Bonjour et bienvenue dans cette vidÃ©o intitulÃ©e Â«Â ProblÃ¨mes potentiels liÃ©s au hachageÂ Â».
ÃlÃ©ment. Donc, pour rappel, au cas oÃ¹ vous dÃ©couvririez cette vidÃ©o pour la premiÃ¨re fois et
vous n'avez vu aucune autre vidÃ©o sur ce sujet prÃ©cis, tout comme
En rÃ©sumÃ©, nous savons que WPA3SAE doit d'abord gÃ©nÃ©rer un nombre appelÃ© mot de passe.
Ã©lÃ©ment avant d'effectuer l'Ã©change SAE.
L'Ã©lÃ©ment mot de passe sera donc un nombre insÃ©rÃ© dans le
diverses formules utilisÃ©es lors du processus d'engagement SAE.
Comment cet Ã©lÃ©ment de mot de passe est-il crÃ©Ã© ?
Eh bien, cela se fait en trouvant un Ã©lÃ©ment commun, qui est un point commun sur
une courbe elliptique.
Et dans les vidÃ©os prÃ©cÃ©dentes, nous avons parlÃ© de la faÃ§on dont les points sur les courbes elliptiques
doivent correspondre Ã certaines formules.
La valeur de x que vous utilisez, vous devez l'insÃ©rer dans la formule, et
Si elle renvoie une valeur y valide, alors vous avez vos deux points valides.
Alors, comment cela se fait-il ?
Eh bien, il existe deux maniÃ¨res mathÃ©matiques complexes de dÃ©river ces x valides et
y points en utilisant votre phrase de passe, votre SSID et quelques autres informations
comme donnÃ©es d'entrÃ©e. Comment traitons-nous alors la phrase de passe, le SSID, les adresses MAC et autres ?
et trouver une valeur que nous pourrons tester par rapport Ã l'elliptique
Formule de la courbe pour vÃ©rifier s'il s'agit bien d'une coordonnÃ©e x valideÂ ?
Eh bien, les deux mÃ©thodes sont le hachage Ã l'Ã©lÃ©ment et la chasse et le picorage.
Le hachage vers Ã©lÃ©ment est plus rÃ©cent.
C'est plus sÃ»r que la chasse et le picorage.
Et si un point d'accÃ¨s LAN sans fil annonce des capacitÃ©s de hachage vers Ã©lÃ©ment,
et si le client le prend en charge, il prÃ©fÃ©rera le hachage Ã l'Ã©lÃ©ment.
TrÃ¨s bien, vous vous dites peut-Ãªtre : Â« Super, je vais simplement utiliser le hachage. Â»
Ã l'Ã©lÃ©ment ensuite.
Il est plus rÃ©cent, il est plus sÃ»r.
Je vais simplement l'utiliser.
Je vais donc vous montrer dans les diapositives suivantes pour ce point prÃ©cis.
La vidÃ©o comporte quelques piÃ¨ges, bugs ou mises en garde.
J'ai effectivement remarquÃ© cela en laboratoire, lorsque j'utilisais diffÃ©rents hachages pour convertir des Ã©lÃ©ments en Ã©lÃ©ments.
combinaisons dans la crÃ©ation de mon rÃ©seau local sans fil.
Je vous le dis tout de suite.
Je ne peux pas expliquer pourquoi cela se produit.
J'ai bien compris tous les mÃ©canismes de fonctionnement de la manette et
Le point d'accÃ¨s communique, qui parle au client, quand et quels messages sont Ã©changÃ©s.
tout continue, et j'ai fini par abandonner, je n'arrivais pas Ã comprendre pourquoi ce que tu fais
Je vais voir ce qui se passe rÃ©ellement.
Je peux donc seulement vous montrer ce que vous pourriez vivre et vous conseiller sur la maniÃ¨re de
Ãvitez-le. TrÃ¨s bien, dans ce cas.
Ainsi, certains points d'accÃ¨s plus anciens qui prennent en charge la chasse et le picorage ne le font pas
prise en charge du hachage en Ã©lÃ©ment.
Vous vous souvenez peut-Ãªtre que lorsque le WPA3 est sorti, ils ont dit : Â« Oh, vousâ¦ Â»
Il existe une version personnelle appelÃ©e WPA3SAE.
