#KrackAttacks concerne le protocole WPA/WPA2. C’est le protocole qui sécurise les échanges en WiFi.
WPA signifie WiFi Protected Access.
En conséquence, KrackAttacks ne concerne pas la 3G, la 4G, le Bluetooth, la radio, les micro-ondes, etc.
KrackAttacks concerne tous les périphériques qui utilisent le WiFi, sous Linux, Windows, Android, MacOS, etc.
… Donc vos objets connectés : votre tablette, votre téléphone portable, votre ordinateur, votre appareil photo, votre caméra de sécurité..
… A condition qu’ils se connectent en WiFi.
Rappel : si vous protégez vos connexions en WEP (Wired Equivalent Privacy), ancêtre du WPA, votre protection est déjà très faible.
KrackAttacks ne permet pas de déchiffrer les informations qui transitent via HTTPs ou VPN.
Par contre ça permet de tenter de les contourner avec d’autres attaques, on va en parler plus bas.
La faille KrackAttacks se situe dans le mécanisme d’initialisation de la sécurisation (du chiffrement) de la connexion.
A ce moment là un utilisateur malveillant a la possibilité de se faire passer pour le point d’accès.
En d’autres termes, KrackAttacks commence par une attaque de type « Man In The Middle ».
L’attaque principale cible donc les clients (votre téléphone, votre pc, etc.)
Néanmoins certaines variantes de l’attaque peuvent aussi compromettre les points d’accès (votre box Internet, votre routeur WiFi, etc.)
Ça signifie que l’attaquant doit être à portée du WiFi. Dans votre immeuble, dans votre rue, dans la voiture garée en bas.
Une fois que l’attaquant en est arrivé là, il peut alors utiliser d’autres techniques pour récupérer vos données (login, mdp, cb, etc.)
Il en existe plein, @Micode en présente une dans une de ses vidéos : https://www.youtube.com/watch?v=pqA5nWenxuE
Que devez-vous faire pour vous prémunir de KrackAttacks ? Faites vos MàJ régulièrement !
D’après les chercheurs derrière cette découverte, c’est corrigeable et la plupart des éditeurs est déjà au courant depuis fin août.
Utilisez https://www.eff.org/https-everywhere pour forcer l’utilisation d’HTTPs.
Vous pouvez aussi vous brancher en filaire, pas de soucis de ce côté là.
Et voilà, fin du thread ! Si on a fait une erreur, si vous avez des questions, dites-le nous 😉
Bonus : vous pouvez trouver tous les détails et une démonstration de l’attaque sur https://www.krackattacks.com/
Édit : Nous avons pris le temps de faire un retour sur cette première vidéo dans lequel on revient sur les critiques constructives que nous avons reçues.
Sources :