En Juin 2018, WiFi Alliance a annoncé 14 ans, la plus grande mise à jour de sécurité WiFi, a annoncé un accord de WPA3 finalisé apporte de nombreuses nouvelles fonctionnalités pour assurer une transmission sécurisée des données, afin de résoudre les problèmes de sécurité dans WPA2. Cependant, même ce qu'on appelle WPA3 complète de sécurité avancée, nous ne pouvons pas être en mesure d'éliminer 100% du risque potentiel pour la sécurité.
WP A 3 protocole est quoi?
en fait , WPA3 Le nom complet du Wi-Fi Protected Access 3, après le nouvel accord de cryptage WPA2 Wi-Fi. Il a lancé WPA3, car en Octobre 2017, 802.11 protocole de chiffrement WPA2 suit les 13 ans est complètement rompu, et les normes de WPA3 chiffrera toutes les données Wi-Fi publique, si un utilisateur entre un mot de passe incorrect plusieurs fois , sera protégée procédure d'authentification Wi-Fi pour empêcher la force brute, algorithme amélioré de cryptage augmente la difficulté du dictionnaire de mot de passe de la force brute, pour protéger davantage le réseau sans fil sécurisé.
Pour des raisons de sécurité, étant donné que ces réseaux sont ouverts, permettant à quiconque de se connecter, envoyer le trafic sur son pas de cryptage, nous ne recommandons pas connecter les aéroports, les hôtels, cafés et autres lieux publics pour obtenir ouvert des réseaux Wi-Fi, donc il y a grand risque pour la sécurité. WPA3 par l'utilisation de « cryptage de données personnalisées » pour répondre aux préoccupations de la vie privée de WiFi public. Lorsqu'il est connecté à un réseau ouvert WiFi, même s'il n'y a pas un mot de passe d'entrée de communication sera crypté entre le terminal et la connexion du point d'accès Wi-Fi, qui ouvrira ses portes plus privée sécurité réseau WiFi.
Il est à noter que, l'augmentation de WPA3 dans les caractéristiques des quatre pas WPA2:
La première est simplement mentionné ci-dessus La protection du réseau WiFi public / ouvert . WPA3 renforcée par le cryptage de la confidentialité des données personnalisées des utilisateurs dans les réseaux ouverts, les fonctions peuvent chiffrer le trafic radio entre l'appareil et le point d'accès Wi-Fi, pour réduire l'intermédiaire de risque (MITM) d'attaque. Pour éviter une telle attaque passive, la possibilité WPA3 d'ajouter le support pour le cryptage sans fil (REDEVABLE) de;
Le second est chiffrement avant . WPA3 à l'aide de la SAE (certification de synchronisation par les pairs) pour serrer la main avant de fournir la confidentialité, ceci est une caractéristique de sécurité, le plus grand changement est également apporté WPA3, SAE est une nouvelle méthode d'authentification de l'appareil pour se connecter à un réseau, mais aussi de secouer libellule mains une variante de l'utilisation de la technologie de cryptage pour éviter les oreilles indiscrètes deviner les mots de passe, SAE définit clairement comment les utilisateurs doivent lancer un nouveau dispositif ou « salutations » au routeur du réseau lors de l'échange des clés de chiffrement. Par conséquent, les données de communication, même si un attaquant connaît le mot de passe avant que le réseau ne peut pas déchiffrer avaient capturé.
Après l'introduction de la SAE a remplacé depuis 2004 a été à l'aide WPA2 Pre-Shared méthode Key (PSK), également connu sous le nom poignée de main à quatre voies entre le routeur et les périphériques connectés à l'arrière-et-vient à plusieurs reprises pour serrer la main (ou envoyer un message) pour prouver ils savent tous que le mot de passe convenu, et ne sera révélé il. Avant 2016, PSK semble être très sûr, jusqu'à ce qu'il se passait Attacks Key (Krack) Réinstallation. Le PSK SAE offre des fonctions de sécurité qui ne sont pas - le chiffrement avant (forward secrecy).
Le troisième est Contre-Force Brute . WPA3 obtenir une poignée de main forte, moins sensibles comme les attaques Krack, tandis que le nombre d'utilisateurs de mots de passe suppose qu'il ya des limites strictes pour empêcher le dictionnaire hors ligne attaque violente, l'attaquant plus difficile à casser votre mot de passe de connexion Wi-Fi, même si vos paramètres de mot de passe très simple;
Le quatrième est un cryptage 192 WPA3-entreprise . WPA3-entreprise pour les institutions financières, les gouvernements et les entreprises version WPA3 de son niveau de sécurité dépasse de loin le niveau de sécurité du routeur de réseau domestique nécessaire, mais les besoins de réseau pour gérer des informations sensibles est très nécessaire. Nous avons dit que le WiFi actuel est fourni par le cryptage 128 bits, 192 n'est pas obligatoire, mais peut être utilisé comme un ensemble en option des exigences de sécurité plus haut niveau des organisations.
