Freezone S'inscrire

Hadopi : sécuriser son wifi, mission impossible ?

En lisant ce livre blanc, écrit par Bluetouff, un hacker pour qui le WiFi n’a pas de secrets, nous pourrions bien nous demander, ce que penseront le français lambda qui n’est pas expert en informatique, notamment sur les protocoles réseau / wifi lorsqu’il recevra un jour une jolie petite lettre de l’organisme HADOPI ?

 

Après un résumé sur cette loi ainsi qu’une explication sur les différentes failles possibles sur votre ordinateur susceptible d’être impliqué pour vous incriminer en tant que "pirate" lors de l’exploitation de celle-ci, Bluetouff fait un petit tour sur les fameuses "box" qui font fureur en France et qui se sont démocratisées. Un récapitulatif sur les différents protocoles de sécurisation du wifi disponibles et ainsi que ses failles possibles sont explicités, et nous pouvons nous apercevoir que la freebox fait partie des bons élèves.

 

Free est le seul fournisseur d’accès à observer de bonnes pratiques. Par défaut le WiFi n’est pas activé, il faut explicitement l’activer sur la console d’administration pour pouvoir en profiter. Si on peut regretter d’avoir à passer par son site web pour configurer sa box, Free propose une information claire qui encourage ses abonnés à utiliser le WPA/CCMP.
Free rend également la tâche plus complexe aux attaques informatique : l’opérateur a mis en place une protection contre l’injection de paquets ARP, rendant bien plus longues les attaques sur les protocoles faillibles.

 

Mais là où ce type de réseau, initié par Neuf, propose à l’internaute nomade de bénéficier de la NeufBox d’un autre Neufnaute (et donc de son adresse IP), Free a innové en proposant l’attribution d’une adresse IP publique spécifique au Freenaute qui se connecte sur la Freebox d’un autre Freenaute.
FreeWifi est donc actuellement un réseau sur lequel les Freenautes partageurs ne risquent pas de se voir accusé de faits dont ils ne sont pas responsables. Les autres opérateurs devront s’aligner afin de proposer ce genre d’architecture s’ils ne veulent pas que leurs abonnés ne soient accusés à tort.

 

Ce livre est très complet, ainsi pour les personnes qui veulent s’initier et veulent sécuriser leur wifi au mieux tout en comprenant ce qu’ils font, il vous sera utile.

Publié le par
Partager sur Google + Partager sur Twitter Partager sur Facebook Alertes mail Partager
COMMENTAIRES DES LECTEURS (35)
Afficher les 20 premiers commentaires...
Posté le 14 janvier 2010 à 21h26 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un

pour sniffer ca il faut déja etre à l'intérieur du réseau. ;)

Posté le 14 janvier 2010 à 21h37 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un

j'comprends pas pourquoi les box, sauf free, utilisent le cryptage wep ou wpa alors que c'est vieux et apparement facile à cracker??

Posté le 14 janvier 2010 à 21h51 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un

Donc, si j'ai bien compris... La Freebox est mieux sécurisée que les autres ?

Posté le 14 janvier 2010 à 23h02 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un
Anonyme a écrit
reno69 a écrit Bonjour, même certains membres d'hadopi reconnaissent que malgré hadopi : Pour M. Thiollière, membre de la Hadopi, la loi ne stoppera pas le piratage http://www.01net.com/editorial/510719/pour-m-thiolliere-membre-de-la-hadopi-la-loi-ne-stoppera-pas-le-piratage/ Le but n'est pas de stopper me piratage, c'est de générer des prétextes pour faire raquer les internautes d'abord (amendes, achat du logiciel mouchard...), puis les FAI (taxes qui vont arriver quand il faudra payer les sociétés espionnes et les juges-croupions) dans la sébille des producteurs de daube en CD.

 

1, c'est effectivement le but générer des prétextes pour faire raquer

Posté le 14 janvier 2010 à 23h58 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un
Anonyme a écrit
deadeye3783 a écrit bluetouff a écrit / Un filtrage mac se contourne en 2 secondes !! je t'ai devancé sur ce coup, mais je confirme et je dis 1! ;) Bin non il faut quand même taper l'@ MAC à pirater, même en copiant-collant ça prend au moins 3 ou 4 s.

sous linux, surligner c'est copié et clic bouton du milieu c'est collé. Cette partie ça prend 1/4 de seconde. ;)

Posté le 15 janvier 2010 à 10h50 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un
mpls a écrit
Rappelez-moi comment on configure la clé du réseau WiFi sur Freebox, déjà ? Ha oui, il faut passer par adsl.free.fr en mode non sécurisé et on entre la clé (qui s'affiche en clair) avant de valider. Toutes les informations de sécurité concernant le WiFi (SSID, clé, adresses MAC) transitent en clair sur le réseau et ce mec considère cela comme une configuration sécurisée ?! Guignol ! 1000000000000000000000000  !!!!!!

