Bonjour et bienvenue dans cette vidÃ©o intitulÃ©e Â« Introduction Ã la transmission simultanÃ©e SAE Â».
Authentification des Ã©gaux.
Dans cette vidÃ©o, nous allons donc commencer Ã aborder les dÃ©tails de la maniÃ¨re dontâ¦
WPA3 gÃ©nÃ¨re des valeurs uniques d'une maniÃ¨re diffÃ©rente de WPA2.
Passons maintenant rapidement en revue quelques concepts clÃ©s.
Tout d'abord, rappelez-vous qu'un PMK signifie Â«Â pairwise master keyÂ Â» (clÃ© maÃ®tresse par paire).
Rappelons que le Wi-Fi sÃ©curisÃ© repose sur une architecture rÃ©seau de sÃ©curitÃ© robuste.
La norme 802.11i nÃ©cessite l'utilisation de plusieurs clÃ©s.
La clÃ© maÃ®tresse par paire Ã©tant une clÃ© de base fondamentale que vous utilisez gÃ©nÃ©ralement
Pour commencer. Ensuite, d'autres clÃ©s de chiffrement et d'intÃ©gritÃ©, telles que la clÃ©.
La clÃ© de chiffrement et la clÃ© temporelle sont finalement dÃ©rivÃ©es de la PMK.
avec une Ã©tape intermÃ©diaire.
Alors, comment obtenir cette clÃ© maÃ®tresse par paire ?
Eh bien, nous en avons parlÃ© dans certaines vidÃ©os prÃ©cÃ©dentes, cela peut provenir de l'un des
deux endroits. Si vous effectuez un Ã©change 802.1x complet avec WPA Enterprise,
Le serveur d'authentification RADIUS vous fournira alors un long maÃ®tre
clÃ© de session. Vous la diviserez en deux et vous renommerez la premiÃ¨re moitiÃ©.
ou rÃ©utiliser comme clÃ© maÃ®tresse par paire.
Si vous utilisez WPA personnel, nous allons utiliser votre phrase de passe WPA.
ou la clÃ© prÃ©-partagÃ©e de votre rÃ©seau local sans fil.
Et nous allons traiter cela Ã l'aide d'une formule qui permettra de
puis dÃ©river la clÃ© maÃ®tresse par paire.
Finalement, quelle que soit la mÃ©thode employÃ©e, la clÃ© maÃ®tresse par paire est partagÃ©e.
entre le client Wi-Fi et le point d'accÃ¨s.
Et ensuite, nous en dÃ©duisons les clÃ©s suivantes.
Dans le cadre d'une rÃ©vision du protocole WPA2 personnel, la clÃ© principale par paire a Ã©tÃ© dÃ©rivÃ©e.
en prenant votre clÃ© prÃ©-partagÃ©e, votre clÃ© prÃ©-partagÃ©e WPA2 comme Ã§a, vous
avait quelque part sur le mur ou que tu as envoyÃ© Ã tout le monde par e-mail, comme
Notre mot de passe Wi-Fi est Cisco123.
Notre mot de passe Wi-Fi est Â«Â cafÃ© est excellentÂ Â».
Quel que soit le mot de passe Wi-Fi en WPA2, celui-ci, associÃ© au SSID, est utilisÃ©
Ce qu'on appelait un sel Ã©tait intÃ©grÃ© Ã la dÃ©rivation de clÃ© basÃ©e sur le mot de passe.
fonction au PBKDF2.
Le problÃ¨me, c'Ã©tait plusieurs choses.
PremiÃ¨rement, il Ã©tait cassable.
Les gens ont commencÃ© par une sorte de chose vraiment facile, simpliste, facile Ã deviner
Le mot de passe Wi-Fi, les gens pouvaient le deviner.
S'ils pouvaient observer la poignÃ©e de main EPUV ou LAN Ã quatre voies lors d'un Ã©vÃ©nement particulier
Le client se connectait au rÃ©seau local sans filÂ ; ils ont pu le rÃ©troconcevoir car
La fonction PBKDF2 est rÃ©tro-ingÃ©nierable et ils pourraient en dÃ©duire
quelle Ã©tait cette phrase de passe.
