Krack Attacks: la faille de sécurité du Wi-Fi béante mais facilement colmatable

Un chercheur belge a découvert une faille dans le protocole de sécurité WPA2, le plus utilisé pour le Wi-Fi. Si le risque est réel, la menace peut être facilement écartée.

Comme le nez au milieu de la figure, la faille dite "Krack Attacks" qui secoue le petit monde de la sécurité informatique est énorme. Elle concerne rien de moins que la quasi-totalité des terminaux informatiques connectés à un réseau Wi-Fi: ordinateurs, smartphones, objets connectés (enceintes audio, téléviseurs, thermostats, disques durs, caméras, réfrigérateurs connectés...).

L'ennui, c'est qu'elle concerne le protocole sécuritaire WPA2, soit le dispositif chargé de chiffrer les échanges Wi-Fi entre le point d'accès et l'utilisateur. Pour résumer, la faille découverte par le chercheur Mathy Vanhoef est mondiale, ancienne et potentiellement très dangereuse. Elle se distingue donc des nombreuses failles informatiques, que les éditeurs de logiciels et fabricants de matériels informatiques s'échinent à constamment corriger, par sa nature et par son ampleur.

Un pirate se trouvant à portée de votre réseau Wi-Fi peut potentiellement intercepter vos données, des plus anodines et impersonnelles, jusqu'à vos e-mails, vos photos de vacances l'été dernier, votre mot de passe bancaire ou vos identifiants pour accéder à votre site de commandes en ligne préféré, où votre moyen de paiement est préenregistré. Pire encore, cette brèche pourrait être utilisée pour installer un logiciel malveillant, de type "malware" ou "ransomware".

Mais aussi malintentionné soit le pirate, il a peut-être moins de chances de vous mettre la main dessus qu'avec d'autres techniques. On l'a dit, il doit pouvoir se connecter au réseau Wi-Fi auquel vous accédez et donc par définition se situer dans un périmètre restreint.

Il y a donc fort à parier que ledit intrus opère de préférence dans un lieu riche de proies potentielles: cybercafé ou réseau public de bibliothèque, de gare, d'aéroport, d'espace vert... Et moins sûrement pour vous viser vous, spécialement. Le réflexe de base pour ce genre de connexion est la prudence.

Les raisons de ne pas trop s'alarmer

Si la menace est potentiellement sérieuse, il reste cependant assez facile de se prémunir contre les attaques induites par cette nouvelle faille. Déjà, si vous utilisez un ordinateur, sachez que l'expert belge avait informé Microsoft du problème dès la semaine dernière. Si vous avez activé les mises à jour automatiques qui le sont pas défaut sur les machines Windows, vous êtes donc tranquille sur ce front-là.

Pour les autres terminaux, les Mac et les ordinateurs fonctionnant sous Linux, la situation est moins réjouissante car le "fix", ou correctif, n'est pas encore disponible. Apple a déclaré qu'il allait corriger le problème "dans les semaines à venir", sans autre précision.

• Une première stratégie de défense est de bien appliquer tous les patches proposés par les éditeurs de logiciels, qu'il s'agisse de système d'exploitation ou de firmwares.

Les mobiles sont aussi concernés

Après les ordinateurs, il faut garder à l'esprit que les téléphones fonctionnant sous Android sont concernés par le problème, tout comme les iPhone, quand bien même les dégâts potentiels seraient plus limités dans ce dernier cas.

• Deuxième parade, il faut se connecter à des sites en "https", ceux dont la barre d'adresse ou d'URL est agrémentée d'un petit pictogramme en forme de cadenas, pour réaliser des opérations sensibles.

En réalité, cela ne changera pas tellement les habitudes puisque les sites bancaires ou de e-commerce, encore la messagerie Google, sont de ce type. Toutefois, le chercheur belge précise que le "https" ne consisterait pas un parfait antidote.

• Une troisième et dernière protection possible consiste à utiliser un VPN, pour "Virtual Private Network".

Ce VPN est particulièrement intéressant dans ce cas, car il ajoute une couche de chiffrement supplémentaire dans l'utilisation du terminal utilisé et pallie ainsi la faille en question qui met à bas le chiffrement WPA2 du Wi-Fi pris en défaut. Gageons que dans les sites sensibles, cette solution est déjà en place et que les données importantes pour notre sécurité nationale sont à l'abri.

David Namias