Sécuriser son routeur Wi-Fi... pourquoi crypter ?

[Le Dam]

Salut,
Pour sécuriser mon réseau wifi, pourquoi une simple restriction sur les macadress ne serait pas suffisante ?
Ok, il est facile de cloner une adresse mac mais il faudrait déjà trouver celles des bécanes acceptées, non ?

Merci pour vos avis.

[six-p4ck]

quand on fait du sniffing on récupère tous les paquets dans l'air et dedans c'est marqué la mac de la provenance.

Donc facile de récupérer les mac des pc en wifi.

Maintenant j'utilise aussi que le flitrage mac car j'ai des problème d'incompatibilités sur certain pc sur certain type de cryptage.

De toute façon aucun n'est sure à 100%.

[Le Dam]

OK.
Donc, pas d'intérêt non plus à cacher le SSID ?
Le sniffing dont tu parles détecte tout ?

Cela dit, il faut déjà un voisin relativement proche de chez soi et qui plus est, a envie de chipoter...

Dans ce cas, cacher le SSID + restriction MA + WEP ne sert à rien ???
(WPA ne va pas non plus chez moi à cause de l'Imac des enfants et qui ne supporte pas ce cryptage avec le dongle Dlink).

[zircon]

OK.
Donc, pas d'intérêt non plus à cacher le SSID ?
Le sniffing dont tu parles détecte tout ?

Effectivement, cacher le SSID n'est pas très utile contre le sniffing (pour schématiser, quand tu te connectes sur ton WiFi, tu demandes "MON_SSID, es-tu là" et ton routeur répond "MON_SSID, présent"; ton SSID est alors connu)

Dans ce cas, cacher le SSID + restriction MA + WEP ne sert à rien ???

Disons que le WEP évite que n'importe qui puisse se connecter juste en cliquant sur ton réseau. Mais contre quelqu'un qui veut réellement y accéder, ça ne sert pas à grand chose.
Cacher son SSID et activer la restriction MA ne sont pas utiles si le cryptage WEP est actif : quelqu'un capable de casser ta clé WEP ne sera pas gêné plus de 30secondes par ces restrictions.

(WPA ne va pas non plus chez moi à cause de l'Imac des enfants et qui ne supporte pas ce cryptage avec le dongle Dlink).

Disons que le WPA assure une sécurité plus que suffisante pour le commun des mortels (à condition de prendre une clé assez résistante); si ce cryptage n'est pas possible, le WEP est un moindre mal.

[pascuol]

c'est toujours mieux que rien

et tout dépend de ton utilisation..

si tu es connecté en wifi non-stop (p.e :pour download) là, toute ces protections ne ralentiront le hacker que d'une minute tout au plus.

Par contre si tu ne t'y connectes que très peu, le hacker doit être là au moment ou tu t'y connectes pour avoir ta mac et le ssid. (soit y en passant il m'arrive de laissser le portable allumer 24h en mode snif, voir plus, sans net je me mets a trembler, convulser, baver, ...)

par contre le wep n'en parlons pas c'est de la couille.. bien que ce n'est pas a la portée de n'importe quel blaireau de cracker un wep sans client.


Perso je n'utilise que le filtrage mac (mais pas sur le routeur wifi mais sur mon serveur linux), ssid caché ça m'énerve on met plus de temps pour s'y connecter, le wep ca sert a rien, et le wpa ca coupe le flux video toute le 5 minutes..

Alors pour sécuriser quand meme au mieux une telle connexion, le mieux est de changer le range de ton rezo, ne pas utiliser le truc bidon 192.168.0-1.x mais plutot du 10.x.x.x ou encore moins connu en classe B 172.16-31.x.x avec des ips de routeur et pc assez inabituelles pas .1 et .254 et tant qu'à faire avec un mask autre que 255.0/255.0/255.0 mais la il te faut un peu de connaissance en addressage.

il faut savoir aussi que meme si le clonage mac est assez facile, il en est tout aussi difficile de se connecter en wifi avec la meme mac d'un pc lui meme connecté au wifi en train de transférer.
Aussi une fois la mac clonée, le premier geste du hacker est de voir s'il peut reconfigurer le modem pour y ajouter de nouvelles mac, donc protege le modem d'un mot de passe.