 

Le guignol c'est toi, explique moi comment tu vas les avoir ces infos qui transitent en clair sur le ouèb?

affligeant....même si tu y arrivais,  tu penses vraiment que ça vaut le coup de me piquer  mes identifiants wifi, ça te servirais à quoi? vu que tu sniffe déja mes données sur le réseaux... affligeant de commentaires comme le tiens...

 

bluetouff a écrit
Merci à tous pour l'accueil fait à ce modeste travail. @Jean-Dimitri Dewavrin : SURTOUT SVP "Voici comment protéger son réseau en utilisant les adresses MAC et une borne Airport Express C'est pas sur à 100% mais c'est toujours mieux qu'un simple mot de passe WPA."  Ne racontez pas ce genre de bêtise ! Merci de lire les commentaires du billet ici :  http://fr.readwriteweb.com/2010/01/08/analyse/scuriser-reseau-wifi-hadopi-impossible/ Un filtrage mac se contourne en 2 secondes !!

 

c'est plutôt nous qui devrions te remercier, mais quand une critique quand même je trouve qu'il manque un chapitre qui explique comment tous ces outils  de "pirates méchants"  on vu le jour...

C'est la question qui revient souvent, pourquoi ces outils qui servent à pirater existent, qui les à créer dans quel but???

 

Tu parles trop brièvement des whites et blackhats...

Posté le 15 janvier 2010 à 11h05 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un
Anneau.Nimes a écrit
deadeye3783 a écrit pour sniffer ca il faut déja etre à l'intérieur du réseau. ;) Hum... Le wifi, c'est pas comme le nuage de Tchernobyl qui s'arrête à la frontière. Le wifi, ça passe à travers les murs hein. ;)

 

Et??? faut arrêter,  c'est sur que le mec qui se fait cracker sa wep, sniffer via un mitm, qui s'en rends compte, et qui va changer ses identifiants en utilisant cette même connexion wifi peut fiable pour passer en wpa sur le site de free...

OK sur ce coup là il peut dire que son assaillant est vraiment coriace ou qu'il lui en veut vraiment... Mais un gars capable de faire ça... Ne s'attaque pas à mme michu

 

Posté le 15 janvier 2010 à 11h15 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un

Free a peut-être désactivé le wifi par défaut, mais pour l'activer, on passe par une page web même pas sécurisée ... peut mieux faire !!

Orange (et SFR aussi me semble-t-il) procèdent à un filtrage mac! On est obligé d'appuyer sur un bouton de la box pour pouvoir accéder une première fois au réseau. Ca ne fait pas tout mais ça évite au moins au inconnus de pirater son wifi.

Chez moi, j'utilise une clé WEP (obligatoire pour connecter les Nint... DS) avec filtrage MAC.

Posté le 15 janvier 2010 à 11h24 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un
tof67400 a écrit
Free a peut-être désactivé le wifi par défaut, mais pour l'activer, on passe par une page web même pas sécurisée ... peut mieux faire !! Orange (et SFR aussi me semble-t-il) procèdent à un filtrage mac! On est obligé d'appuyer sur un bouton de la box pour pouvoir accéder une première fois au réseau. Ca ne fait pas tout mais ça évite au moins au inconnus de pirater son wifi. Chez moi, j'utilise une clé WEP (obligatoire pour connecter les Nint... DS) avec filtrage MAC.

Et si je te pique ton adresse MAC?? C'est le fondement de certaines attaques...

Posté le 15 janvier 2010 à 12h08 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un

Wifi? Mais ne dites pas de gros mots au responsable de la loi... Ah non? c'est pas un gros mot?.... Bah! on sait tous que ceux qui ont pondu ce truc sont des incultes au niveau informatique... Moi aussi d'ailleurs sauf que je sais qu'une connexion internet totalement sécurisé cela existe uniquement lorsque l'on a pas internet...Innocent.

