Wep, WPA, protection efficiente et matériel un tout petit peu vieux

Bonjour,
Si j'ai bien compris tout ce que j'ai pu lire sur le sujet, la protection
WEP est totalement non secure (cassable par n'importe qui qui télécharge les
bons logiciels sur le Web), alors que les protections WPA (à conditions de
mettre une clef correcte : suffisament longue et n'utilisant pas de mot
"courant") font correctement leur travail.

Il apparait donc de salubrité publique de conseiller fortement au maximum,
autour de soi, le passage en WPA.

Le seul cas où le Wep peut être acceptable et un cas où le PC est lui même
protégé (par firewall...) et où quelqu'un qui entre sur le réseau sans fil
ne peux pas provoquer plus de dégat que n'importe qui sur Internet (encore
que, si quelqu'un fait des "bétises" sur internet en pénetrant ainsi un
réseau, c'est le souscripteur de l'accès internet qui aura les soucis...).

Ce qui est assez agaçant, c'est qu'il y a beaucoup de matériel (routeur,
carte Wifi PCI et PCMCIA), même relativement récent, qui n'offre que le WEP.
Y compris parfois du materiel 802.11g.

J'ai l'impression que les constructeurs de cartes et routeurs ne font pas
d'effort sur ce plan de mise à jour des firmware et pilote.

Pourtant, si j'ai bien compris, il doit être en général possible d'ajouter
le support au moins du WPA-PSK / TKIP sur un materiel qui supporte le WEP

Alors, que faire avec le matériel non estampillé WPA ?


bonjour

on peut aussi durcir la protection WEP pour la rendre moins vulnérable
par exemple :
-> invalider la diffusion du SSID, nommage durci (en principe en standard)
-> appliquer un filtrage sur les adresses mac
-> utiliser une clef longue au format hexa
-> maitriser le niveau d'emission pour en limiter la portée

DC

Gilles Vollant a présenté l'énoncé suivant :

Bonjour,
Bonsoir et bonne année 2006,

Si j'ai bien compris tout ce que j'ai pu lire sur le sujet, la protection WEP
est totalement non secure (cassable par n'importe qui qui télécharge les bons
logiciels sur le Web), alors que les protections WPA (à conditions de mettre
une clef correcte : suffisament longue et n'utilisant pas de mot "courant")
font correctement leur travail.
On fait ça comment ? Je précise que je suis très débutante dans ce

domaine.

Il apparait donc de salubrité publique de conseiller fortement au maximum,
autour de soi, le passage en WPA.
Ok, je veux bien mais comment fer ?

Le seul cas où le Wep peut être acceptable et un cas où le PC est lui même
protégé (par firewall...)
J'ai un firewall sur le PC portable qui fonctionne en wifi

et où quelqu'un qui entre sur le réseau sans fil ne
peux pas provoquer plus de dégat que n'importe qui sur Internet (encore que,
si quelqu'un fait des "bétises" sur internet en pénetrant ainsi un réseau,
c'est le souscripteur de l'accès internet qui aura les soucis...).
<>

Alors, que faire avec le matériel non estampillé WPA ?
Je présente donc mon matériel que je viens d'acquérir sans pour autant

en être satisfaite :
- Livebox de Wanadoo (oui désolée mais je ne m'y connais pas...)
- un PC de bureau connecté par cable ethernet
- un PC portable connecté par wifi sans fil que je pense connecté
également en ethernet avec l'espoir d'avoir moins souvent besoin de
relancer la Livebox. ???
J'ai sais que plusieurs problèmes sont posés mais, si quelqu'un pouvait
me renseigner sur le WEP - WPA, avec des indications pour débutants,
j'en serais ravie.
Merci à vous pour votre patience.

--
sty
Ceci est une signature automatique de MesNews.
Site : http://www.mesnews.net

Le Sat, 24 Dec 2005 08:33:43 +0100, Didier a écrit :

on peut aussi durcir la protection WEP pour la rendre moins vulnérable

Non, le WEP est archi-vulnérable, c'est un fait.

par exemple :
-> invalider la diffusion du SSID, nommage durci (en principe en standard)

L'ESSID est contenu dans les trames d'association. Donc l'observation
d'une trame d'association donne l'ESSID, aussi compliqué soit-il. En
outre, il n'est pas nécessaire de connaître l'ESSID pour casser la clé
WEP, chose qui se fait sur les trames de données.

-> appliquer un filtrage sur les adresses mac

L'observation d'une association ou du moindre trafic valide sur l'AP
donnera immédiatement une addresse MAC valide.

-> utiliser une clef longue au format hexa

Ça ne changera pas grand chose. Il faudra juste capturer deux fois plus
de paquets pour casser la clé, ce qui ne représente pas grand chose,
aussi bien en quantité de données qu'en temps de capture.

