Publié le : Par : Roméo Diaz Publié dans Non classé

Découverte du WPA3

Publié par la Wi-Fi Alliance en 2018, le protocole WPA3 est une version mise à jour du protocole WPA2 sortie en 2004. Cette mise à jour permet une meilleure sécurisation des échanges ainsi qu’une évolution en lien avec le développement des usages (multiplication des hotspot, IoT, …).

Malgré les avancées en termes de sécurité que représente WPA3, il existe certaines vulnérabilités connues, par exemple les attaques par dictionnaires en ligne, qui peuvent être bloqués à l’aide d’un IDS/IPS, ou bien certaines des vulnérabilités de Frag Attacks.

La version initiale de WPA3 intégrait les différentes fonctionnalités présentées dans la suite cet article, cependant la version définitive n’impose que le SAE. L’implémentation des autres fonctionnalités reste au libre choix des fabricants. Le DPP dispose lui d’une certification propre.

OWE (Opportunistic Wireless Encryption)

Jusqu’à l’apparition de WPA3 les Wi-FI publics sont habituellement configurés en mode open et n’ont donc pas de mot de passe. Les bonnes pratiques consistent à mettre en place un portail captif afin de forcer les gens à s’authentifier. Le fait que ce réseau ne soit pas protégé nous expose à deux risques majeurs : les écoutes passives ainsi que les attaques de type Man in th Middle.

Grâce à l’implémentation de OWE, nous allons pouvoir écarter la possibilité d’écoutes passives du trafic. Il décrit une méthode permettant aux clients et aux points d’accès d’établir une session chiffrée basée sur un échange de clés Diffie-Hellman. Les clés de sessions sont uniques et cela est transparent pour l’utilisateur.

DPP Device Provisionning Protocol / Easy Connect™

Le protocole DPP a été implémenter de façon à résoudre les faiblesses de sécurité du WPS (Wi-Fi Protected Access) et de faciliter le déploiement des objets IoT. Contrairement à son prédécesseur avec DPP permet d’authentifier des équipements sur le réseau sans mots de passes à l’aide de QR codes ou de tags NFC.

Cette fonctionnalité n’est pas obligatoire pour obtenir la certification WPA3 de la part de Wi-Fi Alliance, cette fonctionnalité fait partie du programme Easy Connect Wi-fi Certified.

Protected management Frames

Un des vecteurs d’attaque classique du WPA2 Personnal est la capture des échanges d’authentification qui peuvent permettre par la suite de réaliser une attaque hors ligne par dictionnaire dans le but de casser la clé PSK. Pour cela, l’attaquant peut envoyer des trames de désauthentification pour forcer le client à enclencher un nouveau processus de connexion et ainsi générer les trames souhaitées par l’attaquant.

Cette protection des trames de management n’est pas une nouveauté apportée par WPA3, cela existait dans les versions précédentes, mais cela a été encore développé.

Simultaneous Authentication of Equals (SAE)

Afin de pallier l’attaque mentionner au-dessus qui consiste à capturer le handshake puis à le casser hors ligne à l’aide d’un dictionnaire, WPA3 utilise un nouveau mécanisme de négociation des clés basé sur l’échange Dragonfly. Lors de la négociation, les clés ne sont jamais envoyées, ce qui élimine la menace qu’un attaquant capture le 4-way handshake et puisse ensuite réaliser une attaque hors ligne. Ce mécanisme d’échange de clé est déjà implémenté pour les réseaux mesh 802.11s.

Apport des courbes elliptiques

L’un des premiers changements de WPA3 par rapport à WPA2 réside dans la génération des clés. WPA3 introduit l’utilisation des courbes elliptiques lors des échanges Diffie-Hellman (ECDH) pour réduire la taille des clés et par conséquent des ressources nécessaires pour l’encryption. Par exemple, pour une encryption de type 128 bits AES la clé publique a une taille de 3072 bits avec l’utilisation de l’algorithme Modular Exponential (MODP) contre 256 bits avec l’utilisation de ECDH.

Pour aller plus loin :

WPA3, OWE and DPP | Hemant Chaskar | WLPC Phoenix 2019 | Wireless LAN Professionals

Publié le : Par : Roméo Diaz Publié dans Non classé

802.11 retries : Explication des causes les plus communes et les corrections

Les retransmissions de trames ont lieu lorsque des trames doivent être renvoyées par un client ou par un point d’accès en raison d’une erreur. Le suivi du taux de retransmission va permettre de détecter d’éventuels soucis de configuration ou d’interférences, mais il n’est pas possible d’indiquer un seuil de bon fonctionnement. Suivant les services utilisés, le taux maximum permettant d’assurer un bon fonctionnement sera différent, des applications temps réels ou de la VoIP nécessiteront un taux de retransmission beaucoup plus bas (<10%) que du transfert de fichier ou de la navigation web par exemple. Dans la suite de cet article, nous allons expliquer ce qu’un taux de retransmission élevé implique et pourquoi cela peut devenir problématique, puis dans un second temps, nous allons voir les causes de retransmissions les plus fréquentes.

