Le sans-fil peine à trouver sa voie dans le domaine de la sécurité. Pour preuve, la récente découverte de deux chercheurs de l’université du Maryland. Elle met en valeur deux problèmes de sécurité majeurs dans l’application du protocole 802.1X avec le 802.11.Pour mémoire, le 802.1X assure des fonctions d’authentification et de contrôle d’accès. Ce protocole est utilisé par de nombreux acteurs du sans fil dont Cisco et 3COM. Les deux chercheurs Arunesh Mishra et William A. Arbaugh ont réussi des attaques de type man in the middle et session hijacking.La première intrusion consiste à s’interposer entre le point d’accès (point vers lequel convergent toutes les connexions sans-fil) et un client sans-fil utilisant le protocole 802.11 pour s’approprier les données qui transitent entre ces deux points.Pour la seconde attaque, le hacker se fait passer pour le point d’accès auprès du client. Il utilise pour cela l’adresse MAC du point d’accès et faire fermer la session du client. La session étant toujours ouverte pour le véritable point d’accès, il suffit au faux client de se faire passer pour le vrai en utilisant son adresse MAC et ainsi accéder au réseau. Interrogé, William A. Arbaugh affirme que “le standard établi par l’IEEE doit être modifié afin d’inclure une authentification symétrique où le point d’accès et le client sans fil sont mutuellement reconnus”.
Les avis des constructeurs divergent
Cisco déclare que ses équipements sans-fils ne sont pas concernés puisqu’ils utilisent des mécanismes d’échanges mutualisés (EAP/TLS et Cisco LEAP), en plus du 802.1X, pour assurer l’intégrité de la connexion entre le point d’accès et le client. Il en va de même pour 3COM avec un autre format propriétaire : le 3COM Universal Client Certificate. Colubris Network n’utilise pas le 802.1X : “pour sécuriser nos liaisons sans-fil, nous avons choisi d’utiliser un serveur RPV dans notre point d’accès”, affirme le Président fondateur Pierre Trudeau. Les réactions sont donc contrastées et prouvent que la sécurité du sans-fil en est encore à ses débuts en terme de normalisation.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