-> maitriser le niveau d'emission pour en limiter la portée

Hormis le fait que cette fonctionnalité soit absente de la plupart des
outils grand public sans les flasher, cette mesure montre souvent son
inefficacité. Une carte plus sensible, plus puissante que la moyenne, ou
avec une antenne externe, même petite, fera l'affaire.

Quel est donc l'intérêt de perdre du temps à empiler des mesures dont
le contournement est à la portée du premier venu, alors que passer en
WPA/WPA2 est si simple aujourd'hui ?

Pour répondre à l'OP, tout matériel estampillé du logo WiFi produit
après 2003 doit supporter le WPA. Cependant, il y a encore des produits
qui nécessite des upgrades : driver, voire firmware, pour les cartes,
firmwaqre pour les AP et autre routeurs.
Pas mal de produits fabriqués avant 2003 disposent de firmwares
supportant au moins le WPA.
Côtés systèmes d'exploitation, WinXP supporte, MacOS X aussi, et les
Unix en utilisant wpa_supplicant (disponible aussi sous win32).

Depuis que je bosse sur du WiFi, le seul matériel que j'ai vu ne pas
supporter le WPA est un AP qui date de fin 2001 (dont le firmware de base
ne supportait même pas le WEP128).


--
BOFH excuse #415:

Maintenance window broken

bonjour
oui, on sait tout ça
et dans une logique de piratage on arrive à tout faire et à tout dire
mais voilà il existe encore des eqpts qui ne supportent pas le WPA
et dans ce contexte le basique est indispensable
pas de wpa pour les eqpts en 11b désolé et l'on n'est pas pour autant à
ce point victime de piratage.

DC

on peut aussi durcir la protection WEP pour la rendre moins vulnérable

Non, le WEP est archi-vulnérable, c'est un fait.

par exemple :
-> invalider la diffusion du SSID, nommage durci (en principe en standard)

L'ESSID est contenu dans les trames d'association. Donc l'observation
d'une trame d'association donne l'ESSID, aussi compliqué soit-il. En
outre, il n'est pas nécessaire de connaître l'ESSID pour casser la clé
WEP, chose qui se fait sur les trames de données.

-> appliquer un filtrage sur les adresses mac

L'observation d'une association ou du moindre trafic valide sur l'AP
donnera immédiatement une addresse MAC valide.

-> utiliser une clef longue au format hexa

Ça ne changera pas grand chose. Il faudra juste capturer deux fois plus
de paquets pour casser la clé, ce qui ne représente pas grand chose,
aussi bien en quantité de données qu'en temps de capture.

-> maitriser le niveau d'emission pour en limiter la portée

Hormis le fait que cette fonctionnalité soit absente de la plupart des
outils grand public sans les flasher, cette mesure montre souvent son
inefficacité. Une carte plus sensible, plus puissante que la moyenne, ou
avec une antenne externe, même petite, fera l'affaire.

Quel est donc l'intérêt de perdre du temps à empiler des mesures dont
le contournement est à la portée du premier venu, alors que passer en
WPA/WPA2 est si simple aujourd'hui ?

Pour répondre à l'OP, tout matériel estampillé du logo WiFi produit
après 2003 doit supporter le WPA. Cependant, il y a encore des produits
qui nécessite des upgrades : driver, voire firmware, pour les cartes,
firmwaqre pour les AP et autre routeurs.
Pas mal de produits fabriqués avant 2003 disposent de firmwares
supportant au moins le WPA.
Côtés systèmes d'exploitation, WinXP supporte, MacOS X aussi, et les
Unix en utilisant wpa_supplicant (disponible aussi sous win32).

Depuis que je bosse sur du WiFi, le seul matériel que j'ai vu ne pas
supporter le WPA est un AP qui date de fin 2001 (dont le firmware de base
ne supportait même pas le WEP128).

Didier <charron.didierEnlever@9online.fr> writes:

oui, on sait tout ça

Ah ?

Vu le nombre d'installations faites avec les pieds que je croise, j'ai
des doutes.

et dans une logique de piratage on arrive à tout faire et à tout dire
mais voilà il existe encore des eqpts qui ne supportent pas le WPA
et dans ce contexte le basique est indispensable

Mauvais firmware, changer firmware et si pas de firmware disponible,
mauvais équipement, changer équipement.

pas de wpa pour les eqpts en 11b désolé

Faux, voyez chez Symbol (Spectrum24 11b), Intel (2011/2011b), cisco
(Aironet 340/350), enfin des constructeurs sérieux quoi.

et l'on n'est pas pour autant à ce point victime de piratage.