Puis dans mon cas j'ai un serveur linux qui gere le rezo et tout y es loggué, il me suffit de temps en temps de jeter un oeil pour etre sur que tout va bien, comme toi il te suffirait de jeter un oeil sur la led internet de ton modem pour voir s'il elle clignote quand tu n'est pas sur le net.


Sinon le must du must reste le serveur radius.. il ne permettra pas au hackeur de surfer autrement que quand tu es en train de surfer toi meme => donc conflit de mac et quasi impossible d'afficher un page..

[Le Dam]

Cacher son SSID et activer la restriction MA ne sont pas utiles si le cryptage WEP est actif

J'essaye de comprendre.
Si le cryptage WEP est actif, il sera plus facile de pénétrer sur le réseau que si la clé WEP est désactivée ???
Non, j'imagine... Tu veux sans doute dire qu'il sera aussi facile pour quelqu'un de casser la clé WEP que pour retrouver les SSID et les MA ?

(tiens, j'ai entendu dire que les clés WPA ralentissent les débits, vrai ???)

[pascuol]

Cacher son SSID et activer la restriction MA ne sont pas utiles si le cryptage WEP est actif

J'essaye de comprendre.
Si le cryptage WEP est actif, il sera plus facile de pénétrer sur le réseau que si la clé WEP est désactivée ???
Non, j'imagine... Tu veux sans doute dire qu'il sera aussi facile pour quelqu'un de casser la clé WEP que pour retrouver les SSID et les MA ?

[...] gêné plus de 30secondes par ces restrictions.

[...] ne ralentiront le hacker que d'une minute tout au plus.

bref le hacker perdra entre 30 secondes et une minute.. mais bloquera le blaireau

(tiens, j'ai entendu dire que les clés WPA ralentissent les débits, vrai ???)

et le wpa ca coupe le flux video toute le 5 minutes..

en fait chaque fois qu'il renégocie une clé de cryptage..
mais bon avec du bon matos, ca devrait passer.
Question débis: tu perd le temps processeur pour décrypter tes paquets.. et le temps de renégocier les clés ..

[ndub]

Désactiver le DHCP et mettre les adresses actives en dur évite qu'un petit malin puisse obtenir une adresse, car elles sont toutes prises. Encore plus facile si tu n'a qu'un seul client wifi. Une fois finie ta session wifi, il ne faut pas oublier de désactiver le point d'accès...
Comme toujours, la sécurité ne va pas de pair avec le confort d'utilisation.

[zircon]

Cacher son SSID et activer la restriction MA ne sont pas utiles si le cryptage WEP est actif

J'essaye de comprendre.
Si le cryptage WEP est actif, il sera plus facile de pénétrer sur le réseau que si la clé WEP est désactivée ???
Non, j'imagine... Tu veux sans doute dire qu'il sera aussi facile pour quelqu'un de casser la clé WEP que pour retrouver les SSID et les MA ?

bref le hacker perdra entre 30 secondes et une minute.. mais bloquera le blaireau

Ce que je voulais dire, c'est que le WEP suffit à bloquer le "blaireau" et que filtrage mac et cacher le SSID ne gênera pas le "non-blaireau"

(tiens, j'ai entendu dire que les clés WPA ralentissent les débits, vrai ???)

et le wpa ca coupe le flux video toute le 5 minutes..

en fait chaque fois qu'il renégocie une clé de cryptage..
mais bon avec du bon matos, ca devrait passer.
Question débis: tu perd le temps processeur pour décrypter tes paquets.. et le temps de renégocier les clés ..

Pour autant que je sache il n'est pas obligatoire de renégocier la clé, tu peux lui donner un temps de vie infini.

