Infos - Souscription

09 75 18 80 51

Le protocole WPA2 des réseaux WiFi fait KRACK

Logo de la faille KRACK

Mauvaises nouvelles pour les utilisateurs du WiFi. Des chercheurs ont découvert toute une série de failles, surnommées KRACK, dans la procédure de connexion WPA 2, utilisée dans la quasi-totalité des réseaux WiFi sécurisés. Tous les appareils utilisant WPA 2 sont concernés : ordinateurs, consoles, smartphones, tablettes, point d'accès, modem-routeur, box,... Cependant, seuls les smartphones sous Android et les ordinateurs sous Linux sont les plus fragiles.

La sécurisation du WiFi est devenue un enjeu envers les utilisateurs des appareils informatiques, en particulier depuis le phénomène de mobilité avec les smartphones et les tablettes. Après l'échec cuisant du WEP, la WiFi Alliance, regroupant les constructeurs d'appareils, avait trouvé une solution pour protéger les communications avec le WPA (WiFi Protected Access), en particulier avec sa seconde mouture, le WPA 2.

Des chercheurs en sécurité informatique ont dévoilé publiquement les failles concernant WPA 2, nommé KRACK (Key Reinstallation AttaCK), après en avoir fait la démonstration au dernier Black Hat à Las Vegas et avoir transmis les détails aux constructeurs. Cette succession de failles vient du système de protection WPA 2 lui-même : après la phase de reconnaissance avec la clé de sécurité, le routeur WiFi et l'appareil WiFi s'entendent sur le chiffrement de la communication avec une clé commune (sur les modems RTC, le célèbre bruit qui cracke dans le téléphone). Mais les chercheurs ont remarqué que certains appareils pouvaient changer la clé de chiffrement avec une attaque Man on the Middle (MotM, homme au milieu). Ainsi, un appareil WiFi pourrait se placer entre les deux équipements WiFi (routeur en serveur et ordinateur/smartphone en client), puis il envoie à l'appareil client une clé de chiffrement plus simple à décrypter. L'appareil MotM peut alors fausser (DHCP avec mauvais DNS, injection HTML) ou copier les informations passant dans le réseau WIFi.

L'attaque affecte la discussion entre le routeur et l'appareil WiFi. Tous les appareils sont concernés, car cela vient des normes du protocole WPA 2 implémentées partout. Cependant, tous les constructeurs et éditeurs de systèmes d'exploitation n'ont pas implémentés l'ensemble de la norme. Ainsi, pour réussir l'opération, les systèmes d'exploitation devaient laisser passer certaines instructions pour effectuer l'attaque. Les chercheurs ont réalisé des tests : iOS 10.3.1, Windows 7 et 10 ne laissent pas passer la première faille tandis que macOS Mavericks (10.9.5), macOS Sierra (10.12) et OpenBSD 6.1 ne fournissent pas les éléments pour la seconde faille. Android 6.0.1 et les packages de Linux, wpa_supplicant v2.3 à 2.6, ont les failles nécessaires. 41% des Android sont touchés.

Les mises à jour doivent concerner autant les appareils clients tels que les ordinateurs sous Windows, macOS, Linux ou BSD et les appareils mobile (smartphones, tablettes, consoles,...) sous Android, iOS, PlaySOS ou XBoxOS, que les routeurs WiFi, dont ceux inclus dans les box des opérateurs, utilisant souvent Linux et ses packages. Certains constructeurs ont annoncé les mises à jour de leurs appareils WiFi (Aruba de Hewlett-Packard et Ubiquiti l'ont fait). Les packages wpa_supplicant ont reçu leurs mises à jour et Google a annoncé un correctif dans Android. Mais il reste encore à déployer les correctifs sur les différents appareils.

Pour les utilisateurs, il est recommandé de rester sur WPA 2 dans les paramètres des box. Même s'il est compromis, WPA 2 reste la solution la sécurisée des protocoles pour le WiFi. Le précédent, le WEP, est craqué en moins de 3 minutes... Pour renforcer la protection, il faut privilégier les pages en HTTPS ou le passage par VPN. La dernière solution reste de passer par l'Ethernet ou le CPL.

 
Partager sur Facebook  Partager sur Twitter  Partager sur Google Plus 

Vous souhaitez recevoir nos actualités par mail ? Abonnez-vous à notre newsletter :

En remplissant ce formulaire, j'accepte que les données renseignées soient collectées par Selectra, uniquement pour l'envoi de la newsletter. En savoir plus sur le traitement de mes données

×

Où vont mes données ?

Les informations recueillies sur ce formulaire sont enregistrées dans un fichier informatisé, sous la supervision de notre responsable de traitement des données, dans le but de vous communiquer les newsletters de votre choix. Elles sont conservées jusqu’à trois ans après votre dernière interaction avec nos services et sont destinées au service marketing.

Conformément à la loi « informatique et libertés », vous pouvez exercer votre droit d'accès aux données vous concernant et les faire rectifier en contactant : contact@selectra.info. Nous ne communiquons jamais vos coordonnées à un tiers, sauf autorisation expresse de votre part.