Attaques sans fil : jumeau malveillant, désauthentification et AP malveillant

Les réseaux sans fil sont particulièrement vulnérables, car le signal ne peut pas être contenu dans une limite physique. Les attaquants peuvent opérer depuis une voiture sur un parking, un bureau voisin, ou même utiliser des antennes directionnelles à longue portée depuis plusieurs centaines de mètres. Les principales catégories d'attaques sans fil abordées dans Security+ sont les attaques par faux jumeau, les attaques de désauthentification et les points d'accès malveillants. Chacune exploite des faiblesses différentes dans la manière dont les clients Wi-Fi découvrent les points d'accès, s'y connectent et leur font confiance.

Un point d'accès malveillant est un AP sans fil non autorisé connecté à un réseau d'entreprise — soit installé par un attaquant ayant obtenu un accès physique, soit mis en place par un employé bien intentionné pour des raisons pratiques. Un AP malveillant peut contourner les contrôles de sécurité filaires de l'organisation en offrant aux attaquants ou aux logiciels malveillants un point d'entrée sans fil vers le réseau interne. Les systèmes de détection des intrusions sans fil (WIDS) et les relevés RF réguliers détectent les AP malveillants en corrélant les adresses MAC observées dans les airs avec l'inventaire des AP autorisés.

Un faux jumeau est un AP malveillant qui usurpe l'identité d'un point d'accès légitime en diffusant le même SSID (nom du réseau). Les clients configurés pour se connecter automatiquement aux SSID connus peuvent se connecter au faux jumeau plutôt qu'à l'AP légitime, en particulier si le signal de l'attaquant est plus puissant. Une fois connecté, l'attaquant peut mener des attaques MitM, capturer des identifiants via HTTP et intercepter le trafic non chiffré. Les attaques par faux jumeau sont particulièrement efficaces sur les réseaux Wi-Fi publics, où les clients ne peuvent pas distinguer le véritable AP d'un faux.

La norme 802.11 inclut des trames de gestion pour contrôler les connexions, notamment des trames de désauthentification indiquant à un client qu'il a été déconnecté de l'AP. Sans 802.11w (trames de gestion protégées), ces trames ne sont pas authentifiées et n'importe qui peut les falsifier. Une attaque de désauthentification envoie à un client des trames Deauth usurpées, le forçant à se déconnecter puis à se reconnecter. Les attaquants utilisent ces attaques pour forcer les clients à révéler leur négociation en 4 étapes (afin de casser WPA2) ou pour les rediriger vers un AP faux jumeau dont le signal est plus puissant.

De nombreux réseaux Wi-Fi publics utilisent des portails captifs — des pages Web qui exigent l'acceptation de conditions ou la saisie d'identifiants avant d'autoriser l'accès à Internet. Les attaquants peuvent déployer un AP malveillant qui redirige les clients vers un faux portail captif afin de récupérer des identifiants ou d'installer des logiciels malveillants. Les portails captifs utilisent généralement HTTP (et non HTTPS), ce qui les rend vulnérables aux attaques MitM. Le OWE (Opportunistic Wireless Encryption) de WPA3 sécurise les réseaux ouverts en fournissant un chiffrement sans authentification, mais les portails captifs restent courants et dangereux. Les utilisateurs doivent utiliser des VPN sur tout réseau doté d'un portail captif.

Les entreprises détectent les attaques par faux jumeau à l'aide de systèmes de détection des intrusions sans fil (WIDS) qui surveillent en permanence l'environnement RF. Les capteurs WIDS identifient les AP diffusant le SSID de l'entreprise avec un BSSID absent de la liste approuvée, ou détectent les clients qui se connectent à des AP non autorisés. La corrélation avec les données du réseau filaire permet de confirmer si un AP suspect est effectivement connecté au réseau interne (AP malveillant) ou s'il est purement externe (faux jumeau). Les contrôleurs WLAN d'entreprise (Cisco, Aruba, Juniper) intègrent souvent des fonctionnalités WIDS qui automatisent cette détection.