Lorsqu’une trame de type unicast n’est pas acquittés par le client celle-ci est retransmise par l’émetteur. Cela peut provenir de deux facteurs, soit la trame n’a jamais été reçu, soit le CRC n’est pas valide, ce qui peut indiquer une corruption de la trame et dans ce cas le récepteur ne transmet pas de trame d’acquittement. Cela peut être dans le sens client vers le point d’accès ou inversement. Suite à un échec de transmission, cela va avoir deux impacts sur la retransmission :

  • La vitesse de transmission (ou MCS) utilisé par la station va baisser afin de supporter plus facilement un SNR faible
  • La fenêtre de contention va doubler à chaque tentative dans le but de détecter plus facilement une éventuelle collision

Ces actions nécessitent du temps, et pas seulement le temps de retransmissions du paquet, mais en plus le paquet sera envoyé plus lentement avec un délai plus important.

Voici ici 3 des raisons de retransmissions parmi les plus fréquentes :

Interférences

Cause :

  • Interférences non 802.11
  • Co Channel Interference

Identification :

  • Analyse spectrale
  • Audit wifi

Résolution :

  • Identification des sources d’interférences
  • Utilisation du 5GHz ou du 6GHz (moins d’interférences et plus de canaux disponibles)

Signal faible

Cause :

  • Signal faible (zone non couverte)
  • Problème de roaming / Sticky client
  • Mauvaise configuration des puissances d’émissions

Identification :

  • Audit wifi
  • Analyse des échanges de paquets
  • Audit de la configuration et des logs de connexions

Résolution :

  • Activation de plus faibles vitesses de transmissions
  • Ré-ajustement de la configuration des bornes et des équipements
  • Activation des fonctionnalités 802.11k et 802.11r pour faciliter le roaming des clients

Collisions

Cause :

  • Hidden nodes
  • Nombre d’équipements trop important sur une borne

Identification :

  • Analyse du Airtime

Résolution :

  • Refaire une étude d’implantation des bornes et de la capacité

Le taux de retransmission est plus important dans un réseau sans fil que dans un réseau filaire en raison du moyen de transmission. L’air est un lieu de transmission partagée entre les clients, mais également avec d’autres équipements utilisant d’autres modes de communications ou se servant des mêmes fréquences à d’autres fins. Cette cohabitation rend la configuration de nos équipements particulièrement difficiles et nécessite à la fois une bonne connaissance et compréhension de l’environnement RF mais également un suivi régulier de cet indicateur en complément d’audit régulier pour anticiper d’éventuels incidents ou perturbations.

Publié le : Par : Roméo Diaz Publié dans Non classé

Comprendre les institutions liées au Wi-Fi

L’air est un média partagé, de ce fait de nombreux équipements doivent pouvoir communiquer en même temps, parfois entre eux et surtout sans se perturber les uns avec les autres. De plus, les fréquences utilisées par le Wi-Fi sont également utilisées par d’autres systèmes (radar, micro-ondes, détecteur de présence, …) qui eux ne communiquent pas. Afin que tous ces équipements fonctionnent en harmonie, il est nécessaire d’écrire des normes pour définir les espaces réservés à chacun, les conditions de cohabitation et les règles de communications. Nous retrouvons donc différents organismes qui travaillent ensemble. 

Wi-Fi Alliance

La Wi-Fi Alliance (auparavant nommée Wireless Ethernet Compatibility Alliance) est une organisation mondiale à but non lucratif, fondée en 1999. Son rôle est d’assurer l’inter-opérabilité des équipements en se basant sur les normes IEEE 802.11. Pour cela, elle s’appuie sur différents programmes :

Connectivité : Ce programme a pour but de s’assurer que les transmissions de données s’effectuent de la façon attendue en respectant les normes 802.11. On retrouve actuellement les programmes suivants :

  • Wi-Fi 6
  • Wi-Fi ac
  • Wi-Fi Halow (utilisation d’une bande de fréquence inférieure à 1GHz)
  • Wi-Fi n (toujours maintenue pour l’IoT)
  • Wi-Fi WiGig (utilisation d’une bande de fréquence haute performance 60GHz)
  • Wi-Fi Direct

Sécurité : Les équipements doivent assurer un minimum de sécurité dans leurs échanges, pour cela, on retrouve les programmes suivants :

  • WPA3
  • Wi-Fi Enhanced Open
  • Protected Management Frames

Accès : Les équipements peuvent utiliser l’une des méthodes suivantes pour pouvoir s’authentifier sur le réseau :

  • Passpoint (en cours d’évolution vers Vantage qui apporte plus de flexibilité)
  • Wi-Fi Easy Connect
  • Wi-Fi Protected Setup (WPS)