TrÃ¨s bien, si vous utilisez WPA3SAE, cela signifie que vous devez crÃ©er
un Ã©lÃ©ment de mot de passe.
Vous devez le faire car cela vous aidera finalement Ã crÃ©er le secret
clÃ©, qui vous aidera finalement Ã crÃ©er votre maÃ®tre en binÃ´me
ClÃ©. Nous allons donc commencer par l'Ã©lÃ©ment mot de passe.
La forme originelle consistait donc Ã chasser et Ã picorer.
Et puis, le hachage en Ã©lÃ©ment est venu plus tard.
Donc, si vous avez des points d'accÃ¨s plus anciens, comme par exemple vos Cisco
Le 3802i est un exemple, car c'est celui que j'ai ici dans mon laboratoire.
J'ai dÃ©couvert Ã mon grand dÃ©sarroi qu'ils ne prennent pas en charge la conversion de hachage en Ã©lÃ©ment.
Ils ne soutiennent que la chasse et le picorage.
Voici donc ce que j'ai dÃ©couvert Ã mon grand regretÂ : Cisco
Le contrÃ´leur LAN sans fil 9800 vous permettra toujours de le configurer ou
modifier un rÃ©seau local sans fil pour sÃ©lectionner le hachage de l'Ã©lÃ©ment, mÃªme si les points d'accÃ¨s
Ãa se gÃ¨re, ne le soutenez pas.
Vous pourriez penser : Â« Attendez une seconde, la manette connaÃ®t toutâ¦ Â»
Les points d'accÃ¨s sont contrÃ´lables.
Le site contient toutes leurs informations car ils ont dÃ» s'y inscrire via capwap.
Le contrÃ´leur doit-il donc Ãªtre au courant des points d'accÃ¨s les plus anciens et
Quels points d'accÃ¨s ne prennent pas en charge H2E et lesquels le prennent en chargeÂ ?
Et ne pensez-vous pas qu'il est logique que si vous sÃ©lectionnez H2E dans vos paramÃ¨tres sans fil
LAN oÃ¹ vous recevez un message d'erreur ou une fenÃªtre contextuelle indiquant un problÃ¨me de prise en charge
Ou quelque chose comme Ã§a, non, vous ne verrez rien de tel.
Il vous permettra de crÃ©er le rÃ©seau local sans fil, en sÃ©lectionnant le hachage de l'Ã©lÃ©ment, voire mÃªme
si les points d'accÃ¨s en aval qu'il gÃ¨re sont anciens et ne le savent mÃªme pas
ce que reprÃ©sente rÃ©ellement le hachage d'un Ã©lÃ©ment.
Gardez maintenant Ã l'esprit que cette capacitÃ© de hachage vers Ã©lÃ©ment est censÃ©e
Ãªtre annoncÃ© par des balises.
Le point d'accÃ¨s toutes les, vous savez, 10 millisecondes, en fait toutes les 100
Les millisecondes sont censÃ©es inclure un petit dÃ©lai lors de l'envoi de ses balises
un Ã©lÃ©ment d'information Ã l'intÃ©rieur, que je vous montrerai dans une minute.
dÃ©clare : Â« Je prends en charge le hachage vers Ã©lÃ©ment. Â»
Alors, chers clients, si vous voulez faire Ã§a, je peux le faire aussi.
Nous avons donc ici une situation oÃ¹ le contrÃ´leur de rÃ©seau local sans fil a Ã©tÃ©â¦
configurÃ© en indiquant que ce rÃ©seau local sans fil, ce rÃ©seau local sans fil WP3 va
Utilisez un hachage pour crÃ©er l'Ã©lÃ©ment de mot de passe.
Et ensuite, cela a Ã©tÃ© transmis au point d'accÃ¨s et au point d'accÃ¨s
dit-il, hein, je ne sais pas ce que c'est.
Qu'est-ce que H2E ? Que va-t-il se passer dans ce cas-lÃ ?
Que se passe-t-il dans ce cas ?
Voici ce que je vais vous montrer.
Dans un monde idÃ©al, voici ce que vous verriez apparaÃ®tre depuis votre accÃ¨s.
des points toutes les 100 millisecondes grÃ¢ce Ã ces balises.
