Formateur : Dans cette leçon, nous allons parler
de la façon de sécuriser vos réseaux sans fil contre
certaines des menaces qui pèsent sur eux.
Les réseaux sans fil nous offrent beaucoup de confort, mais ils comportent
aussi de nombreux risques pour la sécurité car, contrairement à un
réseau filaire, tant que je me trouve dans la zone de couverture
du signal sans fil, je peux m'y connecter à l'aide de mon smartphone,
de ma tablette ou de mon ordinateur portable.
Pour protéger votre réseau, vous devez vraiment vous
assurer de savoir à quoi vos appareils se connectent
et, une fois qu'ils sont connectés, vous devez
vous assurer que les données envoyées sont cryptées.
La première chose à faire est de s'assurer
que tout ce que nous transmettons l'est de manière privée afin
d'accroître la sécurité de nos réseaux.
L'un des moyens utilisés
est ce que l'on appelle une clé pré-partagée.
Une clé prépartagée signifie que les deux points d'extrémité,
à savoir votre point d'accès et votre client sur votre ordinateur
portable ou votre smartphone, disposent de la même clé de cryptage.
Si j'utilise un mot de passe d'un côté et le même mot de passe
de l'autre et qu'ils correspondent, cela revient à utiliser
la même clé prépartagée pour créer ce tunnel de cryptage.
L'utilisation d'une clé pré-partagée
pose toutefois quelques problèmes.
Tout d'abord, l'évolutivité devient un problème majeur pour nous.
Supposons que j'aie un bureau avec 50 utilisateurs différents,
qu'ils soient tous connectés au réseau sans fil
et qu'ils utilisent tous la même clé prépartagée.
Mais disons que demain, je vais au travail
et que je licencie l'un des employés.
Or, cet employé connaît la clé prépartagée, alors devinez
ce que nous devons faire ?
Nous devons changer la clé prépartagée et
parce que je dois changer cette clé prépartagée, les 50
autres employés doivent maintenant être informés de la nouvelle
clé afin que nous puissions tous la changer.
C'est comme changer la clé de la porte d'entrée de votre maison.
Si vous avez 10 membres de la famille,
vous devez maintenant faire 10 copies de cette clé.
Étant donné que tous vos clients utilisent le même
mot de passe et la même clé, il est très difficile pour
nous de modifier et de gérer correctement les clés.
C'est l'une des principales raisons pour
lesquelles nous n'utilisons pas de clés pré-partagées dans les grands environnements.
Mais si vous êtes dans un petit bureau ou dans un environnement de bureau à
domicile comme votre maison ou un petit bureau de 10 employés ou moins,
vous pouvez aller de l'avant et utiliser une clé pré-partagée parce qu'il
est vraiment facile de configurer les réseaux de cette façon parce
que vous n'avez que quelques appareils.
En ce qui concerne la sécurité
sans fil, il existe trois méthodes principales.
Le premier est le WEP, suivi du WPA et du WPA2.
Lorsque nous parlons de WEP, nous parlons de
Wired Equivalent Privacy (confidentialité équivalente au câblage).
Il s'agit de la sécurité sans fil originale
qui a été inventée dès la première
version du wifi avec 802. 11.
Désormais, elle affirme être aussi sûre que les réseaux câblés, d'où le nom de "wired
equivalent privacy" (confidentialité équivalente aux réseaux câblés). Mais la vérité est qu'il n'est pas sûr
et que, de nos jours, vous ne devriez
jamais utiliser le protocole WEP car il
n'est pas du tout sûr.
Le fonctionnement du WEP repose sur l'utilisation d'une clé pré-partagée.
Tout le monde a la même clé et il s'agit d'une clé statique de 40 bits
qui est très petite et facile à forcer ou à deviner
à l'aide d'un ordinateur puissant.
Au fil du temps, pour rendre le WEP plus
sûr, la clé est passée de 40 à 64 bits, puis à 128 bits,
ce qui a permis de résoudre le problème de la longueur
de la clé, mais pas un autre problème
connu sous le nom de vecteur d'initialisation.
Le WEP utilise un vecteur
d'initialisation de 24 bits, c'est-à-dire une
série de 24 uns et zéros, que l'on appellera
vecteur d'initialisation.
Il est envoyé en texte clair et si vous capturez suffisamment
de ces vecteurs d'initialisation, vous
pouvez casser la clé de cryptage et deviner à rebours la clé pré-partagée
que vous avez utilisée pour votre mot de passe WEP.
En fait, en utilisant Aircrack NG, vous pouvez le faire en deux
ou trois minutes avec la plupart des ordinateurs portables modernes.
