Cybersécurité - Innovations digitales et numériques

La faille de sécurité liée au fonctionnement du WiFi des équipements Android (smartphones, tablettes) a été découverte par l’EFF (Electronic Frontier Foundation). Elle est directement liée à la fonction Preferred Network Offload (PNO), et sa composante Open Source wpa_supplicant. A l’origine, cette fonction permet au smartphone de mémoriser le nom (SSID) des 15 derniers réseaux WiFi auquel l’appareil a été connecté. Mais lorsqu’il est déconnecté et en veille, le smartphone émet régulièrement et en clair (c’est à dire sans aucun chiffrement) le nom de ces réseaux mémorisés, afin de s’y reconnecter automatiquement s’ils sont à portée. Il est donc théoriquement possible de récupérer illégitimement ces informations envoyées dans les airs par le smartphone.

En théorie, il suffit de posséder un PC portable sous Windows, un logiciel fourni gratuitement sur le site de Sensys Networks, et un point d’accès sans fil classique pour intercepter les données des capteurs. Toutefois, il faut ensuite analyser les données collectées, et comprendre le protocole qui les régit. Pour éviter cette étape fastidieuse, Cesar Cerrudo a préféré investir 4 000$ dans un point d’accès Sensys (dont l’achat est normalement réservé aux municipalités)...

Bien évidemment, vous avez peu de chances de croiser un tel drone dans votre rue ! Cette expérience révèle néanmoins des failles de sécurité dans notre utilisation quotidienne des smartphones. Voici comment mieux sécuriser ses données mobiles :

A l’aide du widget qui va bien, activer ou désactiver le WiFi de son smartphone est un jeu d’enfant, et ne prend qu’une ou deux secondes. Alors autant en profiter, et n’activer son WiFi que lorsqu’on en a réellement besoin ! Non seulement votre batterie gagnera quelques heures d’autonomie, mais vous serez également à l’abri des réseaux WiFi malveillants.

Il n’est pas rare que des hackers diffusent un réseau WiFi malveillant dont le nom (SSID) est a priori légitime : nom d’un restaurant, d’un hôtel, etc. Malheureusement, ces « Honeypots » n’existent que pour subtiliser les données personnelles nous envoyons sur Internet : identifiants, mots de passe, etc.

Avant de se connecter à un réseau WiFi, mieux vaut alors s’assurer qu’il est non seulement sécurisé (avec une clé de chiffrement), mais aussi légitime.

Les réseaux sans-fil sont certes très pratiques au quotidien, mais représentent par nature des risques pour la confidentialité des données que nous échangeons dessus. Gare au wififi sur les ondes ! ;-)

Voici donc quelques conseils utiles pour éviter que votre réseau WiFi ne serve de relai à un tel virus, ou que vos identifiants ne soient subtilisés :

• Eviter de se connecter aux réseaux WiFi ouverts (hotspots), et préférer une connection 3G (certes plus lente) ou 4G.
• Sécuriser correctement sa Box Internet ou son routeur WiFi (cf. Didacticiels de sécurité WiFi), avec un chiffrement WPA2 et un mot de passe fort (clé WiFi).
• Modifier régulièrement sa clé WiFi.
• Surveiller qui se connecte à son réseau WiFi (ex : avec le logiciel de sécurité WiFi Achiwa) pour détecter les éventuels intrus.

Cette nouvelle méthode d’attaque montre les besoins en sécurité des projets Open Source. Les grands acteurs de l’IT (Microsoft, Facebook, Google et plus récemment Salesforce ou Adobe)  se sont mobilisés pour apporter leur aide technique et financière dans la sécurisation et les tests des projets Open Source critiques. La Core Initiative Infrastructure, présidée par la Fondation Linux, vient de dresser la liste des projets prioritaires. Sans surprise, OpenSSL arrive en tête après l’affaire Heartbleed. On constate également que l’accent va porter sur OpenSSH et le Network Time Protocol (NTP). Ce dernier inquiète particulièrement les spécialistes en sécurité par son usage dans les récentes attaques DDoS par amplification.