[Le Dam]

Bon... j'étudie le fait de passer en WPA sur l'iMac et je passe le réseau en WPA.
Pas spécialement peur vu que je n'ai pas de quotat mais je n'ai pas envie que des rigolos utilisent ma connexion pour faire des choses mal intentionnées.

Merci à tous pour vos interventions !

[cougilou]

ramassis de conneries ici, ou l'on croit que casser une clé ,même wep, peut se faire en une minute....
Seul celui qui a déjà essayé (moi par ex.,chez moi d'ailleurs, 3 jours à me prendre la tête,mais j'y suis arrivé) sait qu'il y a des tas de choses à maitriser:

-connaissances linux
-carte wifi compatible linux
-carte wifi avec possibilité de "monitor mode"
-carte wifi capable d'injecter des packets dans le réseau wifi

et je ne parle pas des mac adr., ou le dhcp désactivé,puis commence le hack du pc..encore une autre paire de manches.

somme toute le dam, à part avoir un manque de bol et tomber sur le fils spirituel de "Morpheus" du film Matrix, tout ce que tu risques,c'est de perdre une journée à configurer ton routeur wifi pour rien.

Et puis entre nous, le gars qui est capable de le faire a autre chose à f..... de ses journées...

[ON5MJ]

Cougilou,

Chargez Backtrack 3 et vous avez tout dedans y compris Linux. J'ai fait récemment des tests de crack de WEP avec un bête portable ACER: entre 3 et 30 minutes. Mais c'est vrai que cela pourrait durer plusieurs heures. J'ai installé une version sur une clef USB de 1 GB que j'ai transformée pour enregistrer les configurations. Les SSID et MAC adresses, là ce sont des secondes qu'on compte.

WPA c'est autrement plus coton. Et WPA2 particulièrement. Choisir AES. Si en cas, il existe une version open source de radius (Freeradius) qui fonctionne bien. Certains switch Wifi sont équipés en standard d'un serveur Radius (dont le Cisco Aironet 1200). Voir aussi à installer un proxy avec login-mot de passe avec accès par un tunnel mais là cela commence à faire lourd.

En fait, il faut voir le cahier des charges. Pour un privé WPA est simple mais tout le monde a la même clef. Pour du pro, WPA2 entreprise s'impose.

[zircon]

ramassis de conneries ici, ou l'on croit que casser une clé ,même wep, peut se faire en une minute....

1 minute, peut-être pas, mais 5-10 avec le bon matériel, pas beaucoup plus

Seul celui qui a déjà essayé (moi par ex.,chez moi d'ailleurs, 3 jours à me prendre la tête,mais j'y suis arrivé) sait qu'il y a des tas de choses à maitriser:

Le première fois, effectivement, ça demande du temps d'apprentissage, par après...

-connaissances linux

Vu le nombre de tuto dispo ainsi que les distributions spécialement orientée pour celà, ça ne relève tout de même pas de l'exploit.

-carte wifi compatible linux
-carte wifi avec possibilité de "monitor mode"
-carte wifi capable d'injecter des packets dans le réseau wifi

ipw2200, la carte 2ème carte wifi ayant équipé les portables centrino.
On peut pas dire que ce soit une carte rarissime.

et je ne parle pas des mac adr., ou le dhcp désactivé,puis commence le hack du pc..encore une autre paire de manches.

Mwouais, encore une fois, une fois lé clé WEP trouvée, ce genre de protection ne fait que légèrement retarder l'intrus.

somme toute le dam, à part avoir un manque de bol et tomber sur le fils spirituel de "Morpheus" du film Matrix, tout ce que tu risques,c'est de perdre une journée à configurer ton routeur wifi pour rien.

Je ne vois pas en quoi tu perds une journée. Configurer ton routeur en WPA au lieu de WEP, ça ne demande que quelques clics.

[Pierre4000]

ramassis de conneries ici, ou l'on croit que casser une clé ,même wep, peut se faire en une minute....

