Bonjour et bienvenue dans cet enregistrement consacrÃ© Ã une fonctionnalitÃ© du WPA3 appelÃ©e protection par balise.
Alors, faisons un bref rappel de ce que sont les balises.
Les trames de balise sont donc des trames de gestion 802.11 et elles sont utilisÃ©es pour de nombreuses applications.
pour des raisons diffÃ©rentes.
Vous savez probablement dÃ©jÃ qu'ils sont utilisÃ©s par les clients de rÃ©seaux locaux sans fil.
pour dÃ©couvrir le rÃ©seau local sans fil.
Vous savez quels SSID sont prÃ©sents autour de moi et quelles sont leurs capacitÃ©s ?
Ã l'intÃ©rieur de la balise, on trouve des informations telles que les mÃ©canismes d'authentification.
Quels mÃ©canismes de chiffrement sont utilisÃ©sÂ ? Quels canaux sont utilisÃ©sÂ ?
plein de choses.
Les balises regorgent d'informations.
Ils aident Ã©galement les clients du rÃ©seau local sans fil Ã maintenir leur connexion.
au rÃ©seau local sans fil.
Un client de rÃ©seau local sans fil doit pouvoir recevoir des balises si, pour une raison quelconque,
soit parce que le client a dÃ©mÃ©nagÃ© trop loin, soit parce qu'il y a eu une augmentation
en raison des interfÃ©rences radiofrÃ©quences, il ne peut plus recevoir de balises.
Les clients devront peut-Ãªtre rechercher un autre rÃ©seau local sans fil auquel se connecter.
Les balises sont dÃ©sormais envoyÃ©es en clair et sans chiffrement, donc si vous utilisez le Wi-Fiâ¦
Vous pouvez lire les traces de renifleur du dÃ©but Ã la fin.
Une fois associÃ©es Ã un rÃ©seau local sans fil, des usurpations d'identitÃ© pourraient se produire.
Dans ce cas, vous avez un point d'accÃ¨s non autorisÃ© qui envoie ses anciennes balises.
Le pire des scÃ©narios, c'est celui oÃ¹ vous avez un point d'accÃ¨s qui est en fait
usurper l'adresse MAC de votre point d'accÃ¨s lÃ©gitime, mais les balises
L'adresse MAC malveillante envoie des messages dÃ©fectueux ou incorrects aux clients.
l'information. Cela peut entraÃ®ner la dÃ©connexion des clients, la limitation du dÃ©bit
Le client, vous savez quoi, si le point d'accÃ¨s non autorisÃ© dit Â«Â je ne prends en charge queÂ Â»
Ce rÃ©seau local sans fil ne prend en charge qu'un mÃ©gabit par seconde, et c'est tout.
Imaginez l'impact que cela aura sur votre Wi-Fi si vous commencez Ã â¦
en croyant cela, et limitez votre dÃ©bit Ã ce niveau.
Il peut mÃªme vous forcer Ã passer Ã une autre chaÃ®ne en envoyant un signal.
Annonce de changement.
Le WPA3 a donc ajoutÃ© une protection par balise pour rÃ©duire certains de ces risques.
Alors, comment sont-ils protÃ©gÃ©s ?
Si vous avez vu ma vidÃ©o sur les trames de gestion protÃ©gÃ©es WPA3 (PMF), devinezâ¦
Le mÃªme concept s'applique ici.
L'idÃ©e est donc que, comme nous ne pouvons pas chiffrer les balises, celles-ci doivent toujours Ãªtre envoyÃ©es.
en texte clair afin que tout le monde puisse les lire, mÃªme les clients qui ne le sont pas
Ils sont actuellement connectÃ©s au rÃ©seau local sans fil, mais ils envisagent cette possibilitÃ©.
Nous ne pouvons donc pas le chiffrer, mais nous pouvons en valider l'intÃ©gritÃ© et l'authentification.
de la balise en ajoutant un code d'intÃ©gritÃ© de message ou un MAC.
Nous avons donc le point d'accÃ¨s ; nous utiliserons une clÃ© spÃ©ciale Ã cet effet.
ClÃ© temporelle, la grande TK.
De mÃªme qu'il existe d'autres clÃ©s que les points d'accÃ¨s fourniront Ã
les clients par exemple la clÃ© temporelle du groupe, l'IG TK, ceux-lÃ et
Ces messages sont transmis dans Epos sur LAN, message clÃ© numÃ©ro trois.
Vous devez donc passer par cette poignÃ©e de main en quatre Ã©tapes pour recevoir
cette clÃ©. Maintenant, qu'est-ce que cela signifie pour les clients qui ne sont