WPA2 : des chercheurs en sécurité sont parvenus à casser le protocole de sécurité de Wi-Fi
Les utilisateurs du monde entier sont désormais menacés

Le , par Coriolan, Chroniqueur Actualités
Wi-Fi Protected Access (WPA et WPA2) est un mécanisme pour sécuriser les réseaux sans-fil de type Wi-Fi. Il a été créé au début des années 2000 en réponse aux nombreuses et sévères faiblesses que des chercheurs ont trouvées dans le mécanisme précédent, le WEP. WPA2 surtout est le protocole de chiffrement le plus utilisé et le plus réputé pour sa sécurité.

Maintenant, des chercheurs en sécurité ont trouvé des vulnérabilités critiques dans ce protocole. Si elles sont exploitées, elles permettront aux hackers présents dans le périmètre du réseau sans fil de trouver le mot de passe du Wi-Fi et intercepter le trafic internet. Ils seront en mesure d’accéder au trafic non chiffré entre un appareil et le point d’accès Wi-Fi et même injecter du contenu.

La United States Computer Emergency Readiness Team a publié cette alerte en réponse à la découverte de cet exploit : « US-CERT a pris conscience de l’existence de plusieurs vulnérabilités de gestion de clefs dans le 4-Way Handshake du protocole de sécurité Wi-Fi Protected Access II (WPA2). L’impact de l’exploitation de ces vulnérabilités inclut le déchiffrement, l’attaque par rejeu, le détournement d’une connexion TCP, l’injection de contenu HTTP, et bien d’autres. Du fait qu’il s’agit de problèmes au niveau du protocole, la plupart ou toutes les implémentations correctes du standard seront affectées. Le CERT/CC et le chercheur (qui a rapporté la vulnérabilité) KU Leuven, vont rendre publiques ces vulnérabilités le 16 octobre 2017. »

Les chercheurs ont désormais dévoilé les détails sur l’attaque sur le site krackattacks.com. La vulnérabilité se trouve au niveau du standard Wi-Fi lui-même, et non pas dans des produits ou implémentations individuelles. En conséquence, toute implémentation correcte du WPA2 est probablement affectée. Pour prévenir cette attaque, les experts préconisent aux utilisateurs de mettre à jour leurs appareils dès que les patchs de sécurité seront rendus disponibles. À noter que « si votre appareil supporte le Wi-Fi, il est probablement affecté ». Cela vient du fait qu’actuellement, la plupart des réseaux Wi-Fi modernes utilisent le 4-way handshake pour créer une clef de chiffrement afin de sécuriser le trafic.

Les vulnérabilités suivantes ont été enregistrées : CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, et CVE-2017-13088.


Certains vendeurs et fabricants ont déjà publié des correctifs pour leurs routeurs et points d’accès, mais si vous n’avez pas encore reçu de patchs, il est conseillé d’utiliser le HTTPS, STARTTLS, Secure Shell et les autres protocoles de chiffrement du web et du trafic email entre les clients et les points d’accès. Les utilisateurs devront également se prémunir de VPN comme une couche additionnelle de sécurité. Il faut noter également que certains appareils que nous utilisons aujourd’hui, comme les routeurs ne vont certainement pas recevoir de correctifs. Dans ce cas, il faudra songer à les remplacer ou bien éviter toute connexion non chiffrée.

Source : krackattacks - The Inquirer

Et vous ?

Avez-vous reçu une mise à jour pour votre routeur ?
Sinon, quelles mesures de sécurité comptez-vous prendre ?

Voir aussi :

Forums Sécurité, Rubrique Sécurité


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de poma88 poma88 - Membre du Club https://www.developpez.com
le 16/10/2017 à 13:07
WhoooHooo je peux recommencer le wardriving <3
Avatar de MaximeCh MaximeCh - Membre averti https://www.developpez.com
le 16/10/2017 à 13:13
Aïe.
L'internet of shiet va encore en chier
Avatar de abriotde abriotde - Membre éprouvé https://www.developpez.com
le 16/10/2017 à 14:03
Je trouve ça abuser de publier déjà les failles. Ils auraient pu attendre 1 an pour un problème aussi bas niveau (parfois hardware).