Voici donc une balise que vous pouvez voir ici.
Voici en quelque sorte la premiÃ¨re partie.
Vous pouvez voir l'Ã©lÃ©ment d'information RSN.
Et juste en dessous, il y a l'extension RSN.
J'adore la faÃ§on dont ils mettent le X en majuscule, l'Ã©lÃ©ment d'extension.
Et il y a un Ã©lÃ©ment lÃ -dedans appelÃ© le hachage SAE vers Ã©lÃ©ment.
Et si cette valeur est Ã©gale Ã un, cela signifie que c'est vrai.
Voici donc comment le point d'accÃ¨s informe tous les clients et les utilisateurs potentiels.
Chers clients, je soutiens cette fonctionnalitÃ©.
Si vous souhaitez l'utiliser, vous le pouvez car je sais comment m'en occuper.
VoilÃ ce que vous devriez voir.
D'accord. Les diapositives suivantes vont vous montrer ce que j'ai vu dans
le laboratoire lorsque j'utilisais d'anciens points d'accÃ¨s qui ne prenaient pas en charge le hachage
Ã©lÃ©ment. Donc, nous savons que dans votre 9800, si je reviens un peu en arriÃ¨re.
Un peu. Juste ici.
Il est configurÃ© par dÃ©faut pour H2E et HNP.
Donc, si vous ne cliquez sur rien dans cette case, ce mot de passe SAE
L, si vous ne modifiez rien, la valeur par dÃ©faut est Ã la fois H2E et HNP.
Que verrez-vous maintenant si le point d'accÃ¨s lui-mÃªme ne prend pas en charge cette fonctionnalitÃ©Â ?
H2E ? Que va-t-il se passer ensuite ?
TrÃ¨s bien. Voici donc ce que vous allez voir.
Oui. Donc, lorsqu'un client tente de se connecter, vous verrez que l'interface ressemble Ã ceciÂ :
comme si Ã§a fonctionnait.
Regardez Ã§a. Voyez, laissez-moi faire Ã§a ici.
Nous voyons bien les quatre messages d'authentification SAE, n'est-ce pas ?
Les deux engagements, les deux confirmations, tout semble bien se passer.
Il est donc clair que le point d'accÃ¨s et le client ont intÃ©grÃ© un Ã©lÃ©ment de mot de passe.
Qu'ils aient pu utiliser cette correspondance, mais pour une raison quelconque.
Ensuite, vous parcourez les messages d'association, vous commencez Ã faire le
EAP via les clÃ©s terrestres.
Donc, ici, nous voyons le message un, le message deux, le message trois, et ensuite
Juste aprÃ¨s le troisiÃ¨me message clÃ© EAP sur terrain, le client va
envoyer un message de dÃ©sassociation au point d'accÃ¨s.
Comme je l'ai dit, je ne peux pas expliquer les mÃ©canismes qui expliquent ce phÃ©nomÃ¨ne.
sous le capot. Je veux juste que vous sachiez que si vous voyez Ã§a, c'est ce qui se passe.
En fait, votre manette utilise Ã la fois H2E et
HNP, mais le point d'accÃ¨s lui-mÃªme ne prend pas en charge H2E.
Ce comportement Ã©trange se produit lorsque le client obtient presque tout.
le chemin Ã travers.
Mais ensuite, aprÃ¨s la fin du troisiÃ¨me message, il dit : non, j'ai terminÃ©.
Je quitte ce monde du sans-fil.
VoilÃ ce que vous verrez lÃ -bas.
Maintenant, si vous voyez Ã§a, vous pourriez aussi vous direÂ : Â«Â Oh lÃ lÃ , je vaisâ¦Â Â»
Je vais lancer le traÃ§age radioactif sur ma manette 9800 et voir ce qui se passe.
AllumÃ©. Et voici ce que vous verrez.
Donc, il est indiquÃ© ici, il est indiquÃ© que la clÃ© EAP a Ã©tÃ© envoyÃ©e avec succÃ¨s.
Normalement, le contrÃ´leur ne joue aucun rÃ´le dans le message d'authentification.
Ã©change, les messages d'association Ã©changÃ©s, ou la clÃ© EAP sur terrain
Ãchanges de messages.
Normalement, cela se fait uniquement entre le point d'accÃ¨s et le client.