1 minute, peut-être pas, mais 5-10 avec le bon matériel, pas beaucoup plus

Ca m'a mis 20 minutes avec une bete carte Wifi PCI

Seul celui qui a déjà essayé (moi par ex.,chez moi d'ailleurs, 3 jours à me prendre la tête,mais j'y suis arrivé) sait qu'il y a des tas de choses à maitriser:

Le première fois, effectivement, ça demande du temps d'apprentissage, par après...

Mouais... Dans les bidules qu'on trouve sur le et, y'a souvent un joli petit readme.txt qui indique la marche à suivre.

-connaissances linux

Vu le nombre de tuto dispo ainsi que les distributions spécialement orientée pour celà, ça ne relève tout de même pas de l'exploit.

Tous ces bidules existent en exécutable pour windows, faut juste savoir utiliser une ligne de commande...

-carte wifi compatible linux
-carte wifi avec possibilité de "monitor mode"
-carte wifi capable d'injecter des packets dans le réseau wifi

ipw2200, la carte 2ème carte wifi ayant équipé les portables centrino.
On peut pas dire que ce soit une carte rarissime.

Quasiment toutes les cartes sont supportées (hors USB), suffit de regarder la liste des chipset compatibles, et y'en a une volée

et je ne parle pas des mac adr., ou le dhcp désactivé,puis commence le hack du pc..encore une autre paire de manches.

Mouais, encore une fois, une fois lé clé WEP trouvée, ce genre de protection ne fait que légèrement retarder l'intrus.

Pareil.

somme toute le dam, à part avoir un manque de bol et tomber sur le fils spirituel de "Morpheus" du film Matrix, tout ce que tu risques,c'est de perdre une journée à configurer ton routeur wifi pour rien.

Je ne vois pas en quoi tu perds une journée. Configurer ton routeur en WPA au lieu de WEP, ça ne demande que quelques clics.

Et ce que tu risques c'est pas simplement que quelqu'un squatte ta connexion, mais qu'il en fasse un usage répréhensible...

[cougilou]

mmouai, tout d'abord pour les programmes de crack wifi qui tournent sous windows, pratiquement aucun n'est réellement valable.(voir certains forum sur le sujet,plein de personnes qui ne trouvent aucune carte compatible)

Ensuite, comme un "spécialiste" dis que la carte pw2200 qui équipe notamment les centrino convient, je dis que non, car si cette carte passe bien en mode 'monitor", l'injection de packets est extrêmement mauvaise.

Enfin,je met au défi à n'importe quel quidam de la rue de squatter une protection wep en 10 minutes....arrêtons de rêver.(en plus si le signal wifi est à moins de 40% dans la rue,ce qui est pratiquement toujours le cas, l'injection est encore plus longue)

évidemment rien ne peut arrêter une homme décidé, mais bon il faut relativiser.

La peur du piratage ou des logiciels vérolés sont des armes de vente efficace, confirmés par un topic comme celui-ci...

[zircon]

Ensuite, comme un "spécialiste" dis que la carte pw2200 qui équipe notamment les centrino convient, je dis que non, car si cette carte passe bien en mode 'monitor", l'injection de packets est extrêmement mauvaise.

En monitor non, mais en managed, oui.
300/400 IVs par seconde; c'est loin d'être mauvais pour moi :p (bon ok, ça demande que quelqu'un soit déjà connecté à l'AP)

Enfin,je met au défi à n'importe quel quidam de la rue de squatter une protection wep en 10 minutes....arrêtons de rêver.

Bah la dernière fois que j'ai essayé, j'ai lancé l'attaque, je suis parti faire quelques courses et à mon retour 15-20 minutes plus tard, j'avais largement assez d'IV pour trouver la clé.
A 400 IV/s, sachant que les nouvelles attaques peuvent se contenter (selon ce que j'ai lu, je n'ai pas tenté avec si peu) de 40000 IV pour trouver la clé, il te suffit de 100 secondes pour avoir assez de données.

évidemment rien ne peut arrêter une homme décidé, mais bon il faut relativiser.

