AirSnitch : l’attaque Wi-Fi qui contourne l’isolation en 2 secondes

Pourquoi l’isolation des clients Wi-Fi échoue-t-elle ?

Il n’existe pas de norme commune à toute l’industrie. Chaque fabricant a développé sa propre version, et les chercheurs ont trouvé des failles partout. Trois voies principales sont décrites.

La première exploite la clé temporaire de groupe (GTK), une clé de chiffrement partagée pour diffuser un message à tous les appareils. Un attaquant glisse un paquet destiné à une victime dans ce qui ressemble à une diffusion du routeur, et la victime l’accepte.

La deuxième, le « rebond par la passerelle », tire parti d’un blocage incomplet. Beaucoup d’appareils interdisent la communication directe au niveau MAC (adresses matérielles), mais pas au niveau IP. L’attaquant adresse donc ses données au routeur, en indiquant la victime comme destination IP finale, et le routeur les transmet.

La troisième, le « vol de port ». Un point d’accès moderne dispose de plusieurs accès (BSSID) selon les bandes de fréquence et les réseaux principal et invité, traités en interne comme des ports virtuels distincts. Si l’attaquant se connecte par le réseau invité en usurpant l’adresse MAC de la victime, le point d’accès croit qu’elle a bougé et lui envoie son trafic entrant.

Que peut faire un attaquant ?

Sur un Wi-Fi invité ouvert, sans mot de passe, le trafic de la victime part sans son chiffrement habituel. En usurpant l’adresse MAC du routeur, on capte aussi le trafic sortant vers Internet.

En combinant interception et réinjection, l’attaquant s’installe en position d’homme du milieu, presque à l’insu de la victime. Lors des essais, l’équipe a écouté sans délai, depuis le Wi-Fi invité, un appareil du Wi-Fi principal. Elle a aussi espionné le trafic d’un serveur d’authentification RADIUS d’entreprise, déchiffré un mot de passe et monté un faux point d’accès captant échanges et identifiants.