En même temps, connexion Wi-Fi Alliance a également ajouté WPA3 Easy Connect et Open Enhanced . Les anciens simplifie le processus des gadgets intelligents à domicile (tels que les haut-parleurs intelligents, prises et autres appareils intelligents) couplés avec le routeur. Easy Connect est une reconnaissance du grand nombre de périphériques connectés à la tendance de la croissance dans le monde d'aujourd'hui. Bien que tout le monde court après la tendance à la maison intelligente, mais maintenant le nombre de périphériques connectés au domicile de l'utilisateur moyen routeur beaucoup plus qu'en 2004.
Easy Connect l'introduction de l'Alliance Wi-Fi montre que d'essayer de faire connecter tous ces appareils deviennent plus intuitive. Le dispositif avec un code QR unique, comme une sorte de clé publique, lorsque vous ajoutez un appareil au réseau ne pas besoin d'entrer un mot de passe à chaque fois, vient de se connecter au réseau à l'aide d'un téléphone intelligent pour scanner le code QR. Après avoir scanné le code QR, et le dispositif de réseau et l'échange de clé d'authentification pour la connexion ultérieure. Il convient de noter, toutefois, Easy Connect est un accord de WPA3 indépendant, facile des appareils Connect doivent être certifiés par WPA2 certifié, mais pas nécessairement par WPA3 certifiés.
Ouvert amélioré est un autre accord séparé pour nous protéger dans un réseau ouvert. Ouvrez Network est ce que nous venons de dire un réseau ouvert, fournissant de nombreuses attaques qui se produisent sur un réseau de cafés ouverts, les aéroports, etc. sont des attaques passives. De plus en plus de gens connectés au réseau, un attaquant peut obtenir beaucoup d'analyse des données et des données de filtrage à l'information d'extrait. L'joué ouvert amélioré à Opportuniste (Wireless Encryption REDEVABLE) Internet Engineering Task Force RFC 8110 définie, afin d'éviter l'écoute clandestine passive.
OWE ne nécessite aucune autre protection d'authentification, il se concentre sur l'amélioration des données cryptées transmises sur les réseaux publics, de sorte que les oreilles indiscrètes ne peuvent pas voler. En même temps, doivent aussi empêcher que l'on appelle l'injection de paquets prématurée, et en construisant un attaquant essayant de transférer une partie du fonctionnement normal des regards du réseau comme un paquet de perturber le fonctionnement du réseau.
Amélioration de l'authentification ouverte ne fournit aucune raison de protection, principalement en raison de la nature d'un réseau ouvert, ouvert amélioré réseau ouvert visant à améliorer la défense contre les attaques passives, les utilisateurs ordinaires ne ont pas besoin d'entrer un mot de passe ou d'autres étapes supplémentaires. Bien sûr, au réseau domestique ou le travail en général, vous n'avez pas à vous soucier de ces questions.
La question est donc! Comme il y a tellement de techniques bénédiction, alors pourquoi échappatoire? En fait, dès après l'accord WPA3 lancé bientôt, les chercheurs ont trouvé des lacunes dans l'accord, même si l'Alliance Wi-Fi a publié un correctif et fournit des recommandations de sécurité connexes, mais ces « mesures » est non seulement pas permis de résoudre le problème, mais aussi apporté deux nouveaux vulnérabilité. Il est entendu que la nouvelle vulnérabilité pourrait conduire à un attaquant potentiel pour casser les mots de passe Wi-Fi et d'accéder à l'échange de trafic réseau crypté entre l'appareil en réseau.
accord WPA3 découvrir nouveau Dragon Blood (Dragonblood) Vulnérabilité
Plus tôt cette année, les chercheurs de sécurité et Eyal Vanhoef Mathy sur Ronen l'Alliance Wi-Fi a cinq vulnérabilités divulguées les détails de la norme WPA3 de libération EXISTE (collectivement appelés Dragonblood). Récemment, le duo a révélé deux autres nouvelles vulnérabilités affectent la norme WPA3, tout comme les vulnérabilités de Dragonblood d'origine, à la fois nouvelle vulnérabilité permet à un attaquant de fuite d'informations à partir des opérations cryptographiques WPA3, et forcé d'utiliser un mot de passe réseau WiFi.
