Discussion :

[Coriolan]

WPA2 : des chercheurs en sécurité sont parvenus à casser le protocole de sécurité de Wi-Fi
Les utilisateurs du monde entier sont désormais menacés

Wi-Fi Protected Access (WPA et WPA2) est un mécanisme pour sécuriser les réseaux sans-fil de type Wi-Fi. Il a été créé au début des années 2000 en réponse aux nombreuses et sévères faiblesses que des chercheurs ont trouvées dans le mécanisme précédent, le WEP. WPA2 surtout est le protocole de chiffrement le plus utilisé et le plus réputé pour sa sécurité.

Maintenant, des chercheurs en sécurité ont trouvé des vulnérabilités critiques dans ce protocole. Si elles sont exploitées, elles permettront aux hackers présents dans le périmètre du réseau sans fil de trouver le mot de passe du Wi-Fi et intercepter le trafic internet. Ils seront en mesure d’accéder au trafic non chiffré entre un appareil et le point d’accès Wi-Fi et même injecter du contenu.

La United States Computer Emergency Readiness Team a publié cette alerte en réponse à la découverte de cet exploit : « US-CERT a pris conscience de l’existence de plusieurs vulnérabilités de gestion de clefs dans le 4-Way Handshake du protocole de sécurité Wi-Fi Protected Access II (WPA2). L’impact de l’exploitation de ces vulnérabilités inclut le déchiffrement, l’attaque par rejeu, le détournement d’une connexion TCP, l’injection de contenu HTTP, et bien d’autres. Du fait qu’il s’agit de problèmes au niveau du protocole, la plupart ou toutes les implémentations correctes du standard seront affectées. Le CERT/CC et le chercheur (qui a rapporté la vulnérabilité) KU Leuven, vont rendre publiques ces vulnérabilités le 16 octobre 2017. »

Les chercheurs ont désormais dévoilé les détails sur l’attaque sur le site krackattacks.com. La vulnérabilité se trouve au niveau du standard Wi-Fi lui-même, et non pas dans des produits ou implémentations individuelles. En conséquence, toute implémentation correcte du WPA2 est probablement affectée. Pour prévenir cette attaque, les experts préconisent aux utilisateurs de mettre à jour leurs appareils dès que les patchs de sécurité seront rendus disponibles. À noter que « si votre appareil supporte le Wi-Fi, il est probablement affecté ». Cela vient du fait qu’actuellement, la plupart des réseaux Wi-Fi modernes utilisent le 4-way handshake pour créer une clef de chiffrement afin de sécuriser le trafic.

Les vulnérabilités suivantes ont été enregistrées : CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, et CVE-2017-13088.

Certains vendeurs et fabricants ont déjà publié des correctifs pour leurs routeurs et points d’accès, mais si vous n’avez pas encore reçu de patchs, il est conseillé d’utiliser le HTTPS, STARTTLS, Secure Shell et les autres protocoles de chiffrement du web et du trafic email entre les clients et les points d’accès. Les utilisateurs devront également se prémunir de VPN comme une couche additionnelle de sécurité. Il faut noter également que certains appareils que nous utilisons aujourd’hui, comme les routeurs ne vont certainement pas recevoir de correctifs. Dans ce cas, il faudra songer à les remplacer ou bien éviter toute connexion non chiffrée.

Source : krackattacks - The Inquirer

Et vous ?

Avez-vous reçu une mise à jour pour votre routeur ?
Sinon, quelles mesures de sécurité comptez-vous prendre ?

Voir aussi :

Forums Sécurité, Rubrique Sécurité

[poma88]

WhoooHooo je peux recommencer le wardriving <3

[MaximeCh]

Aïe.
L'internet of shiet va encore en chier

[abriotde]

Je trouve ça abuser de publier déjà les failles. Ils auraient pu attendre 1 an pour un problème aussi bas niveau (parfois hardware).

La bonne nouvel c'est que d'ici peu il sera facile de cracker les connexion Wifi des Bar et autre lieux public (Et même le Wifi privé des appartements...) : Internet everywhere sans 4G avec un bon débit.

[micka132]

Si c'est dans le protocole en lui même, comment est-ce que les bornes wifi peuvent se mettre jour et rester compatible avec leurs consommateurs si c'est dernier n'ont pas de correctif?
Dans ce scénario les FAI prendraient-ils le risque de mettre à jour les box, avec à coup sur des milliers (millions?) de client ne pouvant plus utiliser leurs appareils? Ca va être sport

[MikeRowSoft]

[...]
Avez-vous reçu une mise à jour pour votre routeur ?
Si non, quelles mesures de sécurité comptez-vous prendre ?
[...]

