Le WPA2, le mécanisme censé sécuriser les réseaux Wi-Fi, présente une sérieuse faille de sécurité. Un malandrin pourrait être en mesure de surveiller le trafic qui transite entre un ordinateur et un point d'accès via un réseau sans fil soi-disant protégé en WPA2.
C'est la découverte d'un chercheur belge en sécurité de l'université KU Leuven (Louvain), déjà présentée succinctement en août durant une conférence Black Hat, et qui sera décrite plus précisément ce lundi. Une démonstration de faisabilité de la vulnérabilité, baptisée KRACK (pour Key Reinstallation Attacks), devrait en confirmer la dangerosité aujourd'hui.
Un Github et un site web ont été mis en place, ils pourraient contenir plus d'informations dans la journée. Le 1er novembre, une présentation plus détaillée aura lieu durant une conférence ACM à Dallas.
L'US-CERT, le service en charge des cas d'urgence informatique attaché au Département de la Sécurité intérieure des États-Unis, a récemment prévenu une centaine d'organisations de l'existence de cette vulnérabilité qui touche la plupart des réseaux des particuliers et des entreprises.
Leur exploitation (notamment de la phase d'authentification 4-Way Handshake indispensable à la clé pour le trafic chiffré) permettrait à des margoulins de déchiffrer des communications, de pirater des connexions TCP, d'injecter du contenu HTTP, et autres joyeusetés.
Selon ArsTechnica, deux sociétés (Aruba et Ubiquiti), qui fournissent des points d'accès aux grandes entreprises et aux agences gouvernementales, ont déjà développé des correctifs pour, sinon boucher les trous, au moins faire en sorte de réduire les risques.
Pour le grand public, on attendra les révélations des chercheurs mais il y a fort à parier que la grande majorité des points d'accès ne seront pas mis à jour de si tôt (s'ils le sont un jour).
Se protéger d'une telle faille à l'heure actuelle n'a rien d'évident. On peut éviter d'utiliser un réseau Wi-Fi en passant par l'Ethernet par exemple, ne surfer qu'avec des protocoles de sécurité fiables (comme le HTTPS) et si possible au travers d'un VPN.