Encore faut-il que vos données présentent un quelconque intérêt ou
encore que le besoin d'un accès internet pour l'utiliser à des fins
douteuse soit présent.

De plus, la majorité des ap disposent de fonctions de logging qui sont
dans 99% des cas désactivés, donc même s'ils se sont fait troués, le
propriétaire n'est pas au courant, ce qui explique pourquoi on peut
entendre que le piratage d'accès non ou peu protégés n'existe pas.

--
AB>Je trouve consternant ce refus de réponse, et je joins donc mon
AB>indignation à celle de Philippe.
Ça me semble un peu disproportionné comme sanction.
-+- Greg in GNU : Seigneur, protégez neuneu de ses amis -+-

délire,délire,délire
DC

Didier <charron.didierEnlever@9online.fr> writes:

oui, on sait tout ça

Ah ?

Vu le nombre d'installations faites avec les pieds que je croise, j'ai
des doutes.

et dans une logique de piratage on arrive à tout faire et à tout dire
mais voilà il existe encore des eqpts qui ne supportent pas le WPA
et dans ce contexte le basique est indispensable

Mauvais firmware, changer firmware et si pas de firmware disponible,
mauvais équipement, changer équipement.

pas de wpa pour les eqpts en 11b désolé

Faux, voyez chez Symbol (Spectrum24 11b), Intel (2011/2011b), cisco
(Aironet 340/350), enfin des constructeurs sérieux quoi.

et l'on n'est pas pour autant à ce point victime de piratage.

Encore faut-il que vos données présentent un quelconque intérêt ou
encore que le besoin d'un accès internet pour l'utiliser à des fins
douteuse soit présent.

De plus, la majorité des ap disposent de fonctions de logging qui sont
dans 99% des cas désactivés, donc même s'ils se sont fait troués, le
propriétaire n'est pas au courant, ce qui explique pourquoi on peut
entendre que le piratage d'accès non ou peu protégés n'existe pas.

Didier <charron.didierEnlever@9online.fr> writes:

délire,délire,délire

Une quelconque argumentation, peut-être ?

À part cela, vous quotez comme un goret.

--
«En fait, le but de la fission de fcol etais de creer encore plus de
trafic sur usenet car les newbies postent de toutes facons sur tous les
groupes avec linux dedans.»
-+- MA in Guide du linuxien pervers - "De la linuxitude..." -+-

Le Sat, 07 Jan 2006 19:06:55 +0100, Didier a écrit :

pas de wpa pour les eqpts en 11b désolé

Comme je le disais plus tôt, à part mon AP Linksys antédiluvien, je
n'ai aucun matériel 802.11b qui ne supporte pas WPA. Même les cartes
WiFi Linksys achetées en même temps le supporte, idem avec les Aironet
340/350 (cartes et AP), les Intel IPW2100, etc.

Mais certes, il y a des équipement qui posent problème. Un Nabaztag par
exemple, ou encore un Zaurus avec ROM de base. Mais ce sont des cas super
rares aujourd'hui.

et l'on n'est pas pour autant à ce point victime de piratage.

Encore faut-il s'en rendre compte...


PS : si c'est pour répondre que je délire, tu peux passer ton chemin


--
tu ne veux plus de frjv ben pas compliquer il suffisais de cliquer
avec le bouton droit de la souri (outlook) et de choisir annuler
l'abonnement ! la destruction étais active mais pas pour tous le monde
-+- L in GNU - Détruire, oui, mais tout en gardant -+-

OoO Pendant le repas du samedi 07 janvier 2006, vers 19:06, Didier
<charron.didierEnlever@9online.fr> disait:

mais voilà il existe encore des eqpts qui ne supportent pas le WPA
et dans ce contexte le basique est indispensable

S'ils ne supportent pas WPA, ils doivent en plus ne pas filtrer les IV
faibles. Avec les outils actuels, cela doit se casser en une ou deux
minutes sans efforts particuliers...
--
/*
* For moronic filesystems that do not allow holes in file.
* We may have to extend the file.
*/
2.4.0-test2 /usr/src/linux/fs/buffer.c

Le Mon, 09 Jan 2006 20:05:08 +0100, Didier a écrit :

on est un peu loin du message initial qui tend à rassurer les
particuliers sur l'utilisation du wep ds un contexte wifi qui supporte
du 11b, faute de pouvoir faire autrement

C'est quoi le rapport entre utiliser le WEP et le contexte 11b ? C'est
quoi ce "faute de pouvoir faire autrement" ? Comme on te l'a fait
remarquer précédemment, il y a plein de matériel _802.11b uniquement_
sur les étagères qui supporte le WPA (cf. en bas). Il n'y a donc
_aucune_ corrélation entre le support du 11b seulement (problème
matériel) et le support de WPA (problème de firmware/logiciel).
D'ailleurs, WPA a été conçu pour pouvoir être déployé sur tout
matériel supportant le WEP. Dans la pratique, les équipements qui ne
supportent pas WPA sont des équipements standalone qui n'ont pas assez de
flash pour contenir un firmware étoffé (c'est le cas de mon DLink
DWL1000AP) ou pour lesquels les constructeurs/développeurs ont la flemme
de le mettre (Zaurus par exemple).