Posté le 15 janvier 2010 à 14h40 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un

Petit guide résumé sur la protection Wifi :

 

1) Le mode WEP doit être absolument proscrit. Actuellement des logiciels libres de type Aircrack cassent sans problème la protection (sans problème... il faut quand même s'armer d'une certaine patience, mais avec un ordnateur récent on peut y parvenir dans un délai raisonnable). Pour les vieilles config on trouve des Cartes WiFi PCI norme G ( ou PC Card) surpportant le WPA à un tarif désormais modique vu l'arrivée imminente des matériels en Norme N définitive (et non plus draft).

 

2) Passer obligatoirement en WPA de préférence en chiffrement AES. Pour un particulier ce sera le WPA PSK (avec Passphrase). Les plus outillés peuvent s'amuser à ultiser le WPA entreprise s'appuyant sur un serveur d'authentfication.

 

Si la PassPhrase choisie est trop simple, le WPA PSK peut être aussi  vulnétable que le WEP. Il faut utliser la longueur Max de caractères autorisés (à peu près 25 positions il me semble), mélanger Majuscule, Minuscule, chiffres. Attention, selon les Box et les points d'accès les carcatères spéciaux ne sont pas tous autorisés. Par exmeple il me semble que la Freebox n'accepte pas le guillemet anglais, qui est accepté parr certains points d'accès tiers.

Il faut éviter les Passprases intellligibles du type : "Mon petit Poney 87 et très joli 7887"

Pourquoi ? Les Passphrases contenant des mots intelligibles prêtent le flanc à des attaques par dictionnaire, qui est l'arme principale des pirates.

La passphrase doit être du type : "ggtgtTFTF5474545TTTghgyuih878 HG"

Ce type de passphrase rend inefficaces les attaques par dictionnaire, le pirate est obligé d'utliser une attaque en force brute qui consiste à essayer toutes les combinaisons. Si l'on respecte une longueur maximale, en l'état actuel de la puissance des ordinateurs, cela rend matériellement impossible à un pirate de  décoder la clé dans un délai humainement raisonnable sauf coup de chance extraordinaire (le pirate a plus de chance de gagner la grosse cagnotte Euro Million), même en utilisant la technique de plusieurs ordinateurs en réseau

Il faut du très lourd pour envisager de casser la clé en force brute dans un délai raisonnable, c'est à dire des super calculateurs dont seuls certains organismes identifiés disposent (supercacultateurs militaires, météo...) et encore il faudra même dans ce cas une certaine patience, et puis rien ne vous interdit de changer la passphrase touls les 3 mois par exemple.

Donc sauf à ce que vous déteniez des secrets militaires de première importance, il n'y a aucune raison que le pirate s'entête, au bout d'un moment il va réorienter son attaque en espérant toucher dans le lot une cible plus faible. On va dire  qu'il ne va même pas se fatiguer à lancer des attaques en force brute, il va exclusivement attaquer par dictionnaire...

 

3) Idées reçues

 - Filtrage par adresse MAC

C'est une protection supplémentaire, mais étant donnée la méthode de crackage utlisée elle est en réalité ineffcace. En effet, le pirate attend la connexion d'un Client au point d'accès pour capturer via un renifleur les paquets transmis pendant la procédure de Handshake (procédure de reconnaissance)

L'adresse MAC des appareils apparait clairement lorsque l'on utlise des logiciels de wardriving type net stumbler.

Il est très simple de masquer via logiciel son adresse MAC physique par une adresse MAC usurpée celle de l'ordinateur client.

 

- SSID invisible : Une fois les paquets de connexion collectés, le pirate va appliquer son attaque par dictionnaire, ou par force brute pour déchiffrer ces paquets. A partir du moment ou ces paquets ont été déchiffrés, par définition l'adresse MAC du client, le SSID... apparaissent en clair puisqu'il s'agit des éléments d'identifiaction de la connexion.

Le SSID invisible n'apporte donc pas grand chose si ce n'est écarter les simples curieux (ce qui est déjà pas mal)

Toute la protection WPA repose donc sur la complexité de la passphrase. Il ne faut pas céder à la tentation de définir une passphrase intelligible de manière à faciliter la connexion d'un invité. Il faut s'habituer à jouer du copier coller à travers un flicher texte contenant la passphrase déposée temporairement sur une clé USB

 

4) Usurpation d'adresse par falsification manuelle des paquets.

Oui en théorie les paquets peuvent faire l'objet de manipulaition visant à falsfifier les adresses IPs; C'est ce que voulait faire pirate bay pour protéger ses "clients" et donc en théorie un innocent peut très bein se voir accuser.

