Il est fortement conseillé de le protéger par mot de passe pour configurer un nouveau routeur sans fil ou un réseau Wi-Fi chez vous. Définissez un mot de passe sécurisé à l'aide de WPA2 (Wi-Fi Protected Access 2) et ne le partagez qu'avec des personnes de confiance.

Depuis que la norme WPA2 est devenue disponible en 2004, il s'agissait de la configuration recommandée pour les réseaux sans fil partout dans le monde - et elle était considérée comme relativement sûre. Cela dit, à l'instar du pêne dormant de votre maison, la protection par mot de passe n'est en réalité qu'un puissant moyen de dissuasion. Comme la plupart des choses, bien que l’on pense que WPA2 était, il n’a jamais été aussi fort que votre mot de passe ou les vulnérabilités découvertes dans sa sécurité.

Au cours du week-end, une vulnérabilité a bien été découverte et a bouleversé Internet.

Un exploit de validation de concept appelé KRACK (qui signifie Key Reinstallation Attack) a été dévoilé. L'attaque crypto au nom inquiétant exploite une faille dans le processus de négociation à quatre voies entre le périphérique d'un utilisateur essayant de se connecter et un réseau Wi-Fi. Il permet à un attaquant d'accéder sans autorisation au réseau sans mot de passe, ce qui ouvre la possibilité de révéler des informations de carte de crédit, des mots de passe personnels, des messages, des courriels et pratiquement toutes les autres données de votre appareil.

La partie encore plus terrifiante? Pratiquement toute implémentation d'un réseau WPA2 est affectée par cette vulnérabilité, et ce n'est pas le point d'accès qui est vulnérable. Au lieu de cela, KRACK cible les appareils que vous utilisez pour vous connecter au réseau sans fil.

Le site Web présentant les états de validation, "Android, Linux, Apple, Windows, OpenBSD, MediaTek, Linksys et d'autres sont tous affectés par certaines variantes des attaques." Cela dit, la plupart des versions actuelles de Windows et des appareils iOS ne sont pas aussi vulnérables aux attaques, grâce à la manière dont Microsoft et Apple ont mis en œuvre le standard WPA2. Les appareils basés sur Linux et Android sont plus vulnérables à KRACK.

Note de l'éditeur: Publié à l'origine le 16 octobre 2017, cet article a été mis à jour pour inclure les nouveaux fournisseurs dotés de correctifs de sécurité pour l'exploit WPA2.

En cours de lecture: Regardez ceci: Le Wi-Fi a un gros défaut de sécurité - et vous devez agir maintenant 1:58

Ce que tu peux faire

Alors, que pouvez-vous faire maintenant?

Continuez à utiliser le protocole WPA2 pour vos réseaux. C'est toujours l'option la plus sécurisée disponible pour la plupart des réseaux sans fil.

Mettez à jour tous vos appareils et systèmes d'exploitation avec les dernières versions. La chose la plus efficace que vous puissiez faire est de vérifier les mises à jour de tous vos appareils électroniques et de rester à jour. Les utilisateurs sont à la merci des fabricants et de leur capacité à mettre à jour les produits existants. Microsoft, par exemple, a déjà publié une mise à jour de sécurité pour corriger la vulnérabilité. Google a déclaré dans un communiqué qu'il "corrigera tous les appareils concernés dans les prochaines semaines". Des correctifs pour hostapd et WPA Supplicant de Linux sont également disponibles.

Changer vos mots de passe ne vous aidera pas. Il n'est jamais mauvais de créer un mot de passe plus sécurisé, mais cette attaque contourne complètement le mot de passe, cela ne va donc pas aider.

Sachez qu'un KRACK est principalement une vulnérabilité locale - les attaquants doivent être à portée d'un réseau sans fil. Cela ne signifie pas que votre réseau domestique est totalement imperméable à une attaque, mais les chances d'une attaque généralisée sont faibles en raison du mode de fonctionnement de l'attaque. Vous êtes plus susceptible de rencontrer cette attaque sur un réseau public. Pour plus d'informations, consultez notre FAQ sur KRACK.

