Le Wi-Fi est plus sûr: tout ce que vous devez savoir sur WPA3

WPA3, Enhanced Open, Easy Connect: trois nouveaux protocoles de la Wi-Fi Alliance

La Wi-Fi Alliance a récemment dévoilé la plus grande mise à jour de sécurité Wi-Fi en 14 ans. Le protocole de sécurité Wi-Fi Protected Access 3 (WPA3) introduit les mises à jour indispensables du protocole WPA2 2004. Au lieu de repenser complètement la sécurité Wi-Fi, WPA3 se concentre sur les nouvelles technologies qui devraient combler les lacunes qui ont commencé à apparaître dans WPA2.

La Wi-Fi Alliance a également annoncé deux protocoles de certification supplémentaires et distincts qui sont déployés en parallèle avec WPA3. Les protocoles Enhanced Open et Easy Connect sont indépendants de WPA3, mais améliorent la sécurité pour certains types de réseaux et de situations.

Tous les protocoles sont disponibles pour l'implémentation par les fabricants dans leurs appareils. Si WPA2 peut être considéré comme un indicateur, ces protocoles seront finalement adoptés universellement, mais la Wi-Fi Alliance ne donne aucun calendrier selon lequel cela devrait se produire. Très probablement, avec l'introduction de nouveaux appareils sur le marché, nous atteindrons finalement le stade après lequel WPA3, Enhanced Open et Easy Connect deviendront de nouveaux piliers de sécurité.

Que font tous ces nouveaux protocoles? Il y a beaucoup de détails, et puisque la plupart d'entre eux sont liés au cryptage sans fil, des mathématiques complexes sont également trouvées - mais voici une description approximative des quatre principaux changements qu'ils apporteront avec eux à la question de la sécurité sans fil.

Authentification simultanée d'égal à égal, SAE

Le plus grand changement que WPA3 apportera. Le point le plus important de la protection du réseau survient lorsqu'un nouveau périphérique tente d'établir une connexion. L'ennemi doit rester derrière les portes, donc WPA2 et WPA3 accordent beaucoup d'attention à l'authentification de nouvelles connexions et à ce qu'elles ne soient pas tentées par le pirate pour y accéder.

SAE est une nouvelle méthode d'authentification pour un appareil essayant de se connecter à un réseau. SAE est une variante du soi-disant poignée de main libellule , qui utilise la cryptographie pour empêcher un attaquant de deviner le mot de passe. Il explique comment exactement un nouvel appareil, ou utilisateur, devrait «saluer» un routeur réseau lors de l'échange de clés cryptographiques.

SAE remplace la méthode de clé pré-partagée (clé pré-distribuée) utilisée depuis l'introduction de WPA2 en 2004. Le PSK est également connu sous le nom de communication en quatre étapes, car de nombreux messages, ou «poignées de main» bidirectionnelles, doivent être envoyés entre le routeur et le périphérique de connexion pour confirmer qu'ils ont convenu d'un mot de passe, tandis qu'aucun des deux côtés ne le dit à l'autre. . Jusqu'en 2016, le PSK semblait sûr, puis une attaque a été lancée avec des attaques de réinstallation de clés ( KRACK ).

KRACK interrompt une série de poignées de main, prétendant être temporairement déconnecté du routeur. En fait, il utilise une connectivité répétitive pour analyser les poignées de main jusqu'à ce qu'il puisse comprendre quel était le mot de passe. SAE bloque la possibilité d'une telle attaque, ainsi que les attaques de dictionnaire hors ligne les plus courantes, lorsqu'un ordinateur passe par des millions de mots de passe pour déterminer lequel correspond aux informations reçues lors des connexions PSK.

Comme son nom l'indique, SAE part du principe que les appareils sont égaux, au lieu de traiter un appareil comme l'envoi de demandes et le second comme l'établissement du droit de se connecter (traditionnellement, c'était un appareil essayant de se connecter et un routeur, respectivement). Chacune des parties peut envoyer une demande de connexion, puis elle commence à envoyer indépendamment ses informations d'identification, au lieu d'échanger des messages à tour de rôle. Et sans un tel échange, l'attaque KRACK ne pourra pas «insérer un pied entre la porte et le montant», et les attaques par dictionnaire deviendront inutiles.

SAE offre une amélioration supplémentaire de la sécurité que le PSK n'avait pas: le secret de transmission. Supposons qu'un attaquant accède aux données chiffrées qu'un routeur envoie et reçoit d'Internet. Auparavant, l'attaquant pouvait enregistrer ces données, puis, en cas de supposition réussie du mot de passe, les décrypter. En utilisant SAE, à chaque nouvelle connexion, un nouveau mot de passe de chiffrement est défini, donc même si l'attaquant à un moment donné pénètre dans le réseau, il ne pourra voler que le mot de passe des données transmises après ce moment.