Le brouillage RF consiste à émettre délibérément des signaux radio sur le même canal qu’un réseau cible afin de provoquer des interférences et de le rendre inutilisable — il s’agit en pratique d’une attaque par déni de service sans fil. Le brouillage peut être illégal dans de nombreuses juridictions. Les interférences involontaires provenant des fours à micro-ondes, des babyphones et des réseaux voisins utilisant le même canal sont plus fréquentes et peuvent provoquer des symptômes similaires. Les organisations confrontées à des interférences persistantes doivent effectuer une analyse du spectre RF afin de distinguer le brouillage des interférences, puis passer à des canaux libres ou aux bandes 5 GHz / 6 GHz lorsqu’elles sont disponibles.

WPA2-Enterprise avec 802.1X empêche la capture d’identifiants par un jumeau malveillant, car les clients s’authentifient auprès d’un serveur RADIUS à l’aide d’EAP (Extensible Authentication Protocol). Le client doit valider le certificat TLS du serveur RADIUS avant d’envoyer les identifiants. Si les clients ne sont pas configurés pour valider le certificat du serveur et associer le CA attendu, un jumeau malveillant peut exécuter un serveur RADIUS frauduleux et capturer les identifiants EAP. La validation des certificats doit être imposée au moyen de profils MDM sur les appareils de l’entreprise afin d’empêcher cette régression de sécurité.

La norme 802.11 définit deux types distincts de trames de gestion utilisées pour mettre fin aux connexions. Une trame de désauthentification supprime l’état d’authentification, tandis qu’une trame de désassociation retire le client de la table d’association de l’AP, tout en préservant l’authentification. Les deux peuvent être falsifiées sans 802.11w. Les candidats à Security+ doivent comprendre que ces deux types de trames constituent des vecteurs d’attaque permettant de forcer une reconnexion. L’amendement 802.11w (intégré à WPA2 en tant que fonctionnalité facultative et obligatoire dans WPA3) ajoute un code d’intégrité des messages (MIC) à ces trames, ce qui empêche leur falsification.

Les contrôles de sécurité technique des réseaux sans fil doivent être complétés par une sécurité physique. Un AP installé dans une zone accessible peut être réinitialisé aux paramètres d’usine, ce qui contourne toutes les configurations de sécurité. Les bonnes pratiques consistent notamment à installer les AP dans des emplacements sécurisés ou en hauteur, à utiliser des vis témoins d’effraction ou des cages de sécurité pour AP, à désactiver le bouton de réinitialisation au moyen du logiciel lorsque cela est possible et à inclure les AP dans les audits d’inventaire des actifs. Les commutateurs PoE qui alimentent les AP doivent également se trouver dans des locaux de câblage verrouillés, afin qu’un attaquant ne puisse pas simplement débrancher un AP légitime et connecter son propre appareil.

Pour vous défendre contre l’ensemble des attaques sans fil : activez WPA3 ou WPA2-Enterprise afin d’empêcher le cassage des PSK ; imposez le PMF (802.11w) pour bloquer les attaques par désauthentification ; déployez un WIDS pour détecter les jumeaux malveillants et les AP frauduleux ; validez les certificats RADIUS afin d’empêcher la capture RADIUS par un jumeau malveillant ; désactivez WPS pour éliminer le forçage brut du PIN ; et segmentez les réseaux sans fil par rôle (entreprise, invités, IoT) en utilisant des SSID distincts associés à différents VLAN. Combinez ces contrôles pour mettre en place une stratégie de défense en profondeur des réseaux sans fil.

Dans cette leçon, vous avez appris qu’un AP frauduleux est un point d’accès non autorisé sur le réseau de l’entreprise qui contourne les contrôles de sécurité filaires, qu’un jumeau malveillant usurpe l’identité d’un SSID légitime afin d’intercepter le trafic des clients par une attaque de l’intercepteur, et que les attaques par désauthentification falsifient des trames de gestion 802.11 pour déconnecter les clients — une menace atténuée par les trames de gestion protégées (802.11w) requises par WPA3. Nous allons maintenant étudier les réseaux sans fil d’entreprise avec 802.1X et RADIUS.