Nous allons maintenant parler du WPA.
Le WPA (Wifi Protected Access) a remplacé le WEP en raison
de la faiblesse de ce vecteur
d'initialisation de 24 bits.
Pour remédier à ce problème, ils ont introduit
le protocole TKIP (Temporal Key Integrity Protocol).
Le protocole TKIP remplace ce vecteur d'initialisation
de 24 bits par un nouveau vecteur de 48 bits.
Cela a permis de doubler la puissance
de l'appareil, mais cela reste assez
faible au regard de l'informatique moderne.
Ils ont également ajouté un
nouveau type de cryptage appelé RC4, ou Rivest
Cipher 4, qui est plutôt bon, mais qui est considéré comme faible
par rapport aux normes actuelles.
Le WPA visait également à assurer l'intégrité de vos appareils en veillant
à ce que personne ne puisse mener une attaque de type "man
in the middle" et modifier les informations.
Pour ce faire, ils ont utilisé ce que l'on appelle le MIC, le contrôle
d'intégrité des messages, qui est une forme de hachage
des données avant qu'elles ne soient envoyées,
ce qui permet de vérifier qu'elles n'ont pas été modifiées
au cours de leur transit sur le réseau.
Le WPA a également constaté qu'il y avait une faille dans
cette clé pré-partagée et qu'il était possible
d'envoyer de nouvelles clés très rapidement, c'est pourquoi
il a ajouté ce que l'on appelle le mode entreprise au WPA.
Avec le mode entreprise, un utilisateur
peut s'authentifier avant d'échanger des clés et
il peut alors créer temporairement
de nouvelles clés entre le client et le point d'accès.
Cela a permis de résoudre le problème d'évolutivité de la clé pré-partagée,
mais en fin de compte, le WPA est toujours considéré comme faible
par rapport aux normes actuelles et est
remplacé par une version plus moderne connue sous le nom de WPA2
ou Wifi Protected Access 2.
La norme actuelle est le WPA2, créé dans
le cadre de la norme 802. 11i.
Il a d'abord été mis en œuvre, c'était le
sans fil G, puis le sans fil N et le sans fil AC.
Elle nécessite une authentification et un
cryptage renforcés ainsi que des contrôles d'intégrité.
Le contrôle de l'intégrité est effectué à l'aide du CCMP.
CCMP signifie Counter Mode with Cipher Blockchaining Message
Authentication Code Protocol (protocole
de code d'authentification de message à contre-mode
avec chiffrement), un terme que vous n'aurez pas
à mémoriser pour l'examen ni à comprendre.
Ce qu'il faut retenir, c'est qu'à chaque fois que vous voyez
CCMP, vous devez penser que cela fait partie de la sécurité WPA2.
La deuxième chose qu'ils ont faite,
c'est qu'ils ont remplacé l'ancien mécanisme de cryptage
RC4 par le VES Cipher 4 par le nouveau mécanisme connu
sous le nom d'Advanced Encryption Standard (AES).
Aujourd'hui, AES utilise une clé de 128 bits et certains modèles
plus récents peuvent même utiliser une clé de 256 bits ou plus.
Vous bénéficiez ainsi d'une sécurité et d'une confidentialité
accrues pour les données qui transitent par ce réseau sans fil.
Au moment de cet enregistrement, l'AES
n'a toujours pas été cassé et le WPA2, l'algorithme lui-même,
n'a pas été cassé ; c'est donc une bonne
chose à utiliser si vous
avez un mot de passe long et fort.
Actuellement, la seule façon de pirater ces réseaux
est d'utiliser des attaques par mot de passe, ce qui signifie qu'ils essaient
de deviner les mots de passe en devinant toutes
les options possibles à l'aide d'une attaque
par force brute ou d'une attaque par dictionnaire.
Par conséquent, si vous voulez protéger
vos réseaux, assurez-vous d'utiliser un bon mot de passe, long et fort.
Le WPA2 prend également en charge deux modes différents en fonction du
réseau sur lequel vous allez l'utiliser.
Si vous l'utilisez dans un environnement domestique ou dans un petit
bureau, vous utiliserez une clé prépartagée où
tout le monde aura le même mot de passe.
C'est ce qu'on appelle le mode personnel.
L'autre possibilité est de l'utiliser dans un
grand environnement en mode entreprise,
où chaque utilisateur reçoit
un nom d'utilisateur et un mot de passe qui lui sont propres
et utilise un serveur d'authentification central
en utilisant le WPA2 natif ou en transférant cette tâche à un serveur
801. 1x.
