), il faut le maintenir/upgrader/retélécharger, çà tombera en panne de temps en temps, çà marchera pas sous linux pendant des mois (comme Bambu Studio pendant longtemps), etc.

- comme évoqué ci-avant, çà a déjà été piraté et çà le sera toujours : en soi, çà ne résoud rien ! Ca décale juste d'un cran la "porte d'entrée" pour déclencher une impression ... les hackers ont reverse le binaire de Bambu Studio et extrait la clé privée (qu'il serait donc possible de réutiliser dans OrcaSlicer (avec le code qui va bien) pour envoyer directement (comme avant) sur les imprimantes, sans passer par Bambu Connect)

 

Celà dit, et à contrario, on peut aussi comprendre que les utilisateurs n'ont qu'une vue partielle (Bambu parle d'avoir subi des attaques DDOS (sur la partie cloud celà dit), ils ont peut-être aussi certaines raisons / motivations invisibles pour l'utilisateur lambda.

 

Mais bref la bonne manière de faire c'était probablement un paramètre : "open bar" ou "sécurité renforcée". Pour le quidam moyen, "open bar" en LAN local allait très bien (et OrcaSlicer fonctionnait comme aujourd'hui), pour les cas particuliers (fablab, ...), choix de renforcer la sécurité (peut-être en créant/injectant sa propre clé privée/public, d'ailleurs, tant dans l'imprimante que dans Bambu Connect) et c'était réglé. 

[LionelXL]

Il y a 2 heures, Motard Geek a dit :

@LionelXL j'ai fusionné ton topic avec celui existant à ce sujet  

Merci !

[Alynpier]

Bon, si j'ai bien tout compris (!), il me semble que ça ne me concerne pas, puisque mon imprimante fonctionne parfaitement sans être en réseau.
J'explique : je crée mes modèles sur mon Mac (SketchUp et Orca Slicer), je transfère mes gcode sur une clé USB que je branche sur la machine, et je surveille l'impression avec une mini caméra domestique, totalement indépendante de l'imprimante.
Je n'ai jamais eu l'intention de laisser faire la machine toute seule, sans possibilté de surveillance ni de réaction immédiate.
En ça, je ne vois pas ce qui pourrait me brider si Orca Slicer intègre d'autres paramètres de sécurité (que je n'utilise pas).
J'ai bon ? Ou pas ?

 

[giovafr]

Si l'annonce était qu'avec des équipement tiers on perdait en partie voir totalement la garantie, ça aurait été légitime.
Si l'annonce était que désormais pour chaque outil tiers souhaitant mener des actions risquée, alors l'utilisateur devrait confirmer l'autorisation, ça aurait été légitime.
Si l'annonce était que désormais l'api publique (cloud) était réservée à Bambu pour des raisons de sécu ça aurait été légitime.

Mais là ils nous interdisent, même au seins de notre propriété privée (notre LAN) d'accéder à la machine sans passer par leur cloud, et avoir leur accord. L'utilisateur devient un locataire. Aujourd'hui l'api, demain les bobines tiers, et apres du pay-to-print.

innacceptable.

Modifié (le) Janvier 20 par giovafr

[Savate]

Sécurité renforcée  
Bambu Connect’s Authentication X.509 Certificate And Private Key Extracted | Hackaday

 

[pjtlivjy]

il y a une heure, Savate a dit :

Sécurité renforcée  
Bambu Connect’s Authentication X.509 Certificate And Private Key Extracted | Hackaday

 

effectivement plus renforcée que ça  la suite c'est certainement un vaccin 

[Motard Geek]

Nouvel article de Bambu sur leur blog : https://blog.bambulab.com/updates-and-third-party-integration-with-bambu-connect/

[Invité]

il y a 12 minutes, Motard Geek a dit :

Nouvel article de Bambu sur leur blog : https://blog.bambulab.com/updates-and-third-party-integration-with-bambu-connect/

Developer Mode (Optional): For advanced users of the X1, P1, A1, and A1 Mini who prefer full control over their network security, an option will be available to leave the MQTT channel, live stream, and FTP open. This feature must be manually enabled on the printer, and users who select this option will assume full responsibility for securing their local network environment. Please note that Bambu Lab will not be able to provide customer support for this mode, as the communication protocols are not officially supported.

Bon déjà c'est bien qu'ils laissent une option pour le LAN, mais le petit warning de fin fait quand même bien sourire. Tout ce bazar pour simplement envoyer du gcode en wifi avec des menaces de mettre fin au support client est ridicule.

[Moucklee]

Biqu a également communiqué

 

[medmed]

il y a 52 minutes, Motard Geek a dit :

Nouvel article de Bambu sur leur blog : https://blog.bambulab.com/updates-and-third-party-integration-with-bambu-connect/

Citation

La vérité sur notre mise à jour de sécurité
 
Nous avons réfléchi à la désinformation qui circule au sujet de notre mise à jour sur la sécurité, et même s'il est décourageant de voir ces malentendus surgir, nous reconnaissons que notre communication a pu contribuer à la confusion.

Des vidéos, des publications et des commentaires affirment que nous restreignons les outils tiers ou forçons les utilisateurs à entrer dans un écosystème fermé. Soyons clairs sur ce que signifie réellement cette mise à jour et arrêtons la propagation de la désinformation :
 
Il ne s'agit PAS de limiter les logiciels tiers. Nous créons Bambu Connect spécifiquement pour garantir une intégration tierce continue tout en améliorant la sécurité. Nous travaillons activement avec des développeurs comme Orca Slicer pour mettre en œuvre cette intégration.
 
