Tartampion website - Le Wi-Fi, la sécurité

Administration

Articles les plus lus

Derniers articles

Le Wi-Fi, la sécurité

Écrit par Cgohann

01-06-2008

Wi-Fi Dans ce chapitre, nous détaillerons les différentes façons que nous avons à notre disposition pour sécuriser un réseau sans fil Wi-Fi que ce soit avec le protocole WEP ou les implémentations du WPA ou WPA2. Ces derniers ont été mis en place avec la norme IEEE 802.11i pour combler la faillibilité du protocole WEP.

L'architecture et le protocole de sécurité du standard 802.11 s'appelle le WEP (Wired Equivalent Privacy). Il est chargé de fournir l'authentification, la confidentialité et de garantir l'intégrité des données à travers les réseaux 802.11. Le standard 802.11 a été conçu sur le modèle de l'Ethernet. Le but des concepteurs du WEP était alors de fournir le même degré de sécurité que les traditionnels réseaux filaires. Mais les failles trouvées plus tard dans le mécanisme WEP n'ont pas mis longtemps pour mettre à mal le développement des réseaux sans-fil. Un groupe de travail (802.11i) a ensuite été constitué afin d'améliorer la sécurité des réseaux 802.11.

Voici un descriptif sommaire des différentes solutions d'authentification disponibles.

1 - Authentification basique

Trois options sont disponibles sur la plupart des points d’accès 802.11 :

Utilisation d’une clé WEP à rentrer sur le point d’accès et l’interface cliente. Le WEP est le protocole de chiffrement introduit dans le standard 802.11 datant de 1999. Il est basé sur l'algorithme de chiffrement RC4. Ce protocole se base sur une clé de cryptage qui autorise l’accès qu’à ceux qui la connaisse. Les vulnérabilités de ce chiffrement dans le Wi-Fi n’ont pas tardées à être démontrées. L’algorithme RC4 en serait responsable. Des parades ont bien sûr été développées mais rien d’efficace à 100%.

Le SSID (identifiant de réseau sans-fil) défini sur le point d’accès doit être connu des clients. La diffusion du SSID sur le point d’accès peut être désactivée pour éviter une association automatique des clients.

Le filtrage par adresses MAC dont sont équipés certains points d’accès permet d’éviter l’accès à des clients non autorisés.

2 - WPA et WPA2

Devant les solutions insuffisantes d’authentification basiques des réseaux 802.11, il est apparu des systèmes d’authentification plus sécurisés. Ainsi, la Wi-Fi Alliance, dès 2002, se lança sur le développement d’un nouveau standard de sécurité. Ce standard recommande une architecture d’authentification 802.1x qui permet aux points d’accès Wi-Fi et au matériel réseau de pouvoir authentifier ses clients grâce à un serveur RADIUS. L’authentification est basée sur le protocole EAP (Extensible Authentication Protocol). Le standard s’inspira des travaux de l’IEEE pour la norme 802.11i qui sera ratifié en juin 2004. Il traite de l’implémentation du WPA (Wi-Fi Protected Access), un nouveau mécanisme pour sécuriser les réseaux sans-fils.

De plus, WPA définit deux nouvelles méthodes de chiffrement et de contrôle d'intégrité :

TKIP (Temporal Key Integrity Protocol) : ce protocole a été conçu afin de s'adapter au mieux au matériel existant. Il utilise RC4 comme algorithme de chiffement. Il est défini par la norme intermédiaire 802.1x.

CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol) : reconnu comme plus puissant que TKIP, il utilise AES comme algorithme de chiffrement. Ce protocole est totalement incompatible avec le matériel de l’ancienne génération WLAN. Il est préconisé par la norme 802.11i.

	a) WPA[2] Entreprise :

Il existe différentes implémentations EAP actuellement :

EAP-MD5 : le client est authentifié par le serveur en utilisant un mécanisme de défi réponse.

LEAP (Lightweight EAP) : EAP développé par Cisco basé sur un serveur RADIUS et un login/mot de passe de l’utilisateur.

EAP-TLS (EAP-Transport Layer Security) : EAP basé sur des certificats gérés côté clients et côté serveurs.

PEAP (Protected EAP) : EAP qui utilise un certificat côté serveur et un login/mot de passe de l’utilisateur.

EAP-TTLS (EAP-Tunneled Transport Layer Security) : EAP similaire au PEAP.
...

WPA[2] est une solution plus complexe que le WEP. Il est réservé aux entreprises mais propose un mode spécial pour les particuliers afin qu’ils puissent profiter de cette sécurité sans disposer de serveur d'authentification.

	b) WPA[2] personnel :

Ce mode ne nécessite pas de serveur RADIUS et est donc utilisable par les utilisateurs lambda. Il est également nommé WPA[2]-PSK (Pre-Shared Key). Il permet une authentification simple entre le point d’accès et le client. La configuration du WPA-PSK commence par la détermination d'une clé statique comme pour le WEP ou d’une phrase secrète (passphrase). Mais, en utilisant TKIP, WPA-PSK change automatiquement les clés à un intervalle de temps prédéfini.

Commentaires

Ajouter un nouveau

Rechercher