Ma petite parcelle d'Internet...

a nouvelle a fait du bruit juste avant la trêve hivernale : le WPS serait cassé et, par effet boule de neige, WPA et WPA2 avec. Comme à l'accoutumée, le raccourci est un peu rapide mais, contrairement à de précédentes annonces, proche de la réalité du terrain.

Comme l'explique Stefan Viehböck sur son blog, il est possible dans un temps tout à fait raisonnable de brute-forcer un code PIN WPS et d'en tirer la PSK du réseau cible. À n'en point douter, c'est une situation pas terrible qui mérite qu'on s'y attarde. Histoire de comprendre de quoi il retourne et comment on se protège...

Lire la suite...

a semaine dernière, j'ai fait un crochet par São Paulo en revenant d'une mission à Brasilia pour assister à la 7e édition de H2HC. Outre d'excellentes présentations sur lesquelles j'ai la flemme de faire un retour, ça m'a donné l'occasion de faire face à un des portails captifs parmi les plus gonflants que j'ai pu rencontrer.

Le syndrome est le suivant. Aucun problème pour s'associer ou récupérer une IP. Le page d'accueil s'affiche et on se logue sans problème. Et là, forcément, tout soucieux qu'on est de sa sécurité, on lance une session VPN. Une quinzaine de secondes plus tard, chrono en main, le trafic s'interrompt. Vous venez de vous faire jeter du portail, il faut renouveler votre session...

Lire la suite...

omplètement absorbé par autre chose, je me rends compte que je totalise plus de trois semaines de silence total. Ouch. Donc forcément, je vais vous parler d'un truc complètement éculé, j'ai nommé Firesheep. En fait non pas vraiment, puisque tout, ou presque, a été dit sur Firesheep. Et pas que des trucs intelligents, loin de là.

En particulier, je suis tombé sur ce billet du blog manifestement bien nommé Naked Security qui propose à Starbucks de devenir rien de moins qu'un héros de la sécurité. Comment ? En déployant du WPA/WPA2 en mode PSK sur ces hotspots, en utilisant une passphrase triviale. Et pourquoi faire ? Pour se protéger de Firesheep...

Lire la suite...

lors que le "BlackHat Arsenal" consacré à la vulnérabilité sur WPA2 levée par AirTight n'est pas encore terminé, les détails commencent à sortir. C'est d'abord, Matthiew Gast qui ouvre le feu en décorticant le problème au regard du standard. Ensuite, et surtout, c'est au tour de Glenn Fleishman de finalement lâcher le morceau sur Ars Technica.

Conclusion : ça confirme ce que j'en pensais, à savoir que c'est un bon FUD comme BlackHat nous en sort régulièrement. Une trouvaille certes intéressante, mais qui n'a rien à voir avec la découverte annoncée...

Lire la suite...

près avoir lu les deux articles qui parlent le mieux de l'affaire et creusé un tantinet la question, j'ai quand même quelques doutes sur cette annonce. Et comme le premier talk est pour demain, je m'en vais les partager avec vous.

Si effectivement l'idée de réutiliser la clé de groupe d'un réseau Wi-Fi est une idée dont les applications peuvent se montrer intéressantes, ces dernières ne semblent cependant pas d'un impact digne de révolutionner la sécurité Wi-Fi. En outre, cette histoire de récupération de PTK me semble pour le moins obscure...

Lire la suite...

'est en tout cas ce qu'annonçait avant-hier AirTight Networks, société indienne spécialisée en sécurité Wi-Fi. Dans un billet intitulé "WPA2 finds itself in a "hole"! Vulnerable to insider attacks!" publié vendredi, on apprend qu'une vulnérabilité surnommée Hole196 sera démontrée à BlackHat US la semaine prochaine et Defcon dans la foulée.

Le tout à grands renforts de publicité, d'une invitation à s'enregistrer à un webinar sur la question et sans le moindre détails technique, autant dire qu'il y a là tous les ingrédients de la recette bien connue du pêtard mouillé...

Lire la suite...

ous n'êtes probablement pas passé à côté de cette news retentissante : le FBI aurait échoué à décrypter des disques protégés par TrueCrypt. C'est évidemment une mauvaise nouvelle pour la justice brésilienne à qui ces données auraient été bien utiles pour étayer ses poursuites contre Daniel Dantas, mais d'un autre côté, c'est un énorme coup de pub pour ce logiciel libre de chiffrement de volumes.

Si j'en parle dans la catégorie Wi-Fi, c'est que cet échec des autorités brésiliennes et américaines nous ramène à la solidité pratique de la fonction de dérivation de clés utilisée par TrueCrypt, laquelle se trouve être la même que celle proposée par WPA et WPA2 en authentification PSK.

Lire la suite...

n en a lu des tonnes sur cette décision de justice prononcée par la Cour Fédérale allemande de Karlsruhe. Malheureusement, il semblerait que certains aillent un peu vite en besogne. Comme Dancho Danchev sur Zero Day qui laisse imaginer la création d'une unité de wardrivers au sein de la police teutonne tout en dissertant sur la solidité de mots de passe prétendument rendus obligatoires.

Car contrairement à ce que beaucoup titrent, le jugement ne semblerait pas imposer de moyen de protection particulier. D'ailleurs, personne, en dehors des troublions habituels, ne semble s'intéresser tout simplement au bien fondé du jugement...

Lire la suite...