Non, c'est celui de l'opérateur de télécoms, alors c'est lui qui s’en charge.
Rien faire. Mais demander au concessionnaire si il le sait.

[vanquish]

Certains routeurs (comme les Livebox) obligent à un appairage des appareils : même avec la clé, vous ne vous connectez pas si vous n'appuyez pas sur le bouton qui va bien du routeur (au moment de la première connexion).
Il existe un système équivalent sur les Freebox Revolution, mais il faut se connecter à la box avec son navigateur pour éditer la liste blanche.

Ca devrait protéger du problème.
Mais l'obligation de sécurisation d'hadopi en prend un coup.

[urgau]

Je trouve ça abuser de publier déjà les failles. Ils auraient pu attendre 1 an pour un problème aussi bas niveau (parfois hardware).

La bonne nouvel c'est que d'ici peu il sera facile de cracker les connexion Wifi des Bar et autre lieux public (Et même le Wifi privé des appartements...) : Internet everywhere sans 4G avec un bon débit.

Personnellement je ne trouve pas cela très dérangent puisque le faille a été patcher 5h avant publication (certes c'est peu mais convenable pour ma part) et pas suffisant pour faire des dégâts. De plus il faut pousser les industrielles a faire des patches sinon ils ne les feront jamais.

[AndMax]

Si non, quelles mesures de sécurité comptez-vous prendre ?

Je vais demander à la HADOPI ce que je dois faire...

[MikeRowSoft]

Certains routeurs (comme les Livebox) obligent à un appairage des appareils : même avec la clé, vous ne vous connectez pas si vous n'appuyez pas sur le bouton qui va bien du routeur (au moment de la première connexion).

Comme la liste est remise à zéro après chaque mise à jour ou que les équipements non utilisés disparaissent au bout de 3 mois (mais toujours présent dans la liste du filtrage d'adresse MAC) cela ne me dérange pas puisque j'ai encore accès à chez moi, par contre la livebox pro pour les gérants d'immeubles cela risque de devenir gênant au niveau point d'accès/antenne multiple.

Livebox Play ou Livebox 3 propose : WiFi Protected SetUp (WPS) et juste un code de quatre "chiffres" donner, mais il faut appuyer sur le bouton et que le SSID soit visible obligatoirement et sans filtrage MAC.
Les autres aussi surement, depuis la Livebox 2 en tous cas...
Je crois bien que c'est un "standard", WPS, très répandu ailleurs aussi.

Si j'avais mon bon vieux TEW-435BRM je regarderai le code source, sans être vraiment certains d'avoir toutes les cartes en mains...

Une petite pensé pour les hôtels.

Je me demande si au démarrage de Windows 8.1 il est possible de sélectionner un réseau Wi-Fi dans la liste d'un autre utilisateur ?
Je crois bien que Android n'enlève pas tout en retirant simplement la référence au compte Gmail.

Ca devrait protéger du problème.
Mais l'obligation de sécurisation d'hadopi en prend un coup.

Moi, j'ai laissé actif une option qui permet à la Livebox d'envoyer des information d'utilisation à Orange. Donc en théorie aucune information "personnelle", uniquement la description du type de matériel, les protocoles employés et le volume global du trafic. Je vois la CNIL sourire.

J'ai eu un problème de poste inconnu qui apparaissait comme par enchantement sur la Livebox, et une fois même avec le filtrage d'adresse MAC actif. L'adresse m'informait que c'était un appareil Samsung, mais pas le mien... Donc ils ont mis la Livebox sous "écoute/protection" je suppose. La Livebox 2 m'avait fait la même chose, alors j'avais demandé de passer à la Livebox 3 + VDSL2+. Maintenant le passage en Livebox 4 c'est si fibre et le passage en VDSL2+ n'est plus forcément gratuit...

[Farlgerann]

C'est pas qu'on est "désormais en danger", c'est qu on sait désormais qu on l'est x)

[e101mk2]

La bonne nouvel c'est que d'ici peu il sera facile de cracker les connexion Wifi des Bar et autre lieux public (Et même le Wifi privé des appartements...) : Internet everywhere sans 4G avec un bon débit.

