Skip to content

Explications préalables

Un mot de passe n’est pas sensé être lisible au sein d’un système. On utilise un algorithme cryptographique qu’on appelle un hash pour le stocker de façon illisible. On parlera de cette technique dans un épisode de Cryptotrucs.

Le but de ce procédé est d’éviter qu’un éventuel hacker puisse récupérer les mots de passe. Cela réduit considérablement les risques de fuites.

Facebook stocke correctement ses mots de passe, semble-t-il. Mais ils ont oublié les logs.

Un log c’est un dispositif qui permet de recueillir des informations sur le comportement d’un système, quel utilisateur s’est connecté, quand, et plus encore.

Il sert souvent à débugger mais peut aussi servir à suivre le comportement des utilisateurs.

La faille elle-même

Modifié le

Cette semaine des chercheurs belges ont publié un moyen de percer la protection offerte par WPA2, le protocole d’authentification et chiffrement des WI-FI. Quelle est cette attaque et comment s’en protéger ?

Le WPA2 est le protocole d’authentification des réseaux WI-FI qui était considéré comme sûr jusqu’à présent et qui remplaçait, depuis 2004, le protocole WEP (percé en 2001). Il est le standard de sécurité des réseaux WI-FI protégés du monde entier.

Surface d’attaque

La surface d’attaque de ce moyen est limitée et peut être réduite. Tout d’abord, l’attaquant doit se trouver à portée du signal du WI-FI pour effectuer l’attaque.

Ensuite, l’attaque concerne le mécanisme d’authentification du WI-FI. Elle ne remet pas en cause la sécurité des données stockées sur les appareils. Les données potentiellement vulnérables sont celles qui circulent sur le réseau WI-FI entre les appareils et la borne.

Cette attaque se sert de l’authentification WPA2 comme porte d’entrée mais elle repose sur une faille du système WI-FI lui-même. WPA2, même parfaitement implémenté, ne peut rien contre cette faille. C’est le système WI-FI qu’il faut patcher.

Simplement expliqué, le WI-FI permet de renvoyer des paquets de données parfaitement identiques à la borne qui les traitent sans discernement.

L’attaquant s’appuie là-dessus pour renvoyer les clés d’authentification à la borne depuis son appareil à la place de la victime.

Modifié le

Catégorie parente

Nous suivre
© 2019 Coppint Market Place Ltd, All rights reserved.