MàJ : SFR indique avoir pris connaissance de la vulnérabilité et fera le nécessaire pour la corriger après vérification. Orange évoque de son côté une vulnérabilité de contournement de l'authentification du Wi-Fi via WPS qui affecte un " nombre très limité " de Livebox grand public et pour " certaines configurations très spécifiques. " Un correctif est annoncé en cours de déploiement. Aucune intervention n'est nécessaire côté client.

-----

La technologie WPS (WiFi Protect Setup) et un bouton idoine sur les box d'accès Internet permettent d'associer facilement des appareils afin de leur permettre d'utiliser la connexion Wi-Fi du foyer. Moins sécurisée, une méthode avec code PIN peut également être prise en charge.

L'appairage se fait sans nul besoin de saisir une clé de sécurité WPA2. Via le forum Crack-wifi.com (qui n'est pas à sa première trouvaille), un hacker se présentant en tant que kcdtv a publié une preuve de concept pour prendre à défaut cette mécanique et parle d'un " crack de clé WPA via protocole WPS. "

Grâce à l'exploitation d'une faille 0-day jugée critique, un individu mal intentionné qui passe à proximité est ainsi susceptible d'être en capacité de dérober rapidement une clé WPA. Des box de SFR ainsi que certaines Livebox sont vulnérables. kcdtv assure avoir tenté en vain de prévenir qui de droit.

La vulnérabilité a été démontrée avec la distribution Kali Linux qui regroupe des outils pour les tests de sécurité et intrusion, et en l'occurrence Reaver qui implémente une attaque par force brute à l'encontre de WPS. Certaines box acceptent un code PIN null (ou vide) pour un appairage.

  

Le site spécialisé ZATAZ a confirmé une faille permettant de " passer outre l'authentification par le bouton WPS lancée par une box ", et donc pour intercepter une clé WPA. " Toutes les box ne sont pas concernées, mais nos tests valident la faille pour les Livebox 2 et 3 de chez Orange et Neufbox 4, 6 et 6V pour SFR ", écrit ZATAZ.

En plein mois d'août, voilà qui tombe mal pour une correction avec une mise à jour firmware. Dans l'attente, il est conseillé de désactiver le WPS, ce qui se fait simplement via la page d'administration de la box (http://192.168.1.1 dans le navigateur) et à la catégorie WiFi. Les plus inquiets en profiteront pour modifier leur clé de sécurité après la désactivation.

Des soucis de sécurité avec WPS… ce n'est pas la première fois et sans doute pas la dernière.