Quand le WPA3 joue à Games of Thrones, ça donne des trous...!

Pas facile comme démarrage pour le WPA3, le protocole est arrivé en juin 2018 afin de compenser au plus vite le WPA2 - sans le remplacer, car ce dernier peut encore continuer à être utilisé - mis à mal par KRACK et victime d'une bonne dizaine de failles, certes souvent patchées par les constructeurs, mais pas systématiquement évidemment selon le sérieux du suivi et du support des boites concernées. Bien sûr, le WPA3 demande encore à se répandre chez les appareils connectés divers et variés, pourtant les trouvailles récentes laissent déjà à penser que face à l'urgence de protéger de la menace KRACK le développement du nouveau standard aurait malheureusement été achevé un peu à la hâte et en conséquence mal fini. C'est en tout cas l'avis des chercheurs de sécurité, dont une fois de plus Mathy Vanhoet (le découvreur de KRACK) - cette fois-ci en coopération avec Eyal Ronen de l'Université de Tel-Aviv et le groupe de recherche KU Leuven. Ensemble, ils ont ainsi déjà distingué deux types de défauts du WPA3 : un premier qui permet des attaques de déclassements, et un autre qui consiste en des attaques par canaux auxiliaires permettant de laisser échapper des informations à propos du mot de passe utilisé ! Elles ont assez poétiquement été baptisées "Dragonblood". Un nom qui n'a évidemment pas été choisi au hasard, puisque les failles ont pour origine le nouveau protocole handshake introduit par WPA3 appelé "Dragonfly" (libéllule).

Un p'tit peu plus en détail, la première attaque a notamment été rendue possible par l'autorisation de la WiFi Alliance pour l'incorporation des handshakes du WPA2 au sein du WPA3, ce dans le but d'assurer une rétrocompatibilité avec le matériel plus ancien. Ainsi, un hacker peut par exemple forcer l’exécution d'un four-way handshake WPA2 partiel, lequel peut ensuite être visé d'une attaque par force brute. Une autre méthode consiste à exploiter le déclassement vers une courbe elliptique plus faible du handskahe Dragonfly du protocole WPA3. Un client compatible avec les courbes P-521 et P-256, et qui les utilise dans cet ordre, peut se voir forcé de n'utiliser que la courbe elliptique P-256, résultant en un chiffrement plus faible.

Du côté des attaques par canaux auxiliaires, c'est l'encodage du mot de passe par Dragonfly qui est visé. La première méthode se sert du cache et exploite l'algorithme hash-to-hash de Dragonfly, tandis que l'autre attaque basée sur la synchronisation exploitera cette fois-ci l'algorithme hash-to-group. Ensuite, les informations obtenues par ces biais autoriseront l'exécution d'une attaque par partitionnement du mot de passe, assez identique à une attaque par dictionnaire.

Pour ne rien arranger au tableau du WPA3, selon les chercheurs, les attaques par canaux auxiliaires seraient particulièrement efficaces et abordables ! Par exemple, il ne leur aurait fallu qu'une quarantaine de handskahes et 125$ pour des instances EC2 chez Amazon pour casser toutes les possibilités de 8 caractères des mots de passe en minuscule.

Naturellement, les chercheurs collaboraient déjà avec la WiFi Alliance pour faire le nécessaire bien avant la publication au grand jour des vulnérabilités Dragonblood. Le consortium cherche à rassurer en jouant la carte d'un protocole peu répandu et encore peu adopté par les constructeurs, et donc un nombre de personnes à risque très limité. La WiFi Alliance promet aussi une mise à jour du standard et un programme de certification autour des protections contre DragonBlood. Soit, c'est un minimum et c'est certainement mieux de le faire dans la foulée avant que le protocole soit présent sur des millions de périphériques très aléatoirement mis à jour, mais ces 1ers soucis semblent aussi mettre en évidence une conception du WPA3 qui laisserait finalement un peu à désirer,  ce qui voudrait donc dire que ce n'est potentiellement qu'un début...

Et qu'en penserait Hodor... ? (Et nous on préfère les dragons aux libéllules, na !)