Capture et cassage de la poignée de main WPA2

Lorsqu’un client se connecte à un réseau WPA2, l’échange de clés à quatre messages dérive la clé transitoire par paire (PTK) à partir de la PMK (elle-même dérivée de la PSK) et de valeurs aléatoires. La capture de cet échange permet de casser le mot de passe hors ligne.

Le mode moniteur permet à la carte sans fil de capturer toutes les trames, quelle que soit leur destination — ce qui est nécessaire pour capturer passivement l’échange de clés. Il ne fonctionne qu’avec les cartes prenant en charge le mode moniteur.

Airodump-ng capture les trames passivement. Attendez qu’un client se connecte naturellement ou forcez sa reconnexion au moyen d’une désauthentification. La capture de l’échange de clés apparaît dans l’angle supérieur droit de la sortie d’airodump.

L’envoi de trames de désauthentification usurpées oblige les clients connectés à se déconnecter puis à se reconnecter, ce qui déclenche une nouvelle capture de l’échange de clés. Cette technique génère beaucoup de trafic, est détectable et exige que le client soit à portée.

L’attaque par PMKID (hcxdumptool) capture le PMKID à partir des trames balise et de sondage sans nécessiter de client connecté. Le PMKID est plus rapide à obtenir et se casse aussi facilement qu’un échange de clés complet.

Convertissez le fichier de capture, puis lancez une attaque avec le mode 22000 de Hashcat (format unifié WPA2) ou le mode 2500 (ancien format). Utilisez rockyou.txt avec des règles pour obtenir les meilleurs résultats.

Aircrack-ng effectue directement le cassage de WPA2 à l’aide du CPU à partir du fichier de capture. Il est plus lent que le cassage par GPU de Hashcat, mais ne nécessite aucune conversion de format.

La réussite du cassage des mots de passe WPA2 dépend entièrement de la qualité de la liste de mots. Utilisez : rockyou.txt comme référence de base, les jeux de règles de Hashcat pour générer des variantes, des listes propres à l’entreprise (nom+année+symbole) et des listes ciblées issues d’OSINT.

Un mot de passe WPA2 aléatoire de 20 caractères ou plus est irréalisable à casser sur le plan computationnel. Le cassage n’est pratique que contre des mots de passe courts ou fondés sur un dictionnaire. C’est pourquoi la longueur et le caractère aléatoire comptent davantage que les règles de complexité.

Utilisez WPA3-SAE (insensible aux attaques par dictionnaire hors ligne), ou WPA2 avec une phrase secrète aléatoire de 20 caractères ou plus, ainsi que WPA2-Enterprise avec EAP-TLS (certificats à la place des mots de passe).

Capturer des échanges de clés WPA2 sur des réseaux dont vous n’êtes pas propriétaire est illégal. Toutes les techniques présentées ici s’appliquent uniquement à vos propres réseaux de test ou à des environnements de laboratoire autorisés (par exemple, un laboratoire personnel ou un AP de test dédié).

Qu’est-ce que l’attaque par PMKID améliore par rapport à la capture standard de l’échange de clés ?

Capturer un échange de clés WPA2 (ou un PMKID) transforme le cassage du Wi-Fi en attaque par dictionnaire hors ligne. La réussite dépend entièrement de la robustesse du mot de passe : les mots de passe courts et fondés sur un dictionnaire sont rapidement cassés, tandis que les mots de passe longs et aléatoires sont pratiquement impossibles à casser. Défendez-vous avec WPA3-SAE, des phrases secrètes robustes et WPA2-Enterprise pour les réseaux d’entreprise.