+33 (0)1 69 33 05 50

Actualité et agenda de l'AFTI

WIFI WPA2 : est-on toujours en sécurité via WIFI ?

Vous avez sûrement entendu parler du Krack (Key Reinstallation Attack) s’attaquant au protocole WIFI WPA2-PSK le mois dernier ? Sachez que les géants de la Tech ont senti une large secousse et ont mis les bouchées doubles pour sécuriser leur système d’opération face à un danger sérieux.

Petit récap’

Le 16 octobre, on découvrait une faille dans le protocole WIFI-WPA2, censé sécuriser une connexion sur n’importe quel WIFI. Pour rappel, celui-ci est apparu dans les années 2000 afin de remplacer le protocole WEP, qui lui cryptait les paquets de données constamment de la même manière. Considérez WEP comme votre voisin, qui pense avoir inventé l’eau chaude en laissant votre clef sous votre paillasson. WPA2 se basait sur le même système d’encryption, tout en changeant de clé tous les jours, et la cachant dans un endroit différent à chaque connexion.

Mais le jour regretté arriva : une méthode joliment appelée « Krack » a été découverte par Mathy Vanhoef. Il nous explique comment le crime s’opère.

binary-2170630_960_720

Invisible, mais efficace

Le Cybercriminel se pose dans un café, ou espace public. Il cherche un WIFI environnant à pirater : Entreprises, Magasin, Box d’appartement. Il intercepte la connexion d’un objet connecté (PC, portable, smartphone, etc.), et perturbe le rituel d’identification appelé « 4way handshake » qui vérifie la validité de votre mot de passe. Il peut donc à ce moment-là écouter les données échangées sur le réseau sans avoir à lui-même se connecter ! Krack se différencie dans la mesure où il ne vient pas d’une attaque de la part d’un software, mais d’une porte d’entrée cachée dans le protocole, et s’opère donc sans laisser de traces.

Que ce soit vos identifiants, votre selfie quotidien avec la langue de chien ou vos coordonnées bancaires, plus rien n’aura de secret ! Le malfaiteur pourra même aller plus loin, et modifier les données reçues d’un site web manquant de protection en y insérant un malware, ransomware, et autres wares tout aussi dangereux.

Les entreprises sont elles aussi concernées, et risquent gros, car les objets connectés sont multiples en milieu professionnel. Qu’il s’agisse du laptop en salle de réunion ou du serveur de votre client, il sera facilement accessible de la part du malfaiteur. Une fois l’accès au périphérique, il peut même se permettre de fouiller dans votre hardware : du disque dur jusqu’à votre clé USB !

 

Réaction éclair des Géants de la Tech, oui, mais après ?

Les géants de la Tech ont senti la secousse et se sont vite mis au travail afin de permettre une mise à jour express pour sécuriser les OS les plus touchés. Microsoft et Linux ont été les premiers à proposer cette update pour les plateformes PC et serveurs. Apple propose un « hotfix » disponible en bêta depuis votre Mac, mais on attend toujours un retour concernant les smartphones Apple et Android, victimes faciles face au WIFI. Tout devrait rentrer dans l’ordre sous peu (ou presque).

L’enfer c’est les autres dit-on souvent, mais dans ce cas, l’enfer de la Cybersécurité, c’est nous. Nous sommes nombreux à repousser les mises à jour Windows, Antivirus, ou même de Smartphone, comme le bouton Snooze du réveil le matin. Il faudra donc s’infliger ces 5 minutes d’installation, pour notre bien et celui de notre entourage.

Reportage Xavier Granet

D’un autre côté, David Gorodyansky, CEO de HotSpotShield, se prononçait sur cette situation en indiquant que les objets connectés au WIFI SPA2 ne s’en tenaient pas qu’aux Smartphones, et ordinateurs : les routeurs, les caméras de sécurité, les aspirateurs, les réfrigérateurs, jusqu’aux portes de garage. Bref un nombre incalculable d’objets connectés qui n’auront peut-être jamais de mise à jour prévue, les fournisseurs préférant s’atteler au prochain modèle plutôt que de mettre à jour les produits existants.

On ne sonne pas encore la mort du protocole WPA2, mais elle soulève un point important : chaque innovation s’accompagne de nouveaux problèmes et les objets connectés ne sont pas une exception. Il nous faudra redoubler d’attention et nous abonner à de nouvelles pratiques de sécurité pour ne pas être enchaînés à un câble Ethernet, et profiter de notre liberté.