La rumeur était partie d’un réputé forum dédié au wifi et à sa sécurité. Une faille permet de bypasser l’authentification par le bouton WPS lancée par votre box. ZATAZ a pu tester la chose pour SFR et Orange ! Ca pique !

Le bouton WPS de votre box, vous ne le connaissez peut-être pas, mais il permet une connexion avec votre télévision connectée, Google Home ou autres objets « IoT » de se brancher à votre box Internet sans être de obligé de taper les 20 à 26 caractères constituant votre clé WPA.

Bilan, grâce à ce WPS, en quelques secondes, les appareils sont reconnus et peuvent utiliser la connexion WIFI proposées par votre box. Ce jeudi matin, le forum Crack Wifi, a diffusé un message traitant d’une faille visant ce fameux WPS. Un pirate informatique peut intercepter votre clé de connexion, et cela en quelques secondes. Chez Numericâble, en 2015, un problème était corrigé après un protocole d’alerte de ZATAZ visant la possibilité d’espionnage via sa box.

Avec quelques amis techniciens, ZATAZ a testé la chose et je peux confirmer le GROS problème qui pointe son nez en ce mois d’août ! C’est simple, imaginez, un script et un ordinateur (comme sur notre photo, NDR) se promenant dans votre ville et récupérant, à la volée, les clés WPA qui passent. ATTENTION : il n’est pas utile de cliquer sur le bouton WPS pour intercepter l’information !

Je peux confirmer que, par défaut, le WPS passe à vide. Bilan, une grande partie des clients Orange et SFR sont touchés par cette faille. Toutes les box ne sont pas concernées, mais nos tests valident la faille pour les Livebox 2 et 3 de chez Orange et Neufbox 4, 6 et 6V pour SFR.

Pour se protéger, je vous conseille quatre actions à effectuer car rien n’empêche de penser que la collecte des clés WPA n’est pas en cours depuis plusieurs jours : désactiver le WPS dans l’administration de votre box ; changer le code WPA, cacher le SSID (le nom de votre connexion) et profitez de votre opération de maintenance pour installer la sécurisation de votre matériel en exploitant l’authentification MAC.

airodump-ng –encrypt wpa wlan0

Chaque appareil (ordinateur, console, smartphone, …) possède sa propre adresse MAC, sorte de carte d’identité du matos. Il suffit de rentrer cette adresse MAC dans votre box pour autoriser vos appareils à se connecter à votre wifi. Les machines qui ne sont pas répertoriées resteront à la porte de votre box comme je peux vous le montrer dans les deux captures écran ci-dessous.

Attention, la protection par adresse MAC n’est pas la protection ultime. Il existe des outils qui permettent « d’écouter » les communications entre un appareil autorisé, comme un ordinateur portable, et la box. Un malveillant capture cette adresse MAC, avec un outil tel que Airodump-ng et peut la réutiliser dans sa propre machine, ordinateur ou téléphone portable. Une action (spoofing d’adresse Mac) qui permet de leurrer la box. Cette dernière pensant être en présence d’un appareil autorisé. Actionner les adresses MAC va donc permettre de freiner un agresseur faible.

Pour accéder à l’administration de votre box : http://192.168.1.1.

Ce n’est pas la première fois que les Box ou le WPS sont montrés du doigt. En 2011, des chercheurs américains avaient découvert un bug dans certaines box permettant de faire « sauter le WPS. Orange, il y a deux ans faisait une mise à jour de ses box qui faisaient sauter les identifiants de l’administration, tout les mots de passe étaient revenus sous la forme de admin:admin. En 2014, je vous révélais le bug de certaine box Bouygues Télécoms qui permettait, avec l’ip d’un client, d’accéder à son matériel connecté (clé USB, Disque dur) en rajoutant l’accès au port 8888 dans l’url.

Mise à jour 20/08/2017 : Les deux opérateurs ont corrigé la faille.

(FCW)