Mises à jour disponibles jusqu'à présent

La bonne nouvelle est que, avec une vulnérabilité aussi dangereuse, les entreprises ont rapidement corrigé leurs logiciels. Voici une liste de toutes les entreprises qui ont publié des correctifs de sécurité ou des informations à ce jour:

• Apple a déjà créé un patch pour l'exploit dans les versions bêta d'iOS, MacOS, WatchOS et TVOS.
• Aruba propose des correctifs disponibles au téléchargement pour ArubaOS, Aruba Instant, Clarity Engine et d’autres logiciels.
• Cisco a déjà publié des correctifs pour l'exploit de certains périphériques, mais étudie actuellement la nécessité de mettre à jour davantage de logiciels.
• Expressif Systems a publié des correctifs logiciels pour ses chipsets, à commencer par ESP-IDF, ESP8266 et ESP32.
• Fortinet indique que FortiAP 5.6.1 n'est plus vulnérable à l'exploit, mais que la version 5.4.3 pourrait l'être encore.
• Le projet FreeBSD travaille actuellement sur un correctif.
• Google corrigera les appareils concernés dans les semaines à venir.
• HostAP a publié un correctif logiciel pour l'exploit.
• Intel a publié un avis ainsi que des mises à jour pour les périphériques affectés.
• LEDE / OpenWRT a maintenant un patch disponible au téléchargement.
• Linux a déjà des correctifs logiciels et les versions de Debian peuvent déjà être mises à jour, ainsi que Ubuntu et Gentoo.
• Netgear a mis à jour certains de ses routeurs. Vous pouvez vérifier et télécharger les mises à jour ici.
• Le 10 octobre, Microsoft a publié une mise à jour Windows qui corrigeait l'exploit.
• MicroTik RouterOS version 6.93.3, 6.40.4 et 6.41rc ne sont pas affectés par l'exploit.
• Les points d'accès OpenBSD ne sont pas affectés, mais un correctif pour les clients a été publié.
• Ubiquiti Networks a publié une mise à jour du microprogramme, version 3.9.3.7537, afin de corriger la vulnérabilité.

• La Wi-Fi Alliance nécessite maintenant de tester la vulnérabilité et fournit un outil de détection aux membres de la Wi-Fi Alliance.
• WatchGuard a publié des correctifs pour le système d’exploitation Fireware, les points d’accès WatchGuard et le nuage Wi-Fi WatchGuard.

Une liste des fournisseurs qui ont corrigé la vulnérabilité se trouve sur le site Web de CERT, bien que le site semble être soumis à un trafic important.

Des faits plus importants sur KRACK

Heureusement, il y a quelques pensées réconfortantes:

• La Wi-Fi Alliance a déclaré qu’elle «exige maintenant que cette vulnérabilité soit testée au sein de notre réseau mondial de laboratoires de certification», ce qui est prometteur pour tous les nouveaux appareils destinés aux étagères. Il fournit également un outil de détection de vulnérabilité aux membres de la Wi-Fi Alliance pour tester leurs produits.

• L'utilisation d'un réseau privé virtuel (VPN) chiffrera tout votre trafic Internet et pourrait vous protéger contre une telle attaque. De plus, il est recommandé d’utiliser un VPN si vous vous souciez de votre vie privée ou de votre sécurité en ligne.
• L'utilisation strictement de sites utilisant HTTPS peut vous aider à vous protéger contre KRACK, mais HTTPS n'est pas non plus totalement imperméable.

Ceci est une histoire en développement. Revenez pour d'autres conseils comme nous les avons.

Une faille de sécurité WPA2 fait courir à presque tous les appareils Wi-Fi un risque de détournement, d’écoute illicite (ZDNet) : KRACK est une panne totale du protocole de sécurité WPA2.

Voici tous les correctifs disponibles pour le moment pour l'attaque KRACK Wi-Fi (ZDNet): Les fournisseurs réagissent rapidement à un exploit qui permet aux attaquants d'écouter le trafic de votre réseau.