Parler de Firesheep pour ne rien dire...

C

omplètement absorbé par autre chose, je me rends compte que je totalise plus de trois semaines de silence total. Ouch. Donc forcément, je vais vous parler d'un truc complètement éculé, j'ai nommé Firesheep. En fait non pas vraiment, puisque tout, ou presque, a été dit sur Firesheep. Et pas que des trucs intelligents, loin de là.

En particulier, je suis tombé sur ce billet du blog manifestement bien nommé Naked Security qui propose à Starbucks de devenir rien de moins qu'un héros de la sécurité. Comment ? En déployant du WPA/WPA2 en mode PSK sur ces hotspots, en utilisant une passphrase triviale. Et pourquoi faire ? Pour se protéger de Firesheep...

Alors évidemment, je ne suis pas le seul à être tombé sur cet article qui a suscité pas mal de commentaires, et en particulier un billet assassin sur le blog de Pyrit. Le fond de ces critiques est assez simple et complètement fondé : une protection de réseau Wi-Fi par PSK ne permet pas d'empêcher les utilisateurs de s'espionner les uns les autres. C'est une limitation connue de ce mécanisme, que beaucoup semblent en effet oublier.

Comme je l'expliquais à C&ESAR l'an dernier par exemple, la clé partagée étant d'une part le point de départ du mécanisme de génération des clés et d'autre part le seul élément secret mis en jeu, sa connaissance permet, pour peu qu'on puisse observer les phases d'authentification adhoc, de reconstituer la hiérarchie de clé et donc de déchiffrer le trafic des autres utilisateurs. Dans la pratique, cela peut être fait avec un outil comme airdecap-ng, lequel vous déchiffrer toutes les sessions WPA/WPA2-PSK pour peu que vous ayiez fourni la bonne PSK et que les authentifications soient enregistrées.

L'auteur du délire Starbucks a manifestement bien reçu le message et a eu l'honnêteté intellectuelle d'amender son billet dans ce sens, sans pour autant effacer le contenu original. Ce qui est tout à son honneur.

Cependant, c'est loin d'être le seul article ayant fait mention de la nécessité de protéger les réseaux Wi-Fi public. En remplaçant, par exemple, le bon vieux portail captif par une authentification 802.1x en bonne et due forme. Ce serait effectivement une bonne idée, puisque ça fait sauter tout un tas de composants compliqués et potentiellement vulnérables^[1] et que ça protège le lien sans-fil dès le départ. Soit. Mais pour autant que ça puisse être intéressant, ça ne vous protégera pas tellement plus de Firesheep. On obtiendra en effet le même résultat avec une bonne vieille corruption de cache ARP des familles, une fois dans le réseau. Ce qui est d'ailleurs mentionné dans un long billet de l'auteur.

Ce qui est bien avec Firesheep, c'est que sa simplicité biblique et son fonctionnement très visuel a fait prendre conscience à pleins de gens de la portée d'attaques qui sont pourtant décrites depuis des lustres. Le problème est décidemment toujours le même. Pour que certains de ces gens comprennent, il aura fallu mettre ce type d'attaque à la portée du premier kiddy venu...

Notes

[1] Le portail captif n'est jamais qu'une application Web par exemple...