Bonjour et bienvenue dans cette vidÃ©o intitulÃ©e WPA3, Perfect Forward Secrecy.
Afin d'expliquer le concept de secret absolu, nous allons tout d'abordâ¦
Tous doivent comprendre ce que signifie le mot Â«Â avancerÂ Â» dans ce contexte.
Ainsi, comme cela est dit en cryptographie, les termes avant ou arriÃ¨re sont appliquÃ©s
Le secret des donnÃ©es est dÃ©terminÃ© si le moment de la compromission se situe dans
devant ou derriÃ¨re les donnÃ©es qui restent protÃ©gÃ©es.
Nous comparons donc deux choses.
OÃ¹ se situe le moment du compromis et parlons-nous de donnÃ©es qui
Ã partir de ce moment, les donnÃ©es sont protÃ©gÃ©es, ou bien les donnÃ©es qui se trouvent Ã l'origine de ce moment de compromission le sont Ã©galement.
Ãªtre protÃ©gÃ©.
Voici un exemple.
Voici notre chronologie.
Voici les donnÃ©es qui y transitent.
Supposons qu'Ã l'heure actuelle, un compromis essentiel ait Ã©tÃ© trouvÃ©.
Et pour que ce pirate malveillant puisse repÃ©rer votre EAP au-dessus du sol, quatre
Trouvez un moyen de vous serrer la main et de dÃ©terminer d'une maniÃ¨re ou d'une autre votre clÃ© transitoire par paire.
Et les trois clÃ©s en dÃ©coulent.
Donc, si nous avons un algorithme qui dit que l'ensemble de donnÃ©es ci-dessous sur
Ce droit est maintenu dans le secret, enfin, le compromis a eu lieu en coulisses.
ou Ã l'arriÃ¨re des donnÃ©es.
On appellerait donc cela du secret Ã l'envers.
Si les donnÃ©es, si le compromis se produit devant les donnÃ©es, et ces donnÃ©es
est protÃ©gÃ©e, donc si les donnÃ©es de gauche sont protÃ©gÃ©es, alors toutes les donnÃ©es le sont aussi.
Du passÃ©, nous appelons cela le secret de l'avenir.
Je sais que Ã§a paraÃ®t un peu bizarre.
Avant, je pensais que le secret absolu signifiait, d'accord, eh bien, s'il y a
un compromis, alors cela signifie toutes les donnÃ©es Ã©changÃ©es aprÃ¨s cela
Le compromis est protÃ©gÃ©.
Ce n'est pas ce que cela signifie.
Permettez-moi de vous donner une autre dÃ©finition de cela.
Le secret persistant parfait, dans son ensemble, fait donc rÃ©fÃ©rence Ã l'Ã©change de clÃ©s cryptographiques.
protocoles. Par exemple, le protocole Diffie-Hellman Ã©phÃ©mÃ¨re utilisÃ© dans WPA3, oÃ¹
le compromis des clÃ©s Ã long terme, et c'est crucial Ã ce stade
Les clÃ©s Ã long terme, si elles sont compromises, ne peuvent pas Ãªtre utilisÃ©es pour la rÃ©cupÃ©ration.
toutes les clÃ©s de session prÃ©cÃ©dentes.
Donc mÃªme si un attaquant enregistrait le message d'Ã©tablissement de liaison EAP sur la clÃ© terrestre,
Les donnÃ©es antÃ©rieures sont toujours protÃ©gÃ©es.
Que signifie donc l'expression Â« clÃ©s Ã long terme Â» dans ce cas prÃ©cis ?
Dans ce contexte, une clÃ© Ã long terme dÃ©signe des informations secrÃ¨tes qui
ne change pas avec le temps.
Par exemple, dans le WPA2, la clÃ© prÃ©-partagÃ©e est considÃ©rÃ©e comme une clÃ© Ã long terme.
clÃ©. Si vous vous connectez Ã un rÃ©seau local sans fil WPA, la clÃ© prÃ©-partagÃ©e
Il pourrait s'agir de Cisco 123.
Chacun reÃ§oit cette clÃ© prÃ©-partagÃ©e, et cette clÃ© prÃ©-partagÃ©e est directement
liÃ© par une formule Ã la clÃ© maÃ®tresse par paire.
Il suffit de suivre la formule.
Et la clÃ© maÃ®tresse par paire est toujours exactement la mÃªme.