Application et services : Différentes fonctionnalités permettant d’améliorer l’expérience utilisateur sont proposés dans ce programme. On y retrouve :

  • Miracast (Transmission de contenue vidéo HD et UHD)
  • Voice entreprise (Amélioration de la VoIP)
  • Wi-Fi Aware (Détection d’équipements à proximité)
  • Wi-Fi Location (Permet la géolocalisation de l’équipement sans connectivité GPS)

Optimisation : Ce programme à pour objectif de fournir de solutions permettant d’améliorer la qualité des échanges, voici quelques exemples de fonctionnalités que l’on retrouve :

  • Wi-Fi Agile Multiband (Optimisation du choix des bornes et canaux)
  • Wi-Fi Optimized Connectivity (Optimise le roaming grâce à une évaluation de la qualité)
  • Wi-Fi Multimedia (WMM) (Hiérarchisation du trafic multimédia)

Coexistence RF : Ce programme permet d’assurer que les équipements wi-fi puissent coexister avec d’autres équipements non-802.11, on y retrouve actuellement un seul programme qui est encore à l’étude :

  • CWG-RF qui étudie l’interaction des radios sur un terminal cellulaire et Wi-Fi

Institute of Electrical and Electronics Engineers (IEEE) :

L’IEEE est une société mondiale d’environ 400 000 salariés dans 160 pays. L’objectif principal de l’IEEE est de “Favoriser l’innovation et l’excellence technologique au service de l’humain”. Pour cela, ils créent des standards sur lesquels les fabricants vont par la suite pouvoir s’appuyer pour que les équipements soient inter-opérables et puissent communiquer entre eux.

Afin d’écrire ou réviser les standards, l’IEEE constitue des Working groups auquel on associe un nombre de manière incrémentale. Le premier standard qui a été écrit a donc été nommé 802.1 et est un groupe de travail sur l’interconnexion des différents réseaux défini dans les standards suivant. Probablement les deux plus connu sont le 802.3 qui correspond au standard définissant l’Ethernet et le 802.11 qui définit le réseau de type WLAN. 

Une fois le standard défini, celui-ci est régulièrement complété et révisé par des Tasks Groups et on ajoute à la suite du numéro du standard une ou plusieurs lettres, toujours de manière incrémentale.   

Internet Engineering Task Force (IETF)

L’IETF est un organisme de normalisation qui élabore et promeut les standards d’internet. Il s’agit d’un organisme ouvert où tous les participants sont bénévoles et où il n’y a pas de conditions d’adhésions. L’IETF a été soutenue au départ par l’État américain avant de devenir en 1994 géré par l’ISOC (Internet Society) qui est également une organisation à but non lucratif. 

L’IETF travaille autour de huit thèmes principaux que sont : Les applications, un thème global, Internet, Opérations et le management, Applications et Infrastructure temps réel, le routage, la sécurité et le transport. À partir de ces thèmes, de nombreux groupes de travail vont être créés pour participer à l’élaboration de RFC (Request for Comments) qui vont décrire les protocoles réseau, les services ou certaines règles qui pourront évoluer en standard. Toutes les RFC ne vont pas devenir des standards.

Concernant le Wi-Fi, un grand nombre de documents (standards, bonnes pratiques ou documents d’informations) fournis par l’IETF concernent la sécurité

International Organization for standardization (nommée ISO)

L’ISO est un organisme non gouvernemental de certification que l’on retrouve dans de très nombreux domaines (sécurité, management, …) . D’un point de vue réseau informatique, ISO est à la base du modèle OSI (Open System Interconnection) qui régit l’ensemble des communications de données. Ce modèle se découpe en 7 couches :

Application

Présentation

Session

Transport

Réseau

Liaison

Physique

International Telecommunication Union Radiocommunication Sector (ITU-R)

L’ITU-R est un organisme sous la responsabilité des Nations Unies qui a en charge le spectre Radio-Fréquence au niveau mondial afin d’éviter les interférences sur terre, dans le ciel et en mer. Il maintient une base mondiale sur les attributions de fréquences. Pour cela, elle s’appuie sur 5 organisations qui gèrent des régions spécifiques :

  • Région A : Amériques (Inter-American Telecommunication Commission – CITEL)
  • Région B : Europe de l’Ouest (European Conference of Postal and Telecommunications Administrations – CEPT)
  • Région C : Europe de l’Est et Asie du Nord (Regional Commonwealth in the field of Communications – RRC)
  • Région D : Afrique (African Telecommunication Union – ATU)
  • Région E : Asie, hors Asie du Nord et Australie (Asia Pacific Telecommunity – APT)

Au sein de ces régions, des organismes locaux de régulation dirigent la gestion du spectre Radio-Fréquence de leur zone respective, en respectant les préconisations de l’ITU-R. On peut par exemple citer :

La Federal Comunications Commission (FCC) pour les Etats-Unis

L’European Telecommunications Standards Institute (ETSI) pour l’Europe