C'est trÃ¨s urgent.
Et, vous savez, si on y rÃ©flÃ©chit bien, un contrÃ´leur pourrait gÃ©rer
Des centaines de points d'accÃ¨s et des milliers et des milliers de clients.
Le contrÃ´leur ne dispose tout simplement pas d'une bande passante suffisante pour pouvoir traiter les donnÃ©es.
Tous ces messages Ã©changÃ©s avec des milliers de clients.
Il ne voit pas Ã§a.
Mais lorsque vous activez le traÃ§age radioactif et que vous commencez le traÃ§age, pour
Par exemple, pour un client particulier, c'est un peu comme si le contrÃ´leur envoyait un
message en aval vers le point d'accÃ¨s disant : hÃ©, dis-moi ce que tu es
Je souhaite avoir une visibilitÃ© sur les messages Ã©changÃ©s.
Il faut donc garder Ã l'esprit que, normalement, le contrÃ´leur ne verrait pas ces messages EAP.
Il n'y participerait pas.
Mais quand on active le traÃ§age radioactif, c'est comme s'il en recevait une copie.
Il reÃ§oit des messages du point d'accÃ¨s, il est donc au courant de ce qui se passe.
Et cela vous le montre ici mÃªme, comme nous l'avons vu dans la trace du renifleur,
AprÃ¨s l'envoi du troisiÃ¨me message EAP terrestre, tout Ã coupâ¦
Nous recevons une notification de suppression du client indiquant comme motifÂ : dÃ©lai d'attente EAP dÃ©passÃ©
Ã©chec. Donc, une fois de plus, impossible d'expliquer ce qui se passe sous le capot.
Voici pourquoi cela se produit.
Voici donc vos deux indicateurs de ce que vous verriez si les choses
Ã©chouent Ã la fois avec le hachage en Ã©lÃ©ment et la recherche par picorage.
Et si, dans le contrÃ´leur, on ne hachait que l'Ã©lÃ©ment ?
Et si nous sÃ©lectionnions cette option dans la fenÃªtre dÃ©roulanteÂ ?
Eh bien, dans ce cas, l'Ã©chec se produira beaucoup, beaucoup plus rapidement.
Vous verrez que le client enverra son premier message de commit.
Le point d'accÃ¨s renverra ensuite un message de validation.
Regardez ici, tapez commit.
Mais Ã ce moment prÃ©cis, le point d'accÃ¨s renverra son message de commit.
Un message indiquant une dÃ©faillance non spÃ©cifiÃ©e.
Le client se dÃ©connectera alors.
Et puis tout recommence Ã zÃ©ro.
Cela ne fait que se rÃ©pÃ©ter.
Il n'atteindra donc mÃªme pas le niveau des messages EAP par voie terrestre dans ce cas prÃ©cis.
cas avec hachage de l'Ã©lÃ©ment uniquement.
Voici ce que vous voyez.
Et une fois de plus, que constatons-nous dans la trace radioactive dans ce cas prÃ©cis ?
Dans ce cas prÃ©cis, on constate que c'est en fait un peu plus explicite.
Il indique que le hachage attendu par rapport au code d'Ã©tat de l'Ã©lÃ©ment ne correspond pas Ã celui de l'Ã©lÃ©ment PWE.
Maintenant, ceci, cela, Ã©videmment, vous laissera un peu perplexe.
Vous allez vous dire : Â« Attendez une seconde, quand est-ce que je comprendrai ce systÃ¨me sans fil ? Â»
Dans le menu dÃ©roulant tout Ã la fin, j'ai sÃ©lectionnÃ© uniquement H2E pour le rÃ©seau local.
J'ai choisi Ã§a.
Si je sÃ©lectionne cette option, le point d'accÃ¨s envoie alors ses balises.
Il devrait Ãªtre avec ce hachage pour que l'Ã©lÃ©ment soit Ã©gal Ã vrai, ce qui signifie que je soutiens
Ceci. Et si les clients voient cela, ils sont censÃ©s utiliser le hachage, ils sont censÃ©s
pour sÃ©lectionner un groupe diffi-helmin qui correspond Ã un hachage d'Ã©lÃ©ment.
Et ceci est une autre chose.