C'est donc ce que nous constatons ici aussi.
Dans le WPA2, la clÃ© principale par paire ne change pas.
Et chacun possÃ¨de exactement la mÃªme clÃ© maÃ®tresse par paire qui assure la connexion.
Ã ce rÃ©seau local sans fil personnel WPA2.
Existe-t-il une solution clÃ© Ã long terme dans le contexte du WPA 3 ?
Oui, vous avez besoin d'une phrase secrÃ¨te pour vous connecter.
Mais la clÃ© maÃ®tresse par paire n'est pas considÃ©rÃ©e comme une clÃ© Ã long terme, car
Cela change. Chaque personne possÃ¨de une clÃ© maÃ®tresse diffÃ©rente pour chaque paire de clÃ©s.
Et Ã chaque fois que vous vous connectez Ã ce rÃ©seau local sans fil, vous obtenez une paire diffÃ©rente
La clÃ© maÃ®tresse ne prend pas en compte une clÃ© Ã long terme.
D'accord, donc avec le WPA3, si un attaquant capture vos donnÃ©es pendant un certain temps,
et ensuite dÃ©chiffre la clÃ© de chiffrement, ce qui serait trÃ¨s difficile,
Seules les donnÃ©es postÃ©rieures au craquage de la clÃ© sont Ã risque.
Donc mÃªme s'ils ont capturÃ©, disons qu'ils ont capturÃ© trois
jours de donnÃ©es Wi-Fi.
Et durant ces trois jours, vous vous Ãªtes associÃ© et dissociÃ© de
Ce rÃ©seau local sans fil a Ã©tÃ© testÃ© sept ou huit fois, et ils ont tout enregistrÃ©.
Maintenant, ils arrÃªtent leur connexion rÃ©cente Ã ce rÃ©seau sans fil
LAN. Ils voient donc, vous savez, la, la, la euh, nÃ©gociation EAP sur LAN.
Et d'une maniÃ¨re ou d'une autre, Ã partir de lÃ , ils parviennent Ã dÃ©duire ce que votre paire
la clÃ© transitoire est.
Ils en extraient la clÃ© temporaire que vous utilisez pour chiffrer.
et dÃ©crypter les donnÃ©es, ce qui signifie qu'Ã partir de ce moment-lÃ , pour ce cas particulier
session, ils peuvent chiffrer, ils, je devrais dire ils peuvent dÃ©chiffrer tout le
les donnÃ©es qu'ils ont rÃ©cupÃ©rÃ©es auprÃ¨s de vous, mais ils ne peuvent en aucun cas les utiliser pour
dÃ©chiffrer les sessions au prÃ©alable.
Donc toutes ces six ou sept sessions oÃ¹ vous vous Ãªtes connectÃ© et dÃ©connectÃ©
Avant cela, le dÃ©cryptage ne leur sera d'aucune utilitÃ© dans ce cas prÃ©cis.
C'est pourquoi on parle de secret de transmission parfait.
Vous vous demandez peut-Ãªtre : et le WPA2 ?
Cela ne garantit-il pas une confidentialitÃ© persistante parfaite ?
Non, ce n'est pas le cas. Je vais donc vous montrer ici une attaque classique contre
WPA2 qualifie d'attaque par dictionnaire hors ligne et explique pourquoi cela se traduit par
WPA deux personnels, ne garantissant pas une confidentialitÃ© persistante parfaite.
TrÃ¨s bien, supposons qu'une personne malveillante commence Ã observer et Ã collecter des donnÃ©es.
toutes vos trames Wi-Fi sur un canal particulier sur un SSID particulier.
Alors, que voient-ils ?
Ils voient le message EAP au-dessus des terres un, deux, trois et quatre.
Alors, d'aprÃ¨s ce qu'ils ont vu ici, que savent-ils ?
Que sont-ils capables de collecter ?
Ils peuvent rassembler ici tout ce qui se trouve dans ces messages.
La seule chose qu'ils ignorent encore, c'est la clÃ© maÃ®tresse par paire.
Et c'est leur objectif.
Ils veulent dÃ©couvrir quelle est cette clÃ© maÃ®tresse par paire, car si ils
s'ils parviennent Ã rÃ©soudre ce problÃ¨me, ils peuvent en faire un, ils peuvent en faire deux
Il y a diffÃ©rentes choses avec Ã§a.
