WPA2 : Wi-Fi Protected Access 2
Réseau
WPA2 : Wi-Fi Protected Access 2, certification de sécurité Wi-Fi lancée par la Wi-Fi Alliance en 2004, fondée sur l'amendement IEEE 802.11i et le chiffrement AES (Advanced Encryption Standard). « L'accès Wi-Fi protégé, deuxième version », par analogie avec une porte blindée tout à fait solide dont l'immeuble entier partage le code, gardien compris, anciens locataires compris.
Chiffrement : WPA2 impose CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol), fondé sur AES, à la place de TKIP (Temporal Key Integrity Protocol), correctif transitoire de la première version de WPA. Elle est obligatoire pour tout matériel certifié Wi-Fi depuis 2006.
Personnel et entreprise : En mode personnel, tous les utilisateurs partagent une clé pré-partagée (PSK, Pre-Shared Key), dérivée de la phrase secrète et du nom du réseau par PBKDF2 (Password-Based Key Derivation Function 2). En mode entreprise, chaque utilisateur s'authentifie par 802.1X et EAP (Extensible Authentication Protocol) auprès d'un serveur RADIUS (Remote Authentication Dial-In User Service) et reçoit des clés propres.
Attaque hors ligne : En mode personnel, la capture d'une poignée de main en quatre temps, ou depuis 2018 du seul PMKID (Pairwise Master Key Identifier) émis par certains points d'accès, suffit à tester des phrases secrètes hors ligne. Une phrase courte ou tirée du dictionnaire tombe vite ; une longue résiste, ce qui revient à confier la sécurité du réseau à l'imagination de la personne qui l'a choisie.
KRACK : En 2017, Mathy Vanhoef a publié KRACK (Key Reinstallation Attacks) : en rejouant des messages de la poignée de main, un attaquant forçait la réinstallation d'une clé déjà en service et la réutilisation des nonces. Le défaut tenait au protocole lui-même et s'est corrigé par des mises à jour des clients et des points d'accès, du moins de ceux qui en reçoivent encore.
Ce qui arrive si on s'en passe
Sans WPA2 ni WPA3, il ne reste que le réseau ouvert ou le WEP (Wired Equivalent Privacy), dont la clé se retrouve en quelques minutes d'écoute : tout le trafic sans fil se lit et le réseau interne s'ouvre à quiconque passe à portée. Un WPA2 mal employé rassure à peine davantage : une phrase secrète courte, partagée par tous et jamais changée, se casse hors ligne à partir d'une seule capture, et elle survit aux départs de ceux qui la connaissent. Le mode entreprise avec des identités individuelles, ou WPA3, ferme ces portes.
Explication de la marmotte
Le Wi-Fi passe par les ondes, que tout le monde peut capter. WPA2 est la protection qui brouille ces ondes pour que seuls les appareils connaissant le mot de passe comprennent ce qui circule. C'est encore la protection la plus répandue. Son point faible : quelqu'un qui enregistre le moment où un appareil se connecte peut ensuite, tranquillement chez lui, essayer des millions de mots de passe. Un mot de passe long et original le décourage ; la version suivante, WPA3, supprime ce problème.
Où ce terme est utilisé
- Google Street View Wi-Spy 2010 : trames Wi-Fi en clair et droit (4 occurrences)
- Wi-Fi d’entreprise et sécurité radio (3 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (2 occurrences)
- Guide d'hygiène informatique ANSSI en 42 mesures, mode d'emploi (2 occurrences)
- Vérifier un protocole cryptographique avec Tamarin ou ProVerif (2 occurrences)