C. Blancher (sécurité et réseaux sans fil) : « Bien configurer son accès Wi-Fi, c’est indispensable »
Cet expert en sécurité informatique, à l’origine d’une preuve de concept, revient sur les risques liés à la sécurisation approximative d’un accès Internet sans fil résidentiel.
Avec la découverte d’une faille qui touche les BbOX de Bouygues Telecom et le défaut de sécurisation de l’accès prévu par la loi Hadopi (pouvant conduire à une sanction pénale), la sécurité des réseaux sans fil domestiques revient sur le devant de la scène.
Cédric Blancher, un chercheur en sécurité informatique à l’origine de Wifitap (preuve de concept d’outil de communication sur les réseaux Wi-Fi par injection de trafic), aborde les dangers qui guettent les utilisateurs de technologies sans fil et autres terminaux mobiles… (Interview réalisée le 21 septembre 2009)
ITespresso.fr : Quels sont les « dangers » du Wi-Fi aujourd’hui ? quelles sont les failles « actives » auxquelles sont confrontées les utilisateurs ?
C. Blancher : Si on se place dans le cadre de l’accès de Monsieur et Madame Toulemonde via une box opérateur, l’essentiel du problème réside dans la configuration de l’accès Wi-Fi qu’elle propose, en particulier sa configuration par défaut. À ma connaissance, aucune de ces box n’arrivent dans une configuration ouverte, c’est à dire avec un Wi-Fi activé non protégé. Le problème réside donc dans le choix de la protection par défaut, WEP ou WPA/WPA2, et le choix de la clé.
ITespresso.fr : L’utilisateur doit donc être mieux sensibilisé pour éviter d’être piraté ?
C. Blancher : Si la box est configurée en WEP, casser la protection est presque trivial. Les outils pour le faire sont légions et simples à utiliser. Au point qu’on pourrait avancer qu’il est limite irresponsable de fournir ce genre de configuration à ses clients, en particulier considérant les exigences de la future Hadopi… Si la box est configurée en WPA ou WPA2, la sécurité de l’accès va reposer sur le choix de la clé. Cette dernière doit donc être suffisamment difficile à découvrir pour un attaquant. Là, le problème peut venir de l’opérateur qui fournit des clés triviales à découvrir comme l’actualité vient encore de nous le montrer, soit l’utilisateur en fournit une particulièrement faible.
ITespresso.fr : Concrètement, comment remédier à ces failles ?
C. Blancher : Par une bonne configuration de son accès. Proscrire le WEP à tout prix. Utiliser WPA ou WPA2 selon ce que propose sa box, avec un chiffrement en AES lorsque qu’il est disponible et compatible avec ses équipements. Enfin, il faut choisir une clé, sorte de mot de passe, longue et aléatoire. Sa longueur doit être comprise entre 8 et 63 caractères, un minimum de 20 caractères est conseillé en utilisant si possible minuscules, majuscules, chiffres et caractères spéciaux. Il faut savoir que contrairement à un mot de passe, on n’a pas besoin de se souvenir de cette clé: une fois configuré, le poste la sauvegarde. Le problème, c’est que la documentation expliquant tout cela à l’utilisateur est quasiment absente, le laissant devant des choix pour le moins cryptiques. Bref, il n’est pas trop aidé pour avancer.
(lire la fin de l’interview page 2)