Les connexions WPA2 avec une clé partagée sont-elles sécurisées?
C'est quelque chose qui me dérange depuis un certain temps: quand j'ai un point d'accès wifi avec cryptage WPA2 et que je donne la clé, à quel point les connexions sont-elles sécurisées? Avec WEP, vous pouvez facilement décrypter tous les paquets en utilisant la même clé, mais avec WPA2, je ne suis pas sûr. Toutes les connexions individuelles sont-elles toujours sécurisées?
Donc, cette question n'est pas sur l'accès au réseau, mais sur l'écoute sur les connexions wifi individuelles au sein du réseau.
Quiconque est témoin du processus d'association d'un nouveau client peut espionner sa connexion.
Comme les réassociations peuvent être forcées par un hôte non autorisé qui envoie un faux paquet de dissociation au nom de la cible, il est pratiquement toujours possible d'écouter toutes les connexions sur un réseau WPA (2) avec une clé prépartagée.
Vous pouvez même l'essayer par vous-même dans Wireshark: il existe une option intégrée pour décrypter toutes les transmissions dans les paramètres 802.11; tant que vous connaissez le PSK et que l'authentification initiale est contenue dans le trafic enregistré, Wireshark le déchiffre automatiquement pour vous.
La différence entre WEP et WPA est qu'il existe une clé par paire différente (appelée clé transitoire par paire) pour chaque client, mais comme cette clé est toujours directement dérivée du PSK, elle ne le fait pas ajouter vraiment aucune sécurité. Si vous voulez ce type de sécurité, vous devez utiliser EAP et un serveur RADIUS (parfois appelé "entreprise WPA), où le PMK est différent pour chaque client .
Pour décrypter une connexion capturée à l'aide de WPA2, vous devez:
- Connaissez la clé principale partagée.
- Soyez témoin de la dernière tentative de synchronisation/association du client cible avant les données que vous consultez.
WPA2 utilise une méthode de dérivation de clé basée sur le PSK partagé comme décrit dans RFC 4764 et votre question spécifique est mentionnée comme un écueil dans section 8.1 .
En effet, vous êtes protégé contre les personnes qui ne connaissent pas la clé partagée (par exemple, vos voisins), sauf si elle est honteusement faible. Parmi ceux qui connaissent la clé partagée, le reniflement n'est que légèrement plus complexe qu'avec un trafic non capté.
Ainsi, "sûr" est relatif à ce contre quoi vous essayez de vous protéger. Si vous craignez que d'autres utilisateurs connaissent la phrase secrète qui renifle votre trafic, les clés pré-partagées ne vous suffisent pas.
Pour être clair, tous ceux qui connaissent la clé peuvent décrypter les données. Ceux qui ne connaissent pas la clé partagée ne le peuvent pas.
Cependant, ceux qui ne connaissent pas la clé peuvent toujours mettre en place un faux point d'accès.
La seule façon complètement "sûre" est de configurer un serveur RADIUS qui donne un mot de passe unique pour chaque utilisateur, et qui vous permet de mettre un certificat sur la machine cliente (ordinateur portable, iPad, etc.) ) qui authentifie le point d'accès Wi-Fi. Si vous le faites, personne (encore) ne sait quoi faire pour vous pirater.
si la clé est la même pour tout le monde sur le réseau, tout le monde peut décrypter et analyser le trafic de n'importe qui.