WPA3 : Wi-Fi Protected Access 3
Réseau
WPA3 : Wi-Fi Protected Access 3. « Accès Wi-Fi protégé, troisième version », par analogie avec la serrure qu'on change après avoir compris que l'ancienne cédait à la patience d'un voisin.
Mode personnel : La poignée de main à clé pré-partagée de WPA2 (Wi-Fi Protected Access 2) cède la place à SAE (Simultaneous Authentication of Equals). Capturer un échange ne permet plus de tester des mots de passe hors ligne, et chaque session obtient des clés propres.
Trames de gestion : La protection des trames de gestion devient obligatoire, ce qui empêche un tiers de forger des ordres de déconnexion. Il fallut attendre la troisième version pour que les points d'accès cessent d'obéir à n'importe qui.
Mode entreprise : L'authentification repose toujours sur 802.1X et un serveur RADIUS, avec en option un profil à 192 bits de sécurité qui impose une suite d'algorithmes plus robuste.
Transition : Le mode mixte accepte WPA2 et WPA3 sur le même SSID pour les vieux clients ; il laisse une voie de repli qu'un attaquant peut emprunter. Des failles d'implémentation publiées sous le nom Dragonblood ont rappelé qu'un bon protocole ne dispense pas de mettre à jour ses équipements.
Ce qui arrive si on s'en passe
En restant sur une protection plus ancienne en mode personnel, un attaquant à portée qui capture une seule poignée de main peut ensuite tester des millions de mots de passe hors ligne, sans plus s'approcher du réseau. Une fois la phrase secrète trouvée, le trafic enregistré auparavant se déchiffre lui aussi. Sans protection des trames de gestion, des ordres de déconnexion forgés éjectent les clients à volonté, ce qui facilite la capture des échanges et l'installation d'un faux point d'accès. Le mode de transition, laissé actif indéfiniment, réintroduit ces faiblesses pour tous les clients qui acceptent l'ancien protocole.
Explication de la marmotte
Un réseau sans fil diffuse ses messages dans l'air, comme une radio : n'importe qui à proximité peut les capter. Il faut donc les brouiller avec un mot de passe. Les anciennes méthodes avaient un défaut : un voisin pouvait enregistrer quelques secondes de connexion puis, chez lui, essayer des millions de mots de passe jusqu'à trouver le bon. La troisième génération de cette protection empêche ce jeu de devinettes à distance et interdit aussi à un inconnu de débrancher les appareils connectés en se faisant passer pour la borne.
Où ce terme est utilisé
- Google Street View Wi-Spy 2010 : trames Wi-Fi en clair et droit (4 occurrences)
- Wi-Fi d’entreprise et sécurité radio (2 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (1 occurrence)