Ceci étant, une analyse approfondie des paquets est suscptible de démontrer la falsification des paquets en raison des incohérences que cela peut engendrer au niveau des logs. Mais il est clair qu'il s'agit à ce niveau d'une expertise pointue, et la question est de savoir qui va payer cette expertise, et le juge complètement ignoirant de ces aspects techniques va -t-il même accepter de lancer une telle expertise.

Néanmoins on peut penser que ce type de scénario sera assez rare. Déjà il faudrait une sacrée malchance pour qu'un Monsieur X qui par définition maitrise déjà fort bien son sujet choisisse par hasard votre adresse qui sera elle-même "tirée au sort par Hadopi", d'autant que le monsieur qui falsifie les paquets ne fait pas forcément du téléchargement illégal, il peut éventuellment faire autre chose de bien pire mais pas oblgatorement du P2P.

 La justice agit par faisceaux d'indices. Les dossiers qui seront portés devant le juge seront certainement (question de temps et d'argent) des dossiers présentant un certain nombre d'éléments comme la saisie d'un disque dur qui manifestement contient des fichiers logés dans le dossier par défaut d'Azureus ou emule par exemple, la technique du pot de miel : si un fichier piégé déposé par HADOPI se trouve sur le disque dur...

Les plus malins qui utliseront le chiffrement, les web proxies, qui veilleront à faire disparaitre rapidement les fichiers téléchargés poiur les transférer sur une unité mobile bien cachée pour échapper à une saisie judiciaire qui utilseront les effaceurs de sécurité... seront peu inquiétés.

Posté le 15 janvier 2010 à 16h03 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un
yanix a écrit
  Et si je te pique ton adresse MAC?? C'est le fondement de certaines attaques...

 

Rien n'est impossible en ce bas monde mais on est obligé de faire au mieux avec ce que l'on a.

Un filtrage MAC est cependant une sécurité supplémentaire qui pourra compenser les faiblesses du codage WEP à partir du moment où je ne vais pas divulguer sur mon Facebook l'adresse physique de mes périphériques réseau.

Les seules personnes susceptibles de me pirater sont alors celles que je côtoie et à qui je donne l'accès à mon ordi, ma console ...

Quelqu'un voit une faille dans mon raisonnement?

Avatar du membre
skrool
Envoyer message
 
1239 points
Posté le 15 janvier 2010 à 23h01 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un

Pfffffffffffff!Il suffit d'avoir le pare feux open office qui bloque la fibre noire du câble et hop!total secure! Innocent

Posté le 16 janvier 2010 à 01h53 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un

et les cpl ne sont ils  pas eux aussi une source de risques ? étant donné que ça transite par le réseau électrique, je ne suis pas sur que, malgré l'association à faire entre les freeplugs, ce soit vraiment sécurisé à 100%. le meilleur moyen c'est peut être encore l'éthernet, mais toutes les maisons ne permettent pas forcément l'utilisation de l'éthernet.

Posté le 16 janvier 2010 à 09h33 Citer le commentaireSignaler le commentaireRemonter en haut de pageDescendre en bas de pagePartager ce commentaire sur Twitter Voter plus un Voter moins un
tof67400 a écrit
yanix a écrit   Et si je te pique ton adresse MAC?? C'est le fondement de certaines attaques...   Rien n'est impossible en ce bas monde mais on est obligé de faire au mieux avec ce que l'on a. Un filtrage MAC est cependant une sécurité supplémentaire qui pourra compenser les faiblesses du codage WEP à partir du moment où je ne vais pas divulguer sur mon Facebook l'adresse physique de mes périphériques réseau. Les seules personnes susceptibles de me pirater sont alors celles que je côtoie et à qui je donne l'accès à mon ordi, ma console ... Quelqu'un voit une faille dans mon raisonnement?

 

Dès lors que ta carte WiFi de l'ordinateur client est allumé, l'adresse MAC de ta carte est diffusée publiquement, le pirate n'a plus qu'a usuroer cette adresse pour être certain de ne pas être rejeté par le point d'accès, donc le filtrage MAC est d'un intérêt limité. Soit il y a une clé WPA ou WEP, et les personnes pratiquant la Wrddriving passif abandonneront, s'il il y a une clé WEP ou WPA et que la personne met en oeuvre des outils de crackage le filtrage MAC ne consituera pas le moindre obstacle, si cen 'est penser à ursurper l'adresse MAC.