Un autre inconvÃ©nient Ã©tait que cela aboutissait Ã la mÃªme clÃ© maÃ®tresse par paire pour chaque
Client WPA2. Il y avait donc un inconvÃ©nient majeur.
Ainsi, lors du dÃ©veloppement du WPA3, ils se sont dit : Â« Il faut faire quelque chose. Â»
Ã ce sujet. Nous devons rÃ©gler ce problÃ¨me.
Donc, dans le WPA3 personnel, Ã©galement connu sous le nom de WPA3SAE, ils ont dit : nous allons
Supprimer cette fonction PBKDF2 et la remplacer par la
Authentification simultanÃ©e de la poignÃ©e de main d'Ã©galitÃ© appelÃ©e poignÃ©e de main SAE.
On appelle Ã©galement cela la poignÃ©e de main de la libellule.
Vous verrez donc ces deux termes utilisÃ©s indiffÃ©remment.
Alors, en quoi cela change-t-il vraiment les choses ?
Eh bien, la grande diffÃ©rence rÃ©side ici, et nous allons approfondir les aspects mathÃ©matiques de ce sujet.
Une autre vidÃ©o explique que, lors de l'Ã©tape d'authentification proprement dite, vous
Utilisez une mÃ©thode similaire Ã celle de Diffie-Hellman, pas exactement Diffie-Hellman, mais trÃ¨s proche.
En thÃ©orie, cela implique un Ã©change de clÃ©s pour crÃ©er des paires de clÃ©s maÃ®tresses uniques.
par client. L'idÃ©e est donc qu'avec le WPA2 personnel, chaque station
connectÃ© au rÃ©seau local sans fil, quel qu'il soit, a commencÃ© par
avec exactement la mÃªme clÃ© maÃ®tresse par paire.
Il s'agit d'un rÃ©seau WPA2 personnel.
Dans le WPA3 personnel, nous utilisons une formule diffÃ©rente appelÃ©e SAE, qui donne les rÃ©sultats suivants :
dans chaque station possÃ©dant une clÃ© maÃ®tresse unique par paire.
Alors, comment pouvons-nous concrÃ¨tement le constater ?
En WPA3, le processus d'authentification simultanÃ©e par Ã©galitÃ© fonctionne en rÃ©alitÃ© comme suit :
modifie les trames d'authentification 802.11 de plusieurs maniÃ¨res.
PremiÃ¨rement, rappelez-vous qu'en norme 802.11, que vous utilisiez le WPA ou
Si vous effectuez une analyse de trafic rÃ©seau avec un outil comme Wireshark, vous pourriez rencontrer le problÃ¨me suivant avec le WPA2Â :
Vous verrez un grand nombre de balises, puis peut-Ãªtre un client de rÃ©seau local sans fil.
envoyer une requÃªte de sondage, recevoir une rÃ©ponse de sondage, et ensuite que se passerait-ilÂ ?
Vous voyez ensuite ? Vous verrez une trame de gestion 802.11 appelÃ©e, en fait,
Il se peut que ce soit un repÃ¨re de contrÃ´le.
Quoi qu'il en soit, une trame 802.11 appelÃ©e authentification est envoyÃ©e du client au
point d'accÃ¨s, et on parlerait d'authentification ouverte.
Donc, le code de type rÃ©el serait une valeur pour Â«Â ouvertÂ Â», et ensuite vousâ¦
voir un message d'authentification 802.11 transiter du point d'accÃ¨s vers le client
Et puis, ce serait terminÃ©.
Ensuite, vous passeriez Ã l'Ã©change de cadres d'association, n'est-ce pas ?
Donc, il s'agirait simplement de cet Ã©change d'authentification, mais
Les cadres d'authentification n'ont absolument rien servi.
Ils n'ont Ã©changÃ© aucun mot de passe ; ils n'Ã©taient pas vraiment utilisÃ©s pour l'authentification.