PremiÃ¨rement, s'ils parviennent Ã trouver la clÃ© maÃ®tresse par paire, ils peuvent inverser le processus.
Concevoir la phrase de passe WPA2, ou plutÃ´t la clÃ© prÃ©-partagÃ©e, comme
coffee 123 ou INE 123, car cette phrase de passe a directement crÃ©Ã© cette PMK.
Donc, s'ils parviennent Ã dÃ©chiffrer la clÃ© privÃ©e, ils pourront dÃ©chiffrer la phrase de passe.
Et maintenant, ils peuvent se connecter au rÃ©seau local sans fil et s'y connecter par cÃ¢ble.
moins et s'associer Ã©galement, et c'est encore plus crucial, s'ils sont capables de craquer
le PMK. Et ils ont ensuite ces valeurs ici pour cette session particuliÃ¨re.
Ã partir de ce client, ils peuvent Ã©galement dÃ©chiffrer la clÃ© transitoire par paire pour ceci
session ici. Et ensuite, ils peuvent aborder le temporel
la clÃ©, la clÃ© de chiffrement, et l'autre chose.
Alors, comment vont-ils s'y prendre ?
TrÃ¨s bien, donc dans une attaque par dictionnaire hors ligne, l'acteur malveillant va
Avoir ce qu'on appelle un dictionnaire hors ligne.
Il s'agit essentiellement d'une base de donnÃ©es logicielle de milliers, voire de millions de donnÃ©es.
des mots de passe ou des mots de passe potentiels qu'ils ont tÃ©lÃ©chargÃ©s sur le dark web
sur Internet ou d'oÃ¹ qu'ils l'aient obtenu.
TrÃ¨s bien, ils vont donc commencer Ã consulter ce dictionnaire, et ils sont
Je vais en extraire le tout premier Ã©lÃ©ment, quel qu'il soit, peut-Ãªtre
C'est le mot de passe 123, quel que soit le premier Ã©lÃ©ment de cette liste de millions.
des mots de passe potentiels.
Et ils vont dire : Â« D'accord, je vais voir si c'est le WPAâ¦ Â»
ClÃ© prÃ©-partagÃ©e, comme le code 123 de Coffee pour ce rÃ©seau local sans fil en particulier, allons-y.
On va voir si c'est le cas. Ils vont donc transmettre ce mot de passe, ce dictionnaire.
Ã©lÃ©ment, dans l'algorithme PBK DF, que WPA utilise pour dÃ©river
sa clÃ© maÃ®tresse par paire.
D'accord, donc une fois qu'ils ont transmis ce premier Ã©lÃ©ment du dictionnaire au PBK DF,
L'algorithme va produire un rÃ©sultat, une valeur, qui pourrait
Ãªtre qui est une clÃ© maÃ®tresse potentielle par paire.
Comment savoir s'il s'agit du bon, du modÃ¨le prÃ©cis pour ce cas particulier ?
WPA vers rÃ©seau local sans filÂ ?
Eh bien, l'attaquant sait comment fonctionne l'algorithme PRF 512.
Cela fonctionne en enchaÃ®nant en quelque sorte tous ces Ã©lÃ©ments.
Maintenant, Ã partir de l'expansion par paires de clÃ©s, cette chaÃ®ne de texte Ã droite, ils ont
Ils ont dÃ©jÃ reÃ§u ces informations car ils ont constatÃ© la nÃ©gociation EAP en quatre Ã©tapes sur le rÃ©seau local.
Ils ont vu les adresses MAC des deux stations, la station, l'accÃ¨s
Ã ce moment-lÃ , ils ont vu les faux positifs, le faux positif A et le faux positif S, et ils ont tout rÃ©cupÃ©rÃ©.
que la seule chose qui leur manquait Ã©tait le PMK.
Ils disent donc : Â« D'accord, j'ai pris un Ã©lÃ©ment du dictionnaire. Â»
Je l'ai transformÃ© en un PMK potentiel en le faisant passer exactement par le mÃªme processus.
algorithme qu'un client normal utiliserait.
Je vais le mettre ici.
Et je vais le faire, donc Ã§a va finir par ressembler Ã Ã§a.
Je vais appliquer Ã cela l'algorithme HMAC Shaw One.
C'est ce que font les clients WPA2.
Et cela va me donner quatre sorties.