Je pense que non, les petit bars et les appartements dépendent du FAI. Donc ils sont obligé de s'occuper de la mise à jour (dans le cas contraire, sa deviendra un argument marketing).

Ce sont les PME et les assos qui me font peur, ils ont souvent un faible revenu, qu'il leur contraint de ne pas embaucher des professionnels de l'informatique. Leurs réseaux sont réellement menacée.
Pour ma part mon second routeur est hors support, j'ai eu raison de le prendre avec du matos libre, il est temps que je m'occupe d'un "linux extra lite" pour m'occuper moi même du problème.

[Cyanobacterius]

On va revenir au bon vieux câble réseau

[Stéphane le calme]

WPA2 : Microsoft a déjà colmaté la faille affectant ce protocole,
Apple a implémenté un correctif dans des versions bêta d'iOS et macOS

Les entreprises technologiques ont commencé à réagir à un nouvel exploit Wi-Fi qui affecte tous les réseaux Wi-Fi modernes utilisant WPA ou WPA 2, le mécanisme pour sécuriser les réseaux sans fil de type Wi-Fi.

La United States Computer Emergency Readiness Team a publié cette alerte en réponse à la découverte de cet exploit : « US-CERT a pris conscience de l’existence de plusieurs vulnérabilités de gestion de clefs dans le 4-Way Handshake du protocole de sécurité Wi-Fi Protected Access II (WPA2). L’impact de l’exploitation de ces vulnérabilités inclut le déchiffrement, l’attaque par rejeu, le détournement d’une connexion TCP, l’injection de contenu HTTP, et bien d’autres. Du fait qu’il s’agit de problèmes au niveau du protocole, la plupart ou toutes les implémentations correctes du standard seront affectées. Le CERT/CC et le chercheur (qui a rapporté la vulnérabilité) KU Leuven, vont rendre publiques ces vulnérabilités le 16 octobre 2017. »

Les chercheurs en sécurité déclarent que les périphériques exécutant macOS, Windows, iOS, Android et Linux sont affectés par les vulnérabilités.

Aussi, les éditeurs de logiciels ont vite fait de communiquer. Microsoft a indiqué qu'il a déjà résolu le problème pour les clients exécutant les versions prises en charge de Windows. « Nous avons publié une mise à jour de sécurité pour résoudre ce problème », a déclaré un porte-parole de Microsoft. Le bulletin de sécurité a été diffusé hier. « Les clients qui appliquent la mise à jour ou qui ont activé les mises à jour automatiques seront protégés. Microsoft continue à encourager les clients à activer les mises à jour automatiques pour s'assurer qu'ils sont protégés. »

Google, pour sa part, a promis un correctif pour les appareils concernés « dans les semaines à venir ». Les appareils Pixel de Google seront les premiers à recevoir des correctifs avec une mise à jour de sécurité prévue pour le 6 novembre 2017, mais la plupart des autres dispositifs tournant sur Android devront probablement attendre plus longtemps. Selon les chercheurs, 41 % des appareils Android sont vulnérables à une variante « exceptionnellement dévastatrice » de l'attaque Wi-Fi qui implique la manipulation du trafic, et il faudra du temps pour colmater la faille sur les anciens appareils.

La Wi-Fi Alliance, un réseau d'entreprises responsables du Wi-Fi, a fait un commentaire suite à la divulgation des vulnérabilités :

« Des recherches publiées récemment ont identifié des vulnérabilités dans certains périphériques Wi-Fi où ces périphériques réinstallent des clefs de cryptage réseau dans certaines conditions, désactivant ainsi la protection contre la rediffusion et réduisant considérablement la sécurité du chiffrement. Ce problème peut être résolu grâce à des mises à jour logicielles simples et l'industrie Wi-Fi, y compris les principaux fournisseurs de plateformes, a déjà commencé à déployer des correctifs sur les utilisateurs Wi-Fi. Les utilisateurs peuvent s'attendre à ce que tous leurs périphériques Wi-Fi, qu'ils soient patchés ou non, continuent à bien fonctionner ensemble.