SAE est décrit dans la norme IEEE 802.11-2016 , qui s'étend sur plus de 3 500 pages.

Protocoles de sécurité 192 bits

WPA3-Enterprise , une version de WPA3 conçue pour une utilisation dans les institutions gouvernementales et financières, ainsi que dans un environnement d'entreprise, dispose d'un cryptage 192 bits. Ce niveau de cryptage pour le routeur domestique sera excessif, mais il est logique de l'utiliser dans des réseaux qui fonctionnent avec des informations particulièrement sensibles.

Désormais, le Wi-Fi fonctionne avec une sécurité de 128 bits. La sécurité en 192 bits ne sera pas obligatoire - ce sera une option de configuration pour les organisations dont les réseaux en auront besoin. La Wi-Fi Alliance souligne également que les réseaux industriels doivent renforcer la sécurité sur tous les fronts: la résilience d'un système est déterminée par la résilience du maillon le plus faible.

Pour garantir un niveau de sécurité approprié pour l'ensemble du réseau, du début à la fin, WPA3-Enterprise utilisera le protocole Galois / Counter Mode 256 bits pour le chiffrement, le mode d'authentification des messages hachés 384 bits pour la génération et la confirmation de la clé, et les algorithmes Diffie-Hellman à courbe elliptique échange, algorithme de signature numérique à courbe elliptique pour l'authentification par clé. Ils ont beaucoup de mathématiques complexes, mais l'avantage est que le cryptage 192 bits sera pris en charge à chaque étape.

Connexion facile

Easy Connect est une reconnaissance du grand nombre d'appareils connectés au réseau dans le monde. Et bien que, peut-être, tout le monde ne veuille pas avoir une maison intelligente, la personne moyenne a probablement plus d'appareils connectés à son routeur domestique aujourd'hui qu'en 2004. Easy Connect - une tentative de l'alliance Wi-Fi pour rendre la connexion de tous ces appareils plus intuitive.

Au lieu d'entrer un mot de passe chaque fois que vous ajoutez un appareil, les appareils auront des codes QR uniques - et chaque code d'appareil fonctionnera comme une clé publique. Pour ajouter un appareil, vous pouvez scanner le code à l'aide d'un smartphone déjà connecté au réseau.

Après la numérisation, l'appareil échange des clés d'authentification avec le réseau pour établir une communication ultérieure. Le protocole Easy Connect n'est pas associé à WPA3 - les appareils certifiés doivent avoir un certificat pour WPA2, mais pas nécessairement un certificat pour WPA3.

Ouverture améliorée

Enhanced Open est un autre protocole distinct conçu pour protéger un utilisateur sur un réseau ouvert. Les réseaux ouverts - ceux que vous utilisez dans un café ou un aéroport - posent toute une série de problèmes qui ne vous concernent généralement pas lorsque vous établissez une connexion à la maison ou au travail.

De nombreuses attaques qui se produisent sur un réseau ouvert sont passives. Lorsqu'un groupe de personnes se connecte au réseau, un attaquant peut collecter de nombreuses données en filtrant simplement les informations qui passent.

Enhanced Open utilise le Opportunistic Wireless Encryption (OWE), défini dans Internet Engineering Task Force RFC 8110 , pour se protéger contre l'écoute passive. OWE ne nécessite pas de protection d'authentification supplémentaire - il se concentre sur l'amélioration du cryptage des données transmises sur les réseaux publics afin d'empêcher leur vol. Il empêche également les soi-disant Une simple injection de paquets [injection de paquets non sophistiquée] dans laquelle un attaquant tente de perturber le réseau en créant et en transmettant des paquets de données spéciaux qui ressemblent à une partie du fonctionnement normal du réseau.

Enhanced Open ne fournit pas de protection d'authentification en raison de la nature de l'organisation du réseau ouvert - ils sont, par définition, destinés à un usage général. Enhanced Open a été conçu pour améliorer la protection des réseaux ouverts contre les attaques passives, afin de ne pas obliger les utilisateurs à saisir des mots de passe supplémentaires ou à suivre des étapes supplémentaires.

Il faudra au moins quelques années avant que WPA3, Easy Connect et Enhanced Open deviennent la norme. Le WPA3 généralisé ne se produira qu'après le remplacement ou la mise à jour des routeurs. Cependant, si vous êtes préoccupé par la sécurité de votre réseau personnel, vous pouvez remplacer votre routeur actuel par un autre qui prend en charge WPA3, dès que les fabricants commencent à les vendre, ce qui peut arriver dans quelques mois.