Je vais les concatÃ©ner, puis supprimer la fin.
Et cela va me fournir une valeur de 512 bits, qui pourrait Ãªtreâ¦
clÃ© transitoire par paire.
C'est peut-Ãªtre une compatibilitÃ© potentielle.
Comment savoir s'il s'agit d'une vraie correspondance ?
Eh bien, nous allons maintenant prendre cette clÃ© transitoire potentielle par paire que nous avons crÃ©Ã©e.
Et nous allons, nous savons que sa structure est la suivante, nous
Sachez que le premier tiers constitue la clÃ© de confirmation.
Alors on se dit : d'accord, il se pourrait bien que ce soit la clÃ© de confirmation.
Je vais donc examiner cet EPO au-dessus des terres
La poignÃ©e de main que j'ai surprise.
Je vois qu'il y a des valeurs mik lÃ -dedans.
Ces valeurs mik sont calculÃ©es en prenant en compte toutes les donnÃ©es du message et
en le faisant passer par un algorithme de hachage avec cette clÃ© de confirmation.
Donc, le message estÂ : Â«Â Dâaccord, puis-je utiliser la touche de confirmation que jâai crÃ©Ã©eÂ ? Appliquer.Â Â»
Appliquez-le Ã ces mÃªmes donnÃ©es en utilisant exactement la mÃªme formule normale et vous obtiendrez
avec exactement la mÃªme valeur de mik.
Si j'y arrive, c'est que j'ai trouvÃ© la solution.
J'ai la clÃ© transitoire par paire pour cette session particuliÃ¨re, qui
a Ã©tÃ© dÃ©rivÃ©e de la clÃ© maÃ®tresse par paire.
Je peux donc maintenant dÃ©coder et dÃ©crypter toutes les donnÃ©es de cette session et des suivantes.
De plus, je peux moi-mÃªme rejoindre ce rÃ©seau sans fil car je possÃ¨de le Pairwise.
ClÃ© maÃ®tresse. Et je sais que cela provient du numÃ©ro d'entrÃ©e du dictionnaire
un. Par consÃ©quent, l'Ã©lÃ©ment numÃ©ro un du dictionnaire doit Ãªtre la phrase de passe WPA deux.
Maintenant, si la rÃ©ponse est non, ce qui est fort probable, vous Ãªtes probablement
Je ne vais pas y arriver du premier coup.
RÃ©essayez, prenez l'Ã©lÃ©ment numÃ©ro deux du dictionnaire et rÃ©pÃ©tez l'opÃ©ration potentiellement des milliers de fois.
de fois. HÃ©, Ã§a pourrait te prendre plusieurs heures.
Mais si vous parvenez Ã le faire fonctionner, aprÃ¨s quelques heures ou une journÃ©e d'essais, c'est que vous y arrivez.
Parmi des millions de combinaisons, vous parviendrez Ã trouver la solution.
DÃ©sormais, vous pouvez non seulement dÃ©chiffrer toutes les donnÃ©es de session de cette session particuliÃ¨re
Le client Wi-Fi que vous avez capturÃ©, vous pouvez maintenant vous connecter Ã ce rÃ©seau Wi-Fi et vous
Vous pouvez l'obtenir gratuitement.
Donc, le WPA 2, alors que nous examinons le secret persistant parfait.
Une fois que l'acteur malveillant a dÃ©codÃ© cette clÃ© prÃ©-partagÃ©e, il sait
qu'il sait quelle sera toujours la clÃ© maÃ®tresse par paire.
Il restera toujours statique et immuable.
C'est la nature mÃªme du WPA 2.
Il peut donc remonter le temps et consulter tous les rÃ©seaux Wi-Fi capturÃ©s.
sÃ©ances pour ce client.
Et tant qu'il dispose de l'accord Ã quatre voies de l'EPU, il peut craquer.
toutes ces sessions et dÃ©crypter toutes les donnÃ©es passÃ©es de ce client.
Tout reposait donc sur la capacitÃ© de l'acteur malveillant Ã dÃ©terminer ce qui
la clÃ© maÃ®tresse par paire Ã©tait.
Et nous avons constatÃ© qu'avec un petit effort grÃ¢ce au WPA 2, il a pu
pour le dÃ©couvrir.
Et le WPA3 ?