Il s'agit de tests bêta, pas d'une mise à jour forcée. Le choix est à vous. Vous pouvez participer au programme bêta pour nous aider à affiner ces fonctionnalités, ou continuer à utiliser votre firmware actuel.
 
À propos de Panda Touch'. Nous avons contacté BTT dès que nous avons pris connaissance de leur produit. Nous les avons avertis que l'utilisation de protocoles MQTT exploités n'était pas durable et placerait les clients dans une situation délicate une fois que nous aurons mis à jour le système. Toute cette communication a eu lieu avant l'expédition massive de Panda Touch ; cependant, ils ont choisi d’ignorer nos avertissements. Malheureusement, la vérité est désormais présentée de manière trompeuse. Les mêmes préoccupations s'appliquent aux autres produits qu'ils fabriquent et qui s'appuient sur ces protocoles MQTT.
 
La caméra nourrit des inquiétudes. Notre service Live View utilise une connexion P2 P (Peer-to-Peer), ce qui signifie des flux vidéo directement entre votre appareil et votre imprimante. Ce n'est que lorsqu'une connexion directe P2 P n'est pas possible qu'elle utilise le transfert de serveur, et même dans ce cas, aucune vidéo n'est jamais stockée sur aucun serveur.

Ben désolé, mais c'est pas vraiment clair dans la mesure où dans un billet précédent, il est explicitement écrit.. 

 

Nous avons précédemment souligné ces changements à venir dans un précédent article de blog, où nous avons précisé que nous ne pouvons garantir un soutien à long terme pour les logiciels ou le matériel de rechange qui interagissent avec l'imprimante ou ses éléments chauffants.

Je comprend ça comme la fin programmée de OrcaSlicer pour Bambu, non ? 

[Jc2101]

Ben ça ne m'inspire pas confiance tout ça...

Citation

• Bambu Lab désactivera à distance votre imprimante ("brick" it).

• Les mises à jour du micrologiciel bloqueront la capacité d'impression de l'impression à imprimer.

Je viens à l'instant de lire un truc sur le groupe "Bambu Lab France" qui pourrait bien être justement un blocage...

 

Citation

• La fonctionnalité AMS sera restreinte et l'utilisation de filaments tiers sera désactivée.

Cette fonction existerait donc ?

[Invité]

@Jc2101 les passages cités sont des démentis, pas des affirmations ^^

[Funboard29]

Connaissant BTT et leur vitesse de réaction nous allons pas tarder à voir sortir une carte contrôleur pour les Bambu avec un vrai Klipper.

A noter que BTT confirme ne pas avoir de contact avec Bambu.

Voir le post sur Reddit plus haut

[RT36]

Il y a 3 heures, DataPocalypse a dit :

Developer Mode (Optional): For advanced users of the X1, P1, A1, and A1 Mini who prefer full control over their network security, an option will be available to leave the MQTT channel, live stream, and FTP open. This feature must be manually enabled on the printer, and users who select this option will assume full responsibility for securing their local network environment. Please note that Bambu Lab will not be able to provide customer support for this mode, as the communication protocols are not officially supported.

Bon déjà c'est bien qu'ils laissent une option pour le LAN, mais le petit warning de fin fait quand même bien sourire. Tout ce bazar pour simplement envoyer du gcode en wifi avec des menaces de mettre fin au support client est ridicule.

si j'ai bien compris ils ne disent pas qu'il n'y aura plus de SAV, mais qu'ils ne pourront plus le faire comme avant (depuis l'application, avec l'envoi des logs, etc ...) 

[Invité]

il y a 1 minute, RT36 a dit :

si j'ai bien compris ils ne disent pas qu'il n'y aura plus de SAV, mais qu'ils ne pourront plus le faire comme avant (depuis l'application, avec l'envoi des logs, etc ...) 

C'est encore un point de communication pas claire de leur part, car avant cette histoire le LAN ne posait aucun souci pour faire du SAV, il suffisait de récupérer les logs depuis le FTP/carte SD et d'envoyer les fichiers en pièce jointe.

[RT36]

il y a 6 minutes, DataPocalypse a dit :

C'est encore un point de communication pas claire de leur part, car avant cette histoire le LAN ne posait aucun souci pour faire du SAV, il suffisait de récupérer les logs depuis le FTP/carte SD et d'envoyer les fichiers en pièce jointe.

oui, mais quand ils mettront en place leur canal sécurisé, faudra passer par bambuconnect  et si on en veut pas, on ne pourra pas communiquer avec le SAV comme avant ... je me trompe peut-être, mais je comprends ça comme ça

[Invité]

il y a 5 minutes, RT36 a dit :

oui, mais quand ils mettront en place leur canal sécurisé, faudra passer par bambuconnect  et si on en veut pas, on ne pourra pas communiquer avec le SAV comme avant ... je me trompe peut-être, mais je comprends ça comme ça

Je pense qu'il faudra attendre un énième communiqué, avec toute la sauce qu'ils sont en train de se prendre ça doit faire des réunions interminables surtout qu'ils vont bientôt commencer leurs congés de nouvel an chinois, c'est mal tombé