Pour ce qui est de l'informatique classique, tout matériel estampillé du
logo WiFi produit après 2003 (publication du WPA) doit supporter le WPA.
C'est une obligation de la WiFi Alliance pour obtenir l'autorisation
d'apposer ce logo sur la boîte. C'est comme ça. Donc pour moi, ce qu'il
faut se demander, ce n'est pas "que faire avec du WEP", mais bien "suis-je
bien sûr que mon matériel ne peut pas être mis à jour" (driver
et/ou firmware). Par exemple, dernièrement, je suis tombé sur un routeur
Netgear qui ne supporte que le WEP avec le firmware de base. Tu vas sur
netgear.com, support, tu ramènes le dernier firmware, et t'as le WPA.

Alors comme je le disais précédemment, la démarche amha n'est pas
de rassurer l'utilisateur, mais de lui expliquer que le WEP est pourri et
que la priorité, c'est pas de faire du cosmétique pour maquiller du
placo-plâtre en porte blindée, mais bien de mettre l'accent sur les
choses qui marchent. Et pour le moment, ce qui tient la route, c'est
WPA/WPA2. Leur expliquer que via certains artifices, ça va aller, c'est
se foutre de leur gueule. Qu'est-ce qu'il va lui arriver le jour où un
amateur d'imagerie pédophile va venir s'installer 2 étage au dessus de
lui et se servira de son accès ? Et quid du gars qui passera son temps à
ramener illicitement des oeuvres protégées via son accès ? Ou tester
ses exploits ? Évidemment, on me dira que je crie au loup et que les mecs
comme ça se comptent sur les doigts d'une main. N'empêche que quand on
lit les channels IRC sur lesquels sévissent des wardrivers, ça laisse
songeur :

_ t'es pas chez tes parents ?
_ si
_ ils ont le net ?
_ non, mais le wifi du voisin d'en dessous si ;)

Et je ne mentionne même pas les accros du net qui se sentent obligés
d'utiliser le premier accès venu pour lire leur mail en buvant leur demi
quand ils débarquent dans un bar. Etc.


Donc en conclusion, votre matériel ne supporte pas le WPA ?

1. En êtes-vous sûr ?
2. Il n'est vraiment pas compatible WEP, alors il faudra
peut-être penser à acheter autre chose...
3. C'est trop tard pour changer, ben là on peut sortir le
maquillage


Quand je lis dans le message original :

"Ce qui est assez agaçant, c'est qu'il y a beaucoup de matériel (routeur,
carte Wifi PCI et PCMCIA), même relativement récent, qui n'offre que
le WEP. Y compris parfois du materiel 802.11g."

Ça me laisse plus que sceptique. Ça fait pas mal de temps que je
travaille sur du matériel WiFi, et je n'ai _jamais_ vu de routeur qu'on
ne puisse pas mettre à jour pour avoir le WPA. De plus, le standard
802.11g date de 2003, ce qui veut dire qu'un matériel supportant ce mode
à d'énormes chances d'avoir été produit après la release de WPA.
J'ai un 3Com 802.11g qui date de cette époque et il le supporte. Idem
pour les cartes PCI et PCMCIA, exception faite des vieux trucs 802.11 à
saut de fréquence qu'on ne trouve plus depuis belle lurette (1999/2000)
sur le marché des particuliers (s'ils y ont déjà été), j'ai toujours
trouvé de quoi les mettre à jour (chipsets Prism, ACX100, etc.). Mais
ça reste une expérience personnelle.


Donc, cher Gilles Volant, vérifiez sur le site du constructeur que votre
matériel ne supporte pas le WPA. Où à la limite, dites-nous ce que
c'est, on vous donnera les pointeurs s'ils existent.


Pour revenir sur le 11b et le support WPA... Si tu prends par exemple les
plus vieilles cartes DLink, genre DWL520 et DWL650 (2001), elles
supportent le WPA, soit par un driver DLink directement, soit en utilisant
un driver générique. Le driver Hostap pour Linux, qui prend en charge
les chipsets Prism 2/2.5/3 qui sont 11b seulement supporte le WPA.
C'était même le premier driver sous Linux à le supporter.


--
BOFH excuse #414:

tachyon emissions overloading the system