Vous pourriez donc vous demander Ã quel moment un client envoie son message de validation Ã l'accÃ¨s
En fait, comment le point d'accÃ¨s sait-il si le client a dÃ©rivÃ© son mot de passeÂ ?
Ã©lÃ©ment utilisant HNP ou H2E ?
Il n'y en a pas, si vous regardez rÃ©ellement la trace du sniffer d'un message de commit,
Il n'y a aucun champ qui indique si j'ai utilisÃ© l'un ou l'autre.
Non. Enfin, il le sait parce qu'il existe certains elliptiques
groupes de courbes diffi-helmin qui sont utilisÃ©s pour le hachage vers l'Ã©lÃ©ment, et il y a
d'autres groupes utilisÃ©s pour la chasse et le picorage.
Et donc, dans le message de commit du client, il sera explicitement indiquÃ©
Indiquez le groupe de diffi-helminthes utilisÃ©.
Donc, dans ce cas prÃ©cis, lorsque ce message de commit est arrivÃ© de
le client, le groupe diffi-helmin n'Ã©tait pas un hachage vers un groupe d'Ã©lÃ©ments.
C'Ã©tait un groupe qui chassait et picorait.
Et le contrÃ´leur, le point d'accÃ¨s, indique : Â« J'ai Ã©tÃ© configurÃ© pourâ¦ Â»
Hachage de l'Ã©lÃ©ment uniquement.
Pourquoi le client essaie-t-il de se connecter Ã moi en utilisant la mÃ©thode du Â«Â chasse Ã picotsÂ Â»Â ?
C'est une inadÃ©quation.
Ãa ne marchera pas.
Mais ce qui est drÃ´le ici, c'est que la raison pour laquelle le client fait cela est que
Le point d'accÃ¨s est ancien.
Et il n'a en rÃ©alitÃ© pas dit qu'il Ã©tait capable d'intÃ©grer du hachage dans ses balises.
parce qu'il ne le soutient pas.
Alors, encore une fois, si nous creusons un peu plus, pourquoi cela se produit-il ?
Je ne peux pas vraiment vous l'expliquer, mais voici ce que vous verrez.
TrÃ¨s bien. Alors, que retenir de tout cela ?
Comment Ã©viter ces problÃ¨mes ?
Eh bien, premiÃ¨rement, si vous utilisez le Wi-Fi 6E ou le Wi-Fi 7, vous devez faire du hachage
Ã l'Ã©lÃ©ment. Donc, Ã©videmment, si vous utilisez le Wi-Fi 6E ou le Wi-Fi 7, vous Ãªtes
Nous allons installer un nouveau point d'accÃ¨s.
Seuls les points d'accÃ¨s les plus rÃ©cents prennent en charge cette fonctionnalitÃ©.
Et donc, ces fonctions prendront en charge le hachage vers un Ã©lÃ©ment.
Vous n'avez pas Ã vous en soucier.
Mais si vous utilisez une version plus ancienne du Wi-Fi, comme le Wi-Fi 6 ou quelque chose du genreâ¦
MÃªme Ã un niveau infÃ©rieur, votre point d'accÃ¨s pourrait ne pas prendre en charge le hachage vers un Ã©lÃ©ment.
Et vous pourriez rencontrer ce genre de problÃ¨mes lors de la configuration.
Vous pouvez l'utiliser avec votre manette 9800 ou Ã©ventuellement avec n'importe quelle autre manette.
Voici donc la morale de l'histoire.
Si vous savez Ã l'avance qu'aucun de vos points d'accÃ¨s ne prend en charge le Wi-Fi 6E
ou plus, configurez simplement vos rÃ©seaux locaux sans fil en utilisant la mÃ©thode de la recherche manuelle.
Sur votre contrÃ´leur, ne conservez pas les paramÃ¨tres par dÃ©faut H2E et HNP.
Nous avons dÃ©jÃ constatÃ© comment cela pose problÃ¨me.
Il vous suffit d'aller dans le menu dÃ©roulant et de sÃ©lectionner HNP uniquement, et vous n'aurez plus besoin de
En cas de problÃ¨me, c'est tout pour cette vidÃ©o.
Merci beaucoup d'avoir regardÃ©.
Et j'espÃ¨re vraiment que cela vous a Ã©tÃ© utile.