Tu veux dire que ma couverture de sécurité n'est pas sûre ? Une norme de nouvelle génération "était censée faire du craquage de mot de passe une chose du passé, " gloussa Ars Technica , après avoir appris que des vulnérabilités ont été trouvées dans le protocole WPA3 qui pourraient permettre aux adversaires d'accéder aux mots de passe Wi-Fi et d'accéder au réseau cible.

"Malheureusement, " ont déclaré les deux chercheurs, nous avons constaté que même avec WPA3, un attaquant à portée d'une victime peut toujours récupérer le mot de passe du réseau. Cela permet à l'adversaire de voler des informations sensibles telles que des cartes de crédit, le mot de passe, e-mails, etc, lorsque la victime n'utilise aucune couche de protection supplémentaire telle que HTTPS."

WPA3 est entré en scène en 2018, publié par la Wi-Fi Alliance, conçu pour protéger les réseaux Wi-Fi des intrus. Quels mâles ça fuit ? Lecture sombre fait référence à des "défauts dans le processus de prise de contact" qui pourraient entraîner des "attaques à faible coût sur les mots de passe utilisés dans le cadre des informations d'identification du réseau".

Attaques à bas prix ? Qu'est-ce que ça veut dire? Dan Goodin dans Ars Technica a écrit que les défauts de conception de WPA3 soulevaient des questions sur la sécurité sans fil "en particulier parmi les appareils Internet des objets à faible coût".

L'attaque implique un processus qui permet à un périphérique WPA2 hérité de se connecter à un point d'accès compatible WPA3; l'opération qui en résulte ouvre le processus "à une attaque par dictionnaire en force brute sur les mots de passe utilisés pour l'authentification, " mentionné Sombre En train de lire .

C'est un gros problème, concernant l'impact? Lecture sombre a cité Kevin Robinson, vice-président du marketing pour la Wi-Fi Alliance. Tous les appareils personnels WPA3 n'ont pas été affectés, et même le "petit nombre d'appareils" qui pouvaient être corrigés via des mises à jour logicielles.

Ce processus de connexion présente des vulnérabilités qui pourraient rendre WPA3 moins sécurisé. Spécifiquement, Lecture sombre a signalé des "problèmes de vulnérabilité de canal latéral à la poignée de main d'authentification simultanée d'égal à égal (SAE)". Ce dernier a en outre été décrit comme "un élément clé de l'amélioration de WPA3 par rapport à WPA2".

Puisque la poignée de main SAE est connue sous le nom de Dragonfly; les chercheurs appellent l'ensemble des vulnérabilités Dragonblood.

La paire qui a découvert la faille était Mathy Vanhoef de l'Université de New York à Abu Dhabi et Eyal Ronen de l'Université de Tel Aviv et de la KU Leuven.

(Dans une attaque de fuite d'informations par canal secondaire, a expliqué Catalin Cimpanu, ZDNet , "Les réseaux compatibles Wi-Fi WPA3 peuvent amener les appareils à utiliser des algorithmes plus faibles qui divulguent de petites quantités d'informations sur le mot de passe du réseau. Avec des attaques répétées, le mot de passe complet peut éventuellement être récupéré.")

Rien dans cette découverte n'a choqué Dan Goodin. "La version WPA2 actuelle (utilisée depuis le milieu des années 2000) a souffert d'un défaut de conception paralysant qui est connu depuis plus d'une décennie, " il a écrit.

Il a déclaré que la poignée de main à quatre voies était un processus cryptographique utilisé pour valider les ordinateurs, Téléphone (s, et tablettes à un point d'accès et vice versa, et contient un hachage du mot de passe du réseau. "Toute personne à portée d'un appareil se connectant au réseau peut enregistrer cette poignée de main. Les mots de passe courts ou ceux qui ne sont pas aléatoires sont alors triviaux à déchiffrer en quelques secondes."

Heureusement, ils ont blogué, nous espérons que notre travail et notre coordination avec la Wi-Fi Alliance permettront aux fournisseurs d'atténuer nos attaques avant que WPA3 ne se généralise."

Le 10 avril, la Wi-Fi Alliance a publié une déclaration concernant ce qu'elle a décrit comme "un nombre limité de premières implémentations de WPA3-Personal, lorsque ces appareils permettent la collecte d'informations sur les canaux secondaires sur un appareil exécutant le logiciel d'un attaquant, ne pas mettre en œuvre correctement certaines opérations cryptographiques, ou utiliser des éléments cryptographiques inadaptés."

Ils ont déclaré que le petit nombre de fabricants d'appareils concernés "ont déjà commencé à déployer des correctifs pour résoudre les problèmes. Ces problèmes peuvent tous être atténués par des mises à jour logicielles sans aucun impact sur la capacité des appareils à bien fonctionner ensemble. Il n'y a aucune preuve que ces vulnérabilités ont été exploité."

La Wi-Fi Alliance a remercié les deux chercheurs, Vanhoef et Ronen, pour avoir découvert et "signalé de manière responsable ces problèmes, permettant à l'industrie de préparer de manière proactive les mises à jour avant le déploiement généralisé de WPA3-Personal dans l'industrie."

Ils ont dit aux utilisateurs de Wi-Fi qu'ils devaient s'assurer d'avoir installé les dernières mises à jour recommandées par les fabricants d'appareils.

© 2019 Réseau Science X