Comment WPA2-PSK empêche-t-il le phishing de mot de passe diabolique?
Disons que nous avons un AP sécurisé WPA2-PSK et il existe plusieurs clients tels que les smartphones et les ordinateurs portables qui se connectent automatiquement à celui-ci.
Maintenant, si quelqu'un devait créer un autre AP qui avait l'air complètement pareil de l'extérieur (même canal, même cryptage, même SSID, même BSSID, etc.), mais avec un signal plus fort. Serait-il possible pour le logiciel de l'AP de rassembler les informations nécessaires à l'authentification de l'AP d'origine juste en laissant les clients essayer d'authentifier au Twin diabolique?
D'après ce que j'ai lu et entendu dire que ce n'est pas possible. Mais je ne comprends pas vraiment pourquoi. Je crois comprendre qu'il y a une sorte de poignée de main entre le client et l'AP pendant le processus d'authentification, mais si le jumeau diabolique jouerait simplement l'homme au milieu pendant ce processus, ne pourraient-il pas obtenir le données requises?
Je suppose que cette question aurait dû être posée auparavant et j'ai fait de mon mieux pour savoir s'il l'ait, mais je n'ai rien trouvé. Donc ... mes excuses à l'avance si c'est un duplicata.
Citant la description sur Wikipedia :
La poignée de main à quatre voies
La poignée de main à quatre voies est conçue de manière à ce que le point d'accès (ou l'authentificateur) et le client sans fil (ou le suppliant) puisse se révéler indépendamment l'un à l'autre qu'ils connaissent la PSK/PMK, sans jamais divulguer la clé. Au lieu de divulguer la clé, le point d'accès et le clientcrit chacun de chiffrement des messages à l'autre, ce qui ne peut être déchiffré qu'à l'aide de la PMQ qu'ils partagent déjà - et si le déchiffrement des messages a réussi, cela prouve la connaissance de la PMK. La poignée de main à quatre voies est essentielle à la protection de la PMK des points d'accès malveillants, par exemple, un SSID d'un attaquant imitae un point d'accès réel, de sorte que le client ne doit jamais indiquer son point d'accès.
Donc, fondamentalement, l'AP et le client ne se disent jamais des détails sur la clé, sauf qu'ils leur prouvent tous les deux le savent. Voir aussi preuve de mot de passe zéro kilomé