Comment vous protéger contre la faille Wi-Fi 'KRACK'

 

La semaine dernière, un chercheur de l’Université de Louvain a découvert une faille critique dans le programme de certification de sécurité et de protocole sans fil WPA2, qui rend tous les appareils connectés au Wi-Fi vulnérables aux attaques. Dans cet article, nous exposerons des actions simples que les utilisateurs peuvent entreprendre pour atténuer les risques jusqu’à ce que la Wi-Fi Alliance propose une solution.

 

Comme nous l’écrivions la semaine dernière, la chercheuse Mathy Vanhoef a confirmé que « un attaquant se situant dans la zone de portée d’une victime peut exploiter ces vulnérabilités à travers une attaques de réinstallation clés (KRACK) ».

 

Les attaques seraient indépendantes de la plate-forme – ce qui signifie qu’aucun système d’exploitation n’est immunisé – et fonctionneraient théoriquement contre tous les réseaux Wi-Fi modernes protégés. Il est à noter qu’aucune attaque exploitant cette faille n’a encore été enregistrée, mais il vaut mieux prévenir que guérir.

 

La Wi-Fi Alliance a élaboré un plan pour remédier à la situation, mais le chemin est encore long avant que WPA2 soit entièrement corrigé.

Pour sa part, la United States Computer Emergency Readiness Team (CERT ; en français, Équipe d’intervention en cas d’urgence informatique des États-Unis) a publié un avis en réponse à l’actualité ainsi qu’une liste qui répertorie tous les hardware et softwares concernés. Alors que la Wi-Fi alliance et les fournisseurs de produits se démènent pour trouver des correctifs, voici ce que vous pouvez faire :

 

Installer toute mise à jour / patch déjà disponible

Si le fabricant a déjà un correctif disponible, téléchargez-le. Il peut ne pas être facile à obtenir et à installer, mais si vous vous souciez de vos données et de votre vie privée, vous devriez trouver le correctif moyennant une petite recherche. Généralement, les routeurs doivent être corrigés manuellement en visitant le site Web du fournisseur, en téléchargeant le correctif et en le transmettant au routeur via un outil Web.

 

Utiliser le chiffrement AES

AES (Advanced Encryption Standard, ou « standard de chiffrement avancé » en français) et TKIP (Temporal Key Integrity Protocol) sont tous deux vulnérables à KRACK. Cependant, AES n’est pas vulnérable à l’injection de paquets, vous pouvez donc continuer à utiliser WPA2 avec une certaine tranquillité d’esprit tant qu’il est chiffré avec AES (pas TKIP).

 

Visiter uniquement des sites sécurisés HTTPS et / ou utiliser un VPN

HTTPS gère sa propre couche de sécurité, de sorte que chaque site Web sécurisé avec HTTPS (TLS) est théoriquement sûr. Pour une plus grande tranquillité d’esprit, ne pas hésiter à utiliser un service VPN de confiance pour chiffrer les transmissions entrantes et sortantes. Les sites HTTP ne sont pas sécurisés – pas seulement à cause de KRACK, mais de manière générale.

 

Utiliser des appareils à faible risque

Peu après la découverte de KRACK, il a été confirmé que pratiquement tout appareil qui envoie et reçoit des données via Wi-Fi est vulnérable. Toutefois, Vanhoef a déclaré que les appareils Android fonctionnant sous OS version 6.0 ou plus récentes sont les plus vulnérables en raison d’une implémentation erronée de WPA2. Dans la mesure du possible, il est conseillé d’utiliser un appareil non-Android jusqu’à ce que la situation devienne plus claire. Ce n’est pas un remède, mais simplement une option “plus sûre” pour les personnes qui jonglent à tour de rôle entre différents systèmes d’exploitation sur les téléphones et les tablettes.

En ce qui concerne les ordinateurs de bureau, les chercheurs ont découvert que Linux est le système d’exploitation le plus vulnérable, alors pensez à utiliser un PC Windows ou un Mac en attendant – encore une fois, si vous le pouvez.

 

Éviter le Wi-Fi public, et privilégier la connexion Ethernet à la maison et au travail

Les hotspots Wi-Fi publics sont les plus vulnérables à ce stade, alors évitez-les autant que possible. À la maison ou au travail, utilisez un réseau câblé si votre ordinateur le permet. Cela signifie que vous devez connecter un câble Ethernet à votre ordinateur au lieu de vous connecter au Web via le Wi-Fi.

 

Mettre à jour Windows

Si vous êtes un utilisateur de PC sous Windows, la mise à jour de Microsoft du 10 octobre protège les PC Windows 10 contre KRACK. Le fabricant de logiciels basé à Redmond l’a confirmé dans une déclaration au site web Windows Central :

« Microsoft a publié des mises à jour de sécurité le 10 octobre et les clients qui ont activé Windows Update et appliqué les mises à jour de sécurité sont automatiquement protégés. Nous avons publié une mise à jour pour protéger les clients le plus rapidement possible, mais en tant que partenaire responsable au sein de l’industrie, nous avons retenu la divulgation de l’information jusqu’à ce que d’autres fournisseurs puissent développer et publier des mises à jour », a déclaré Microsoft.

 

Pour les utilisateurs d’Apple et autres

Apple a confirmé à la presse qu’il est en train de tester en beta les nouvelles versions d’iOS, macOS, watchOS et tvOS contenant un patch pour KRACK. Cependant, aucune information n’a été communiquée sur la disponibilité des versions finales / publiques. En règle générale, Apple passe au moins deux mois à tester des systèmes d’exploitation bêta pour ses plates-formes.

Google, pour sa part, a également confirmé être conscient du problème et déploiera bientôt des correctifs. Les fournisseurs de Linux sont également sur le cas (la rumeur veut que les correctifs soient déjà déployés).

 

Suivre les conseils et recommandations citées précédemment est pour le moment la seule solution en attendant que tous les constructeurs et fournisseurs déploient des mises à jour.

Comme toujours, l’exécution d’une solution AV de confiance améliore encore votre protection. Même si un pirate déploie avec succès une attaque KRACK, vous avez toujours votre solution anti-malware à vos côtés au cas où l’attaquant souhaite vous rediriger vers des sites Web malveillants ou frauduleux, ou tente de déposer un fichier malveillant sur votre système.

 

Rappelons aussi que l’exécution d’une solution antivirus fiable améliore encore votre protection. Même si un pirate déploie avec succès une attaque KRACK, vous avez toujours votre solution antimalware à vos côtés au cas où l’attaquant souhaite vous rediriger vers des sites Web malveillants ou frauduleux, ou tente de déposer un fichier malveillant sur votre système.

 

Que la sécurité soit avec vous !