Que signifie la vulnérabilité WPA2 pour l'IoT ?

Des chercheurs d'une université belge ont révélé plus tôt cette semaine la découverte d'une faille dans le protocole de sécurité utilisé pour protéger la grande majorité des connexions Wi-Fi (basées sur WPA2). Mathy Vanhoef de imec-DistriNet, KU Leuven University, a publié ses conclusions expliquant qu'un attaquant à portée d'une victime peut exploiter ces faiblesses en utilisant des attaques de réinstallation de clé (KRACK) pour lire des informations qui étaient auparavant supposées être cryptées en toute sécurité. Cela peut être utilisé pour voler des informations sensibles telles que des numéros de carte de crédit, des mots de passe, des messages de chat, des e-mails et des photos.

Vanhoef a souligné que « Selon la configuration du réseau, il est également possible d'injecter et de manipuler des données. Par exemple, un attaquant pourrait être en mesure d'injecter un ransomware ou d'autres logiciels malveillants dans des sites Web. De plus, l'attaque KRACK est universelle et fonctionne contre tous les types d'appareils se connectant ou utilisant un réseau WiFi WPA2. Cela inclut Android, Linux, iOS, macOS, Windows, OpenBSD et les appareils intégrés et IoT. Si votre appareil prend en charge le Wi-Fi, il est très probablement affecté.

Voir aussi  : 6 technologies à connaître pour sécuriser votre réseau IoT

Les faiblesses résident dans la norme Wi-Fi elle-même, et non dans des produits ou des implémentations individuels. Par conséquent, toute mise en œuvre correcte de WPA2 est probablement affectée. Les consommateurs sont invités à mettre à jour tous leurs appareils dès que les mises à jour de sécurité sont disponibles.

J'ai parlé au chercheur en cybersécurité Nadir Izrael, CTO et co-fondateur d'Armis, la société responsable de la découverte de BlueBorne, un ensemble de vulnérabilités qui affectent tout appareil connecté utilisant Bluetooth. Presque tous les appareils dotés de capacités Bluetooth, y compris les smartphones, les téléviseurs, les ordinateurs portables, les montres, les téléviseurs intelligents et même certains systèmes audio automobiles, sont vulnérables à cette attaque. Si elles sont exploitées, les vulnérabilités pourraient permettre à un attaquant de s'emparer d'appareils, de diffuser des logiciels malveillants ou d'établir un « homme du milieu » pour accéder aux données et aux réseaux critiques sans interaction de l'utilisateur.

Izrael a expliqué :

Le défi de mettre à jour les produits connectés

Alors que les entreprises se précipitent pour publier des mises à jour et des correctifs de sécurité (Tech blog Charged propose une liste continue de correctifs de firmware dès qu'ils sont disponibles), la réalité est un peu plus complexe pour l'IoT. Comme le note Izrael :

Cette preuve de vulnérabilités est-elle mûre pour une future attaque ?

Heureusement, le monde tel que nous le connaissons ne va pas se terminer pour le moment, mais Izrael note que KRACK est une preuve de concept. Comme des correctifs sont maintenant publiés, l'espoir est qu'il ne sera pas exploité dans la nature, mais il est probable que des criminels essaieront. Il suggère que pour la protection, les entreprises doivent s'assurer que tous leurs appareils d'entreprise et d'employés sont mis à jour avec les derniers logiciels et correctifs. Pour les appareils qu'ils ne contrôlent pas ou ne peuvent pas mettre à jour, les entreprises doivent s'assurer que les appareils ne peuvent pas se connecter à un réseau critique.

Izrael prévient que la faible concentration de l'industrie sur la sécurité en raison de la connectivité étant la première priorité a mis en place un écosystème prêt pour l'attaque : :

« Dans un monde caractérisé par un manque flagrant de normes de sécurité dans les protocoles IoT, nous constatons une surface d'attaque qui s'étend rapidement, exposant les entreprises à des attaques contre lesquelles elles sont mal préparées à se défendre. Malheureusement, nous savons que les entreprises ne peuvent même pas voir 40 % des appareils connectés dans leur environnement. C'est pourquoi l'IoT et tous ces objets connectés sont un gros problème de sécurité. C'est un énorme angle mort de sécurité pour les organisations, avec de graves conséquences."

Alors que les chercheurs s'efforcent de déterminer l'origine et les personnes responsables de KRACK, ce ne sera qu'une question de temps avant que la prochaine vulnérabilité Wi-Fi (spécifique à WPA2 ou non) avec un potentiel de conséquences graves soit mise en lumière.