Pas avec une authentification ouverte en tout cas.
Avec le WPA3, ils ont dit qu'ils allaient changer un peu cela.
Tout d'abord, dans le cadre de l'authentification, nous allons modifier l'authentification.
Type d'algorithme de l'ouvert au SAE.
Un nouveau type d'algorithme d'authentification SAE a donc Ã©tÃ© identifiÃ©.
avec une valeur de trois que vous pouvez voir ici.
Et au lieu de simplement procÃ©der Ã un Ã©change de deux messages d'authentification,
Nous allons procÃ©der Ã un Ã©change de quatre messages, dont deux provenant du client.
au point d'accÃ¨s, deux messages du client.
Il existe donc des cadres de validation SAE.
Vous verrez donc cela dans une trace de renifleur de requin Ã fil de fer, que vous verrez
Vous verrez dans un instant, c'est le client, le tout premier message d'authentification
Il enverra un engagement SAE.
Le point d'accÃ¨s rÃ©pondra par son propre engagement SAE.
Vous verrez ensuite le client envoyer une confirmation SAE et le point d'accÃ¨s seraâ¦
rÃ©pondre avec sa propre confirmation SAE, soit un total de quatre messages.
Donc, le cadre de validation SAE, donc cet Ã©change de deux cadres de validation SAE
est utilisÃ© pour Ã©changer des donnÃ©es et des valeurs alÃ©atoires entre le point d'accÃ¨s et
le client, afin qu'il puisse dÃ©finir une clÃ© secrÃ¨te partagÃ©e Ã l'aide d'une formule
trÃ¨s similaire Ã la formule Diffie-Hellman.
Donc, une fois cet Ã©change de trames de validation SAE effectuÃ©, ils ont
la clÃ© secrÃ¨te partagÃ©e.
Puis ils effectuent un Ã©change de deux images de confirmation SAE, juste pour confirmer.
que, pour confirmer qu'ils ont bien le mÃªme matÃ©riel partagÃ©
clÃ© secrÃ¨te. Une fois cela confirmÃ©, ils pourront alors utiliser ce secret partagÃ©.
Utilisez la clÃ©, intÃ©grez-la dans une formule et dÃ©rivez la clÃ© maÃ®tresse par paire.
Et nous dÃ©taillerons le fonctionnement de ce systÃ¨me dans un prochain article.
vidÃ©o. Mais je voulais juste terminer cette vidÃ©o ici en vous montrant une
Voici une trace d'analyse effectuÃ©e par Wire Shark qui le dÃ©montre.
Et voyez, le principal enseignement est que vous ne voyez plus seulement
deux cadres d'authentification.
Donc, en WPA et WPA2, vous auriez vu deux requÃªtes, une provenant du client, exÃ©cutÃ©es
Ã partir du point d'accÃ¨s, et c'est tout.
Et si vous cliquiez dessus, il n'y aurait vraiment rien dedans.
On dirait simplement Â« authentification ouverte Â», mais il n'y aurait pas grand-chose Ã dire.
Tout autre Ã©lÃ©ment avec WPA3 personnel, vous en voyez maintenant quatre.
Et par exemple, si nous cliquons sur ce tout premier Ã©lÃ©ment ici, provenant du client
En accÃ©dant au point d'accÃ¨s Cisco, vous pouvez constater que le type de message SAE est Â« commit Â».
Voici donc notre tout premier message de commit.
Nous avons donc deux commits et deux confirmations.
Nous approfondirons le fonctionnement de tout cela dans un prochain article.
vidÃ©o. Mais il s'agit en quelque sorte de notre premier aperÃ§u ou introduction sur la faÃ§on dont SAE est fondamentalement...
diffÃ©rent par le type et la quantitÃ© des messages qu'il envoie par rapport Ã
vers WPA2. Merci beaucoup d'avoir regardÃ© cette vidÃ©o.
Et j'espÃ¨re vraiment que cela vous a Ã©tÃ© utile.