Le protocole WPA 3 se vante d'offrir un secret de transmission parfait, ce qui signifie
En thÃ©orie, c'est impossible.
Et en thÃ©orie aussi, mÃªme si d'une maniÃ¨re ou d'une autre vous parveniez Ã dÃ©chiffrer la paire
Une clÃ© principale pour une session particuliÃ¨re ne vous serait d'aucune utilitÃ© pour la session prÃ©cÃ©dente.
sÃ©ances prÃ©cÃ©dentes.
Pourquoi pas ? Eh bien, nous savons que la clÃ© pour pirater une session Wi-Fi, le dÃ©cryptage
Pour accÃ©der aux donnÃ©es et vous connecter vous-mÃªme au rÃ©seau local sans fil, il faut obtenir la paire de clÃ©s.
clÃ© principale. Or, nous avons vu dans les diapositives prÃ©cÃ©dentes que le WPA2
Le PMK a Ã©tÃ© calculÃ© directement Ã partir du PSK en utilisant cette formule PBK DRF Ã deux niveaux.
Et cela ne change jamais, ce qui le rendait fragile et cassant.
Mais rÃ©flÃ©chissons Ã la maniÃ¨re dont WPA3 conÃ§oit son maÃ®tre par paires.
clÃ©. Tout d'abord, est dÃ©rivÃ©e de la mÃ©thode EDCH de la libellule SAE.
En gros, il s'agit d'utiliser une mÃ©thode de type Diffie-Hellman modifiÃ©e pour parvenir Ã une rÃ©solution.
avec la clÃ© maÃ®tresse par paire.
Il y a beaucoup de formules Ã prendre en compte.
Ils changent Ã chaque fois.
Ainsi, Ã chaque fois qu'un client se connecte au rÃ©seau local sans fil, ce mÃªme
Le client connectÃ© au mÃªme rÃ©seau local sans fil recevra une clÃ© PMK diffÃ©rente.
Donc mÃªme si vous parvenez Ã le dÃ©bloquer maintenant pour sa session actuelle, ce n'est pas le cas.
Il va vous aider pour ses sÃ©ances prÃ©cÃ©dentes.
Et deuxiÃ¨mement, comment rÃ©soudre ce problÃ¨me ?
Parce que la faÃ§on dont ce client a crÃ©Ã© ce PMK Ã©tait assez alÃ©atoire.
des nombres, des exposants et des choses qui n'ont pas Ã©tÃ© Ã©changÃ©es du tout pendant
l'Ã©change des valeurs.
Oui, si vous avez effectivement capturÃ© la poignÃ©e de main SAE, vous obtiendrez, par exemple,
les valeurs scalaires et le champ fini, les valeurs des Ã©lÃ©ments du champ fini.
Mais tous ces Ã©lÃ©ments ont Ã©tÃ© crÃ©Ã©s grÃ¢ce aux prÃ©calculs du mot de passe.
Ã©lÃ©ment et en raison de valeurs exponentielles alÃ©atoires, qui sont vraiment Ã©normes et
Pratiquement impossible Ã rÃ©troconcevoir.
Il est donc pratiquement impossible de dÃ©chiffrer la clÃ© maÃ®tresse de la paire.
qui Ã©tait utilisÃ© dans une session WPA3 donnÃ©e.
Et cela change Ã chaque session.
Et comme je l'ai dit, mÃªme si vous avez rÃ©ussi Ã le dÃ©chiffrer pour ce cas particulier
session en ce moment, ce qui serait trÃ¨s difficile, voire impossible, que
Cela ne vous aiderait pas pour les sessions prÃ©cÃ©dentes que vous avez rÃ©ussi Ã rÃ©soudre.
Câest pourquoi nous disons que le WPA3 offre une confidentialitÃ© persistante parfaite.
Parce que mÃªme si vous aviez cette chance sur un milliard de rÃ©ussir une paire
clÃ© principale pour cette session, vous ne pourrez pas revenir en arriÃ¨re et
dÃ©crypter tout trafic de session prÃ©cÃ©dent que vous aviez capturÃ©, car cela
avait un jeu de clÃ©s complÃ¨tement diffÃ©rent.
Et c'est la dÃ©finition mÃªme du secret absolu.
Merci beaucoup d'avoir regardÃ©.
Et j'espÃ¨re sincÃ¨rement que cette prÃ©sentation vous a Ã©tÃ© utile.