Faille Wfi Krack : la NSA ne dira rien, mais les documents ne sont pas une réponse

La NSA refuse de commenter son hypothétique connaissance de la faille KRACK, une faille de sécurité affectant un protocole sans fil révélée plus tôt dans la semaine.

 

Un porte-parole de la NSA contacté par ZDNet.com s’est refusé à tout commentaire à ce sujet. Dans le même temps, le directorat de l’Information Assurance de la NSA a publié un avertissement mercredi afin de prévenir de l’existence de cette vulnérabilité.

Le mutisme de l’agence n’a rien de très surprenant compte tenu du fait que l’agence ne commente pratiquement les sujets liés à l’espionnage ou à la sécurité nationale. Mais il ne sera pas suffisant pour faire taire les rumeurs qui soutiennent que la NSA savait quelque chose sur cette vulnérabilité affectant le protocole sans fil WPA2.


Dans le cadre du programme Vulnerabilities equities processs, la communauté du renseignement devrait théoriquement proposer l’étude de vulnérabilités afin de s’assurer que lorsque le moment est approprié, celles-ci soient rendues publiques. Dans certains cas, les vulnérabilités sont tenues secrètes, car elles peuvent se révéler utiles aux services de renseignement.

Le FBI et la NSA utilisent des failles non révélées afin de viser des ordinateurs et réseaux dans le cadre de leurs missions de renseignement.
Au cas où vous seriez passés à côté : cette semaine a été révélée l’existence d’une faille de sécurité affectant la quasi-totalité des appareils Wifi modernes. Cette vulnérabilité se situe au sein du protocole de sécurité WPA2, introduit en 2004 pour remplacer la précédente version du protocole WEP, considérée comme obsolète.

Dans le pire cas de figure, cette vulnérabilité peut permettre à un attaquant de décrypter le trafic réseau d’un appareil utilisant WPA2, mais aussi de perturber la connexion ou d’injecter du contenu au sein du trafic. En d’autres termes, un attaquant disposerait de la clef permettant d’accéder à n’importe quel réseau WPA2 sans en connaître le mot de passe.


La seule condition serait que l’attaquant doit être proche physiquement du Wifi visé pour lancer son attaque.

Compte tenu de la façon dont la NSA a été impliqué dans l’exploitation locale et à distance de réseaux, de systèmes et d’appareils, de nombreux observateurs n’ont pas tardé à envisager le pire.

Ce qui a relancé les spéculations est la redécouverte de plusieurs documents datés de 2010 issus de ceux révélés par Edward Snowden. Ces documents détaillent un outil de piratage, connu sous le nom de BADDECISION et décrit comme un « 802.11 CNE tool » : un exploit conçu pour s’attaquer aux réseaux sans fil via une attaque de type man in the middle dans les environs physiques du réseau visé.

L’outil utilise une technique d’injection de frame afin de rediriger les cibles vers l’un des serveurs de la NSA, qui a pour rôle de diffuser le malware le plus adapté pour l’appareil de la cible afin de s’assurer de sa compromission sur le long terme. La slide présentée précise que l’outil fonctionne « pour les réseaux WPA/WPA2 », ce qui laisse entendre que BADDECISION pourrait facilement contourner le chiffrement offert par ce standard.

Il est donc facile de se laisser aller aux théories du complot. Sans surprise, certains pensent que cet outil de piratage pourrait être une version made in NSA de la faille KRACK.

Mais selon plusieurs chercheurs en sécurité, experts et anciens agents de la NSA, l’idée n’est pas crédible.
« Ça n’est pas KRACK », a expliqué un ancien agent de la NSA, qui a préféré rester anonyme.

« Cet exploit est en réalité une version remaniée par l’agence d’Ettercap, un outil publiquement disponible qui permet de mettre en place une attaque man in the middle afin de réaliser une attaque de spoofing sur le protocole de résolution d’adresse (ARP) », a–t-il ajouté.

Le spoofing du protocole ARP exploite le manque d’authentification au sein du protocole, ce qui permet à un attaquant de forcer un appareil cible à envoyer du trafic vers un appareil malveillant.


D’autres sources auquel nous avons parlé, telles que le chercheur Nicholas Weaver du Computer Science Institute de Berkeley en Californie, nous ont également mentionné l’ARP spoofing dans les méthodes d’attaques.
« L’ARP spoofing est dans les faits similaires à un spoofing DHCP. Votre machine répond à une requête de diffusion à laquelle elle n’est pas censée répondre » a-t-il expliqué.

Vanhoef, le chercheur à l’origine de la découverte de Krack, pense également que celle-ci n’a rien à voir avec le programme de la NSA.
« Il semblerait plutôt qu’ils utilisent de l’ARP poisoning afin d’obtenir une position de man in the middle » explique Vanhoef « Mais cela signifierait qu’ils parviennent à se connecter au réseau WPA2 et donc qu’ils disposent déjà des identifiants nécessaires.

De ce point de vue, il semblerait qu’il ne s’agisse pas d’une attaque sur le chiffrement WPA2.»
La NSA dispose de son côté des ressources financières et de calcul pour s’attaquer aux réseaux et espionner des milliards d’utilisateurs en utilisant du matériel et des failles de sécurité. Mais comme le montre l’actualité, l’agence n’est pas aussi puissante dans le cyberespace que ce que certains aimeraient penser.

Cet article est un traduction de « NSA won’t say if it knew about KRACK, but don’t look to this leaked doc for answers » initialement publié sur ZDNet.com

ZDNet