La bonne nouvel c'est que d'ici peu il sera facile de cracker les connexion Wifi des Bar et autre lieux public (Et même le Wifi privé des appartements...) : Internet everywhere sans 4G avec un bon débit.
Avatar de micka132 micka132 - Membre expert https://www.developpez.com
le 16/10/2017 à 17:25
Si c'est dans le protocole en lui même, comment est-ce que les bornes wifi peuvent se mettre jour et rester compatible avec leurs consommateurs si c'est dernier n'ont pas de correctif?
Dans ce scénario les FAI prendraient-ils le risque de mettre à jour les box, avec à coup sur des milliers (millions?) de client ne pouvant plus utiliser leurs appareils? Ca va être sport
Avatar de MikeRowSoft MikeRowSoft - Provisoirement toléré https://www.developpez.com
le 16/10/2017 à 17:49
Citation Envoyé par Coriolan Voir le message
[...]
Avez-vous reçu une mise à jour pour votre routeur ?
Si non, quelles mesures de sécurité comptez-vous prendre ?
[...]
Non, c'est celui de l'opérateur de télécoms, alors c'est lui qui s’en charge.
Rien faire. Mais demander au concessionnaire si il le sait.
Avatar de vanquish vanquish - Membre éclairé https://www.developpez.com
le 16/10/2017 à 18:29
Certains routeurs (comme les Livebox) obligent à un appairage des appareils : même avec la clé, vous ne vous connectez pas si vous n'appuyez pas sur le bouton qui va bien du routeur (au moment de la première connexion).
Il existe un système équivalent sur les Freebox Revolution, mais il faut se connecter à la box avec son navigateur pour éditer la liste blanche.

Ca devrait protéger du problème.
Mais l'obligation de sécurisation d'hadopi en prend un coup.
Avatar de urgau urgau - Futur Membre du Club https://www.developpez.com
le 16/10/2017 à 18:32
Citation Envoyé par abriotde Voir le message
Je trouve ça abuser de publier déjà les failles. Ils auraient pu attendre 1 an pour un problème aussi bas niveau (parfois hardware).

La bonne nouvel c'est que d'ici peu il sera facile de cracker les connexion Wifi des Bar et autre lieux public (Et même le Wifi privé des appartements...) : Internet everywhere sans 4G avec un bon débit.
Personnellement je ne trouve pas cela très dérangent puisque le faille a été patcher 5h avant publication (certes c'est peu mais convenable pour ma part) et pas suffisant pour faire des dégâts. De plus il faut pousser les industrielles a faire des patches sinon ils ne les feront jamais.
Avatar de AndMax AndMax - Membre averti https://www.developpez.com
le 16/10/2017 à 19:05
Si non, quelles mesures de sécurité comptez-vous prendre ?
Je vais demander à la HADOPI ce que je dois faire...
Avatar de MikeRowSoft MikeRowSoft - Provisoirement toléré https://www.developpez.com
le 16/10/2017 à 19:10
Citation Envoyé par vanquish Voir le message
Certains routeurs (comme les Livebox) obligent à un appairage des appareils : même avec la clé, vous ne vous connectez pas si vous n'appuyez pas sur le bouton qui va bien du routeur (au moment de la première connexion).
Comme la liste est remise à zéro après chaque mise à jour ou que les équipements non utilisés disparaissent au bout de 3 mois (mais toujours présent dans la liste du filtrage d'adresse MAC) cela ne me dérange pas puisque j'ai encore accès à chez moi, par contre la livebox pro pour les gérants d'immeubles cela risque de devenir gênant au niveau point d'accès/antenne multiple.

Livebox Play ou Livebox 3 propose : WiFi Protected SetUp (WPS) et juste un code de quatre "chiffres" donner, mais il faut appuyer sur le bouton et que le SSID soit visible obligatoirement et sans filtrage MAC.
Les autres aussi surement, depuis la Livebox 2 en tous cas...
Je crois bien que c'est un "standard", WPS, très répandu ailleurs aussi.

Si j'avais mon bon vieux TEW-435BRM je regarderai le code source, sans être vraiment certains d'avoir toutes les cartes en mains...

Une petite pensé pour les hôtels.


Je me demande si au démarrage de Windows 8.1 il est possible de sélectionner un réseau Wi-Fi dans la liste d'un autre utilisateur ?
Je crois bien que Android n'enlève pas tout en retirant simplement la référence au compte Gmail.


Citation Envoyé par vanquish Voir le message
Ca devrait protéger du problème.
Mais l'obligation de sécurisation d'hadopi en prend un coup.
Moi, j'ai laissé actif une option qui permet à la Livebox d'envoyer des information d'utilisation à Orange. Donc en théorie aucune information "personnelle", uniquement la description du type de matériel, les protocoles employés et le volume global du trafic. Je vois la CNIL sourire.


J'ai eu un problème de poste inconnu qui apparaissait comme par enchantement sur la Livebox, et une fois même avec le filtrage d'adresse MAC actif. L'adresse m'informait que c'était un appareil Samsung, mais pas le mien... Donc ils ont mis la Livebox sous "écoute/protection" je suppose. La Livebox 2 m'avait fait la même chose, alors j'avais demandé de passer à la Livebox 3 + VDSL2+. Maintenant le passage en Livebox 4 c'est si fibre et le passage en VDSL2+ n'est plus forcément gratuit...
Avatar de Farlgerann Farlgerann - Candidat au Club https://www.developpez.com
le 16/10/2017 à 19:25
C'est pas qu'on est "désormais en danger", c'est qu on sait désormais qu on l'est x)
Contacter le responsable de la rubrique Accueil