Pour l'examen, je veux que
vous vous souveniez de quatre choses sur la sécurité sans fil et si vous
vous souvenez des quatre éléments
de ce tableau, vous aurez de bons résultats.
Tout d'abord, chaque fois que vous voyez le mot "ouvert"
en référence à un réseau sans fil, cela
signifie qu'il n'y a pas de sécurité, pas de protection, pas de mot de passe.
Si vous entendez WEP, je veux
que vous l'associiez aux vecteurs d'initialisation.
C'est la faille du WEP et c'est ce
que l'on vous expliquera lors de l'examen.
Le WEP est faible, le WEP est mauvais.
Le WEP utilise des vecteurs d'initialisation.
Si vous voyez WPA, je veux que vous
pensiez à TKIP et RC4 parce que TKIP a été utilisé pour remplacer
les vecteurs d'initialisation et RC4 était
sa forme de cryptage.
Encore une fois, le WPA est considéré comme faible, ne l'utilisez pas.
Ensuite, si vous voyez WPA2, vous devez
penser aux acronymes CCMP et AES.
Le CCMP est un protocole d'intégrité et l'AES
est le mécanisme de cryptage que nous utilisons.
C'est la clé qui vous permettra de répondre aux questions sur les communications
sans fil pour assurer la sécurité le jour de l'examen.
Ensuite, parlons un peu du filtrage des adresses MAC.
Nous pouvons configurer nos points d'accès avec une liste de contrôle
d'accès (ACL) qui sera en mesure d'examiner ces
adresses et d'autoriser ou de refuser certaines adresses MAC
à se connecter au réseau.
Par exemple, si mon iPhone essaie de se connecter au réseau
et qu'il n'est pas autorisé ou qu'il figure sur la liste Deny,
il ne pourra pas établir la poignée de main
et ne pourra pas communiquer.
Le problème du filtrage Mac réside toujours
dans le fait qu'il est très facile de changer
son adresse MAC et de l'usurper.
Les utilisateurs avertis peuvent changer l'adresse
de leur Mac très rapidement à l'aide d'outils disponibles
gratuitement, ce qui prend environ cinq secondes.
Cette mesure permettra d'arrêter certaines
personnes, mais elle n'est pas infaillible et elle n'arrêtera pas tout le monde.
Si vous souhaitez changer votre
adresse Mac et que vous utilisez des outils tels que Mac Address
Changer pour Windows, Mac Daddy X pour OSX et les systèmes
MAC, ou Mac changer pour Linux, ce sont
tous des outils très faciles à utiliser.
Les adresses Mac ne seront pas une source
de grande protection pour vous, mais selon l'examen, il s'agit d'une protection que
vous pouvez utiliser pour faire partie de votre stratégie
de défense et de profondeur.
Ainsi, dans le monde réel, ne vous inquiétez
pas trop du filtrage Mac, mais pour l'examen,
il s'agit d'une bonne mesure de sécurité.
Ensuite, nous avons désactivé la diffusion de votre SSID,
ce qui est considéré comme une aide mineure à la
sécurité pour protéger vos réseaux.
Selon l'examen, tout comme le filtrage MAC, il s'agit
d'une bonne chose à faire.
Dans le monde réel, il ne faut
pas beaucoup de temps pour trouver un SSID caché.
Qu'est-ce qu'un SSID ?
Il s'agit de l'identifiant du jeu de serveurs
et c'est le nom de votre réseau sans fil.
Par exemple, si vous allez chez Starbucks,
ils ont un serveur appelé "Starbucks Guest" ou
si vous allez chez moi, j'ai un serveur appelé "Dion". De cette façon,
vous pouvez voir que le serveur sort et dit
: "Hé, Dion est là, dois-je me connecter à lui ? Et si vous cherchez un réseau, vous voyez toute
la liste des noms qui
vous entourent, n'est-ce pas ?
Si vous désactivez la diffusion de l'ID de l'ensemble de serveurs,
celui-ci ne sera pas diffusé et n'apparaîtra
pas dans les réseaux disponibles.
De cette façon, l'utilisateur doit taper manuellement
le nom pour se connecter à votre réseau et
il doit donc savoir qu'il existe.
Le problème, c'est qu'en utilisant
des techniques de pénétration sans fil, il est très facile
de les trouver et de s'y connecter.
Si tout ce que vous faites est de désactiver votre
diffusion, ce n'est pas très sûr.
Mais si vous combinez cela avec le filtrage MAC et un bon
mot de passe long et fort, vous commencez
à renforcer la sécurité et vous obtenez
une meilleure position de sécurité.