La première vulnérabilité est marqué CVE-2019-13377, ce qui pourrait permettre à un attaques de pirates Dragonblood handshake WPA3 de dérivation, ce qui se trouve dans l'erreur de fuite de dérivation Dragonfly (Dragonfly) de l'algorithme de chiffrement, lorsque la courbe Brainpool, elle affecte poignée de main de style libellule WPA3.
Ici Dragonfly (Libellule), l'utilisateur est authentifié mécanisme d'échange de clés sur le routeur de WPA3 ou point d'accès. Avril, Vanhoef Ronen et trouvée être dépendante de la P-521 Dragonfly courbe elliptique (Dragonfly) échange de clés peut être abaissé à une plus faible P-256. Ainsi, l'Alliance WiFi est recommandé que les fournisseurs utilisent des réservoirs plus forte courbe dans le cadre de l'algorithme Dragonfly (Libellule).
À cet égard, deux chercheurs ont expliqué: « Nous avons constaté que l'utilisation de la courbe Brainpool est introduite dans la deuxième catégorie de canal latéral poignée de main fuite de libellule WPA3, nous démontrons une nouvelle fuite Brainpool pour la dernière version de hostapd dans la pratique, et peut utiliser la fuite d'information forcé d'entrer un mot de passe ".
La seconde faille est marqué CVE-2019-13456, il est présent dans une fuite d'informations erreurs FreeRADIUS. Il est entendu, serveur RADIUS FreeRADIUS est open source largement utilisé, la base de données multi-centre est utilisé pour authentifier les utilisateurs distants. La vulnérabilité affecte la poignée de main-cadre EAP-PWD FreeRADIUS pour voler des informations et pour réinitialiser le mot de passe d'un utilisateur en effectuant WiFi attaque par dictionnaire (attaque dictionnaire) et les attaques de force brute.
Extensible Authentication Protocol, à savoir EAP-PWD (Extensible Authentication Protocol), est un ancien normes d'authentification WPA et WPA2 WiFi pris en charge par le système d'authentification, WPA3 prennent également en charge le système, et de nombreux fournisseurs utilisent ce cadre pour soutenir la connectivité WiFi . Comme la vulnérabilité précédente, il y a processus de fuite d'authentification EAP-PWD informations sur un certain nombre de périphériques pris en charge par freeradias, qui permet à un attaquant de récupérer le mot de passe lorsque vous utilisez la courbe Brainpool aura une incidence sur poignée de main WPA3 style libellule.
À cet égard, deux chercheurs, a déclaré: « Malgré le déploiement actuel de cette mise à jour WPA3 pas rétrocompatible, mais il n'empêche la plupart de nos attaques. » En plus de ces deux nouvelles failles de Dragonblood divulguées, les deux les chercheurs ont également eu l'occasion d'une fois critiqué à nouveau l'Alliance WiFi ne peut pas contribuer à la communauté open source, car dans le processus standard de développement, afin d'éviter grande faille devenir la norme en premier lieu.
En outre, les deux chercheurs ont même carrément dit: « Cela montre que pour atteindre Dragonfly et WPA3 en l'absence de fuite de canal latéral est très difficile qui montre encore une fois que l'élaboration de recommandations de sécurité privées et des normes, pour mieux dire oui. irresponsable, au pire incompétent ».
Quel mal peut causer des attaques?
Donc, si ce qui précède est la vulnérabilité réelle un attaquant pour les attaques malveillantes, que l'utilisateur aurait les dommages causés par elle? En fait, le but de la connexion Wi-Fi peut dire que l'objectif initial de l'attaque. Attaque signifie rien de plus que de forcer le réseau d'accès et tirer la victime dans son filet de pêche dans les deux cas. Pour toutes les informations transmises dans le texte brut réseau, tels que les boîtes aux lettres, numéros de compte, mots de passe, des images, du texte, etc. pour obtenir le package d'installation ou falsifié en reniflant le trafic sur le réseau local.
Mais heureusement, la seule vulnérabilité publiée actuelle ne peut pas parvenir à compléter les moyens d'attaque ci-dessus, des outils d'attaque disponibles à partir de la formation de quelque distance. Néanmoins, la sécurité du réseau doivent encore prendre des mesures préventives. Pour les fabricants d'équipements et les utilisateurs, mises à jour logicielles en temps opportun nécessaire. Considérant il y a encore certains périphériques supportent encore la norme WPA2, il est encore élevé en créant une force de mot de passe sans fil, ou en temps opportun (régulièrement) pour changer le mot de passe pour améliorer la sécurité.
