L’endroit peut être un café, un aéroport, ou tout autre lieu public offrant du réseau sans-fil; un territoire de pêche où le poisson mord à tout coup, tout disposé qu’il est à se connecter au premier réseau lui offrant Internet.

Or certains de ces réseaux, à l’instar de la mante orchidée, ne sont pas du tout ce qu’ils prétendent : des attaquants savent les générer à partir d’un point d’accès temporaire (routeur, ordinateur portable, ou même téléphone cellulaire) et leur attribuer un nom crédible en fonction du lieu ou du contexte.

Parfois, ce nom est très exactement celui du réseau légitime existant, mais les appareils n’y voient alors qu’un seul et même réseau, se connectant préférablement à la borne malveillante, de surcroît, si son signal est plus fort.

Jeu de dupes

Trompée par abus de confiance — c’est-à-dire par ingénierie sociale, au même titre qu’un courriel d’hameçonnage —, la victime n’a pratiquement aucune chance de déceler la supercherie. Après tout, le point d’accès frauduleux se comporte exactement de manière attendue, relayant les requêtes vers Internet comme le ferait un routeur légitime!

Pourtant, à l’insu de la victime, c’est bien l’attaquant qui octroie le chiffrement des données, avec pour résultats une visibilité complète sur les échanges et une vaste gamme d’opportunités, comme de rediriger des requêtes de connexion vers de faux sites pouvant infecter un poste.

Les réseaux WiFi d’entreprise, pour lesquels chaque employé doit le plus souvent s’authentifier au moyen de son propre compte corporatif, sont également sous la menace des points d’accès «orchidée». Empruntant exactement le même nom de réseau, ils invitent l’utilisateur à fournir à nouveau ses informations d’authentification — sauvegardées et exploitées ensuite par le pirate comme vecteur d’entrée pour compromettre l’ensemble du système.

Or dans ce scénario, jamais le réseau sans-fil légitime n’est abusé; seul l’employé est «courtisé», parfois à bonne distance physique des locaux. Si bien que des dispositifs de défense comme des détecteurs de fausses bornes d’accès — dont le rayon d’action demeure limité — n’y peuvent pas grand-chose.

Ce pourquoi il faut considérer l’emploi d’appareils préconfigurés par l’entreprise, qui retirent à l’utilisateur le choix arbitraire de se connecter à de fausses bornes, ainsi qu’une politique d’utilisation stricte qui interdit explicitement l’usage d’appareils personnels pour se connecter au réseau WiFi corporatif.

KPMG constate cependant que ces profils de configuration comportent souvent des lacunes, ou alors qu’une politique d’utilisation trop permissive les rend inefficaces; or dans ces conditions, un réseau WiFi d’entreprise devient un risque majeur.

Protocoles défaillants

Quant aux réseaux sans-fil de type domestique — ceux-là mêmes que vous hébergez à domicile pour usage personnel — les nouvelles ne sont guère mieux. Le protocole Wired Equivalent Privacy (WEP), ratifié en 1999, s’est révélé si faible qu’il permet aujourd’hui de compromettre un point d’accès en quelques minutes seulement (de grâce, fuyez-le). D’où son successeur, Wi-Fi Protected Access (WPA, 2003), dont la version 2 (2004) est encore aujourd’hui la plus répandue.

Hélas, WPA2 ne protège pas les paquets de données ayant pour fonction la gestion des connexions, et il est donc possible de forcer tout appareil client à se déconnecter d’un point d’accès, sans même le besoin d’être joint au réseau. Pire encore : une telle requête peut être envoyée par n’importe qui au point d’accès lui-même; ce qui aura pour effet immédiat de déconnecter tous les appareils clients.

En outre, votre routeur maison, qui utilise probablement un mot de passe commun pour tous les utilisateurs (Pre-Shared Key, ou PSK), fait voyager sur les ondes cette clé (quoique chiffrée) au moment de la connexion… ou de la reconnexion automatique! La voler en déconnectant un appareil pour l’«entendre» se reconnecter devient ainsi un jeu d’enfant.

Et comme on ne peut techniquement éviter cette capture par un pirate, un mot de passe à la fois très long et très aléatoire demeure le seul recours valable, de façon à compliquer la tâche à qui cherchera à le «casser» ensuite par analyse comparative (au moyen de fichiers dictionnaires contenant des millions — voire des milliards — de possibilités).

Guerre des ondes

Dans un effort concerté pour neutraliser ces vulnérabilités, une version 3 du protocole WPA a vu le jour en 2018, offrant à la fois un processus d’authentification et un chiffrement des échanges plus robustes, ainsi qu’une protection des paquets de données gérant les connexions. Mais seuls les appareils récents supportent ce nouveau standard, et des chercheurs mettent déjà au jour certaines de ses faiblesses.

Ceci sans compter, de surcroît, certains enjeux de sécurité du sans-fil liés à la vie privée, dans la mesure où vos appareils — qui cherchent constamment à se connecter à des réseaux WiFi qu’ils ont en mémoire — lancent des appels contenant le nom du réseau recherché et diffusent leur propre identifiant matériel unique (l’adresse MAC). Ce qui pourrait permettre, en théorie, de documenter vos habitudes quotidiennes, votre lieu de travail ou encore l’endroit où vous vivez.

L’adresse MAC de votre appareil peut même servir à comptabiliser vos passages en un lieu déterminé (une donnée intéressante pour des commerces); ou à suivre vos déplacements, au moyen de plusieurs dispositifs d’écoute quadrillant une aire géographique.

Autant d’enjeux qui ne couvrent que les bandes du WiFi. Puisqu’en scrutant d’autres fréquences, on découvre rapidement des vulnérabilités exploitées par brouillage et rejoute de code pour déverrouiller des portes de garage ou de voiture; simuler des aéronefs fantômes en abusant du protocole ADS-B de contrôle du trafic aérien; ou encore pour neutraliser des drones.

La guerre des ondes ne fait que commencer.