Vulnérabilités dans l’établissement d’une liaison Wi-Fi Protected Access II (WPA2)

Numéro : AL17-012
Date : 16 octobre 2017

Objet

La présente alerte a pour but d’attirer l’attention sur de multiples vulnérabilités critiques dans WPA2, un protocole qui sécurise tous les réseaux Wi-Fi protégés modernes.

Évaluation

Le CCRIC a pris connaissance de multiples vulnérabilités critiques dans le trafic d’établissement de liaisons WPA2. Ces vulnérabilités peuvent être manipulées pour induire la réutilisation d’une clé nonce et d’une clé de session, ce qui pourrait entraîner la réinstallation d’une clé par un point d’accès sans fil ou un client. Cela pourrait alors permettre le décryptage et l’injection arbitraires de paquets, le détournement de connexions TCP, l’injection de contenu HTTP ou la reprise de trames de monodiffusion, de diffusion et de multidiffusion.

Étant donné que ces vulnérabilités se trouvent dans la norme Wi-Fi, elles ne sont pas liées à des produits particuliers ou à leur mise en œuvre. Cependant, la mise en œuvre correcte du protocole WPA2 est probablement touchée.

Le protocole WPA2 est touché par les vulnérabilités suivantes :

Mesure suggérée

Le CCRIC recommande aux administrateurs de réseau d’installer les mises à jour dans les produits touchés au fur et à mesure qu’elles sont publiées, et de consulter le fournisseur afin d’obtenir des conseils particuliers d’atténuation des risques.

Références

https://www.kb.cert.org/vuls/id/228519
https://papers.mathyvanhoef.com/ccs2017.pdf
https://www.krackattacks.com

Note aux lecteurs

En appui à la mission de Sécurité publique Canada de bâtir un Canada sécuritaire et résilient, le mandat du CCRIC est d'aider à assurer la sécurité et la résilience des cybersystèmes essentiels non gouvernementaux à la base de la sécurité nationale, de la sécurité publique et de la prospérité économique du pays. À titre d'équipe d'intervention en cas d'incident lié à la sécurité informatique du Canada, le CCRIC agit comme centre national de coordination pour la prévention, l'atténuation, l'intervention et le rétablissement liés aux incidents cybernétiques commis contre des systèmes non fédéraux. Pour ce faire, il formule des conseils éclairés, offre du soutien et coordonne l'échange de renseignements ainsi que l'intervention.

S'il vous plaît noter que la clé PGP du CCRIC a récemment été mise à jour.
http://www.securitepublique.gc.ca/cnt/ntnl-scrt/cbr-scrt/_fl/CCIRCPublicPGPKey.txt

Pour obtenir des renseignements de nature générale, veuillez communiquer avec la division des Affaires publiques de l'organisme :

Téléphone : 613-944-4875 ou 1-800-830-3118  
Télécopieur : 613-998-9589 
Courriel : ps.communications-communications.sp@canada.ca

Date de modification :