« Il n'y a aucune preuve que la vulnérabilité a été exploitée de manière malveillante et Wi-Fi Alliance a pris des mesures immédiates pour s'assurer que les utilisateurs peuvent continuer à compter sur le Wi-Fi pour offrir de solides protections de sécurité. Wi-Fi Alliance doit maintenant tester cette vulnérabilité au sein de notre réseau mondial de laboratoires de certification et a fourni un outil de détection des vulnérabilités à l'usage de tout membre de Wi-Fi Alliance. Wi-Fi Alliance communique également largement les détails de cette vulnérabilité et des correctifs aux fournisseurs de périphériques et les encourage à travailler avec leurs fournisseurs de solutions pour intégrer rapidement les correctifs nécessaires. Comme toujours, les utilisateurs Wi-Fi doivent s'assurer qu'ils ont installé les dernières mises à jour recommandées par les fabricants d'appareils. »

Apple a également confirmé que la vulnérabilité est corrigée dans une version bêta des systèmes d'exploitation actuels. Le correctif devrait être rendu public dans quelques semaines. Il faudra donc encore un peu de patience pour les appareils tournant sur iOS et macOS.

Source : bulletin de sécurité Microsoft, Wi-Fi Alliance, AppleInsider

[poma88]

Quelqu'un pourra toujours "Kracker" le réseau si la faille est dans le protocole wifi ... Non?

[mattdef]

On m'a toujours dis "Open-source = sécurité". C'est parfois vrai mais aussi parfois faux

- Windows déjà protégé
- MacOS et iOS en passe de l'être
- ...
- ...
- ...
- Android qui le sera uniquement sur 2 modèles de smartphones et uniquement d'ici quelques semaines et surement une ENORME QUANTITE de smartphone qui ne seront jamais mis à jour pour corrigé cette faille


C'est beau l'open-source, c'est beau Google

[Volgaan]

C'est beau l'open-source, c'est beau Google

Ce n'est pas tout à fait exact. Bien que la base (AOSP) soit open-source, les versions d'Android déployés par les constructeurs le sont rarement, et c'est bien ça qui prend du temps. Même si Google met à jour rapidement Android "stock", il faudra attendre probablement des semaines, sinon des mois, avant que les constructeurs en fassent de même sur leurs appareils. S'ils le font.

[nostrora]

On m'a toujours dis "Open-source = sécurité". C'est parfois vrai mais aussi parfois faux

- Windows déjà protégé
- MacOS et iOS en passe de l'être
- ...
- ...
- ...
- Android qui le sera uniquement sur 2 modèles de smartphones et uniquement d'ici quelques semaines et surement une ENORME QUANTITE de smartphone qui ne seront jamais mis à jour pour corrigé cette faille


C'est beau l'open-source, c'est beau Google

Tu es un ignorant

Ne confonds pas open source et stragérie de sécurité d'une entreprise (qui n'est justement PAS Open-Source FOSS etc.)
C'est le projet wpa_supplicant qui cause cette faille sur les systèmes GNU/Linux. Et le fix a été mis en ligne il y a 17h http://w1.fi/cgit/hostap/log/

là, si je met à jour mon paquet Arch Linux ou sur un autre système debian et mon système sera sécurisé.

Pour Windows par contre, ce n'est pas le cas, tu va devoir attendre au moins un mois le temps qu'il release le fix sur leur channel Windows Update (t'aura aussi droit à 2/3 redémarrage de 10 minutes chacun (ok je troll..)).

Voilà voilà, donc oui c'est beau l'open-source.

[Anomaly]

Tu es un ignorant

C'est aussi un doux fanboy illuminé qui voit de l'avenir à Windows Phone.

Et il s'imagine apparemment que Google serait un champion de l'Open Source ; une telle ignorance est criminelle.

Les problèmes de mises à jour d'Android (que ça soit en terme de sécurité ou fonctionnalité) est le point le plus noir de ce système et n'a rien à voir avec son aspect partiellement open source, bien au contraire : c'est la personnalisation propriétaire de chaque Android par chaque constructeur qui en est responsable, qui fait que des millions d'appareils seront bloqués à telle ou telle version, ce qu'on appelle la fragmentation.

Donc en réalité c'est bien parce que chaque Android en circulation est bourré de code propriétaire qu'on a un tel souci.

[bytecode]

Salut, attaquer un AP (point d’accès, routeur...) sympa... mais corrompre une station (le client) en trouvant des failles dans le drivers de la carte wifi (voir fuzzing de drivers wifi) via wifitap, scapy et metasploit sans avoir besoin d'être associé, si j'étais auditeur je ferais surement ce choix.

Bravo pour la découverte.