Lorenzo a écrit
Mes 50 cents de commentaires. Tout d'abord, bravo Mr tux pour la super idée de spoofer un spot Freewifi, dans les zones bien denses ça va collecter un max lol Quand au filtrage MAC, je vous redirige vers Backtrack qui va en moins de deux secondes vous donner toutes les adresses MAC des stations connectées à une station. Vous n'aurez plus qu'à en prendre une... Enfin, concernant le fait de changer la passphrase, c'est bien, mais cela ne résiste par à une attaque par injection de paquets ARP qui ne prend que quelques dizaines de minutes: c'est d'ailleurs une des raisons pour lesquelles Free a introduit une limitation sur les requêtes ARP. L'idéal est bien sûr de couper la puce (disait Mr La Palisse), car à partir du moment où elle est allumée, même si aucun client n'est connecté, on peut lancer une attaque dessus et les attaques intelligentes ne sont pas brute force, mais tirent parti des failles qui existent toujours (c'est comme les bugs dans les logiciels, le seul moyen de ne pas en avoir, c'est de ne pas écrie une ligne de code !!).   ciao!

 Sauf erreur l'attaque ARP n'est pas spécialement liée au WifI, elle est liée au protocole ethernet en général (filaire ou sans fil). Une attaque ARP visant à positionner l'ordinateur de l'attaquant comme Man I  the Middle entre 2 hôtes (par exemple le routeur et l'ordinateur cible) pour espionner les échanges ne peut se concevoir que si le pirate est déjà connecté au réseau, soit de fàcon filaire par le cable ethernet, soit sans fil ce qui implique dans ce denrier cas qu'il ait déjà procédé au crackage de la passphrase. Comme indiqué ci-dessus, une passpharse bien chosie la rend difficiliment décgiffrable dans des délais raisonnables, donc la menace ARP me semble ici hors sujet. A partir du moment où un tiers a pu se connecter au réseau on se doute bien qu'un tas de possibilités slui ont permises, à commencer par télécharger illégalement sans même parler d'attaque ARP. Cela n'empêche que l'initaitive de Free est intéressante et qu'elle consitiue une petite protection anti-espionnage au cas où un individu aurait réussi à se connecter. A noter que les Firewall sophistiqués type Outpost détectent les attaques ARP
 
cobra76 a écrit
et les cpl ne sont ils  pas eux aussi une source de risques ? étant donné que ça transite par le réseau électrique, je ne suis pas sur que, malgré l'association à faire entre les freeplugs, ce soit vraiment sécurisé à 100%. le meilleur moyen c'est peut être encore l'éthernet, mais toutes les maisons ne permettent pas forcément l'utilisation de l'éthernet.

Oui, le CPL avec la fuite de réseau que cela provoquer chez les voisins est amené sans doute à connaître les mêmes soucis que le Wifi. On n'enparle pas trop car la techonologie est reltaivement récente, et encore peu répandu, donc à mon avis il y a peu d'outils libres dispo sur le Web pour attaquer ces réseaux. D'autre part, je ne suis pas si à ce jour les boîtiers CPL sont vraiment interopérables entre marques différentes, contrairement au WifFi où les efforts ne normalisation rend tous lkes matériels interopérables (ce qui n'était pas forcément le cas aux débiuts du WiFi)

Donc oui, la connexion Ethernet reste de loin la plus sûre, mais il fzut savoir qu'un WiFi en WPA PSK bien paramétré consittue à l'heure actuelle une proectection très sûre. Les probabilités de casser une passphrase WPA complexe sont sans doute moins élevées que gagner au loto. 

 




 
 
 

RUBRIQUE COMMENTAIRE
Bonjour, avant de poster, veuillez vous assurer d'avoir pris connaissance des règles.

X

Quatre consignes avant de réagir :

  • Rester dans le cadre de l'article. Pour des discussions plus générales, vous pouvez utiliser nos forums.
  • Développer son argumentation. Les messages dont le seul but est de mettre de l'huile sur le feu seront modifiés ou effacés sans préavis par la rédaction.
  • Respecter les acteurs de l'informatique et les autres lecteurs. Les messages agressifs, vulgaires, haineux, etc. seront modifiés ou effacés sans préavis par la rédaction.
  • Pour toute remarque concernant une faute dans l'article, merci de nous contacter exclusivement par le formulaire "signaler une erreur" lors de la sélection du texte de l'article (les commentaires portants sur ce sujet seront systématiquement supprimés).

Vous devez créer un compte Freezone et être connecté afin de pouvoir poster un commentaire.

DANS VOS REGIONS
Si vous attendiez une évolution de la boutique Free Mobile, ce serait :
Image vide