Bah avec le WPA, je ne connais pas d'attaques possibles (à part le brute-force)

[ON5MJ]

Le problème n'est pas de se protéger contre un voisin lambda qui pomperait votre compte via une connexion wifi non sécurisée car là généralement la solution WEP est suffisante. Le voisin lambda ne sait généralement pas quoi faire avec une connexion sécurisée légèrement et abandonne.

Le problème se pose quand le voisin veut aller un peu plus loin et qu'il n'a pas deux mains gauches en informatique. S'il se renseigne sur le net il trouvera facilement des programmes (surtout en Linux et avec tous les tutos voulus) qui déplombent sans efforts certaines choses telles que le SSID et l'adresse MAC. Pour peu qu'il installe une antenne directive à gain son signal peut être suffisant. Se prenant au jeu il apprend du même coup qu'on peut craquer une protection WEP. Les nouvelles techniques (voir sur BackTrack 3 par exemple), en effet, n'ont besoin que de 40.000 IV pour craquer la clef - je l'ai fait récemment avec 35.000 IV. On laisse tourner le biniou et quand on revient c'est dans la poche.

Côté WPA et WPA2 c'est une autre paire de manches et jusqu'à présent seules les attaques par force brute - dictionnaire fonctionnent, mais là cela prend beaucoup plus de temps. On peut aussi ajouter de la sécurité par un tunnel sécurisé et une identification par login-mot de passe sur une page web. Le principe de la sécurité n'est pas d'être une sécurité absolue mais d'opposer une barrière qui demande tant d'énergie et de temps à être franchie que le jeu n'en vaut pas la chandelle. Mais si le jeu en vaut la chandelle, alors cela craint.

Revenons à la clef WEP, dès que le voisin a craqué une clef, non seulement il peut pomper vos quotas mais il peut surtout spoofer une adresse MAC et faire des choses illégales en votre nom sans être connu. Car c'est le propriétaire de la connexion internet sur qui on tombe. Et en plus, si le cracker n'est pas trop mauvais il pourra installer à distance des vers dormants dont il pourra se servir pour déclencher des attaques sans même que la connexion Wifi soit en place. Ce danger est faible mais pas nul. Et vu que les clefs WPA et WPA2 sont faciles à installer, il vaut mieux le faire. La difficulté réside généralement à créer une clef (ou plusieurs pour le WPA2) et bien sûr de savoir lire un tuto.

[Darts]

Et en plus, si le cracker n'est pas trop mauvais il pourra installer à distance des vers dormants dont il pourra se servir pour déclencher des attaques sans même que la connexion Wifi soit en place.

Whowhow, si cracker un WEP à à la portée de n'importe qui sachant lire, avoir accès à un ordinateur protégé par un mdp (même windows) est une autre affaire.
Depuis le SP2 WinXP le mdp de session est obligatoire ce qui limite grandement l'accès libre aux partages administratifs.

Petite remarque pour le WPA, on considère généralement qu'une clé alphanumérique maj/min de plus de 21 caractères générée aléatoirement est sure car il faudrait quelques années à des PC actuels pour la trouver en brute force. Personnellement je change ma WPA tout les ans plus par acquis de conscience que par réelle inquiétude.

[ON5MJ]

Je suis presque d'accord avec la remarque, à la nuance suivante près: beaucoup de gens en réseau partagent leurs répertoires mutuels en se disant qu'il y a une protection WEP pour la radio. C'est la porte ouverte au sniffing et à l'accès à tout dès lors que la clef WEP est cassée.

Pour l'usage de WPA je suis assez d'accord pour dire que c'est suffisant comme vous le dites, mais une nuance aussi: si plusieurs personnes se connectent légalement au bridge Wifi, ils ont tous la même clef WPA. Cette clef se balade donc dans la nature et pourrait être détournée (ne serait-ce que si le portable est volé). Donc si plusieurs personnes ont accès au réseau Wifi, il vaut mieux une solution utilisant des clefs individuelles qu'on peut bloquer, une par une. Donc WAP2 sinon WAP2 entreprise mais c'est plus lourd.

[Darts]

Hmmm, il me semble que l'accès à une ressource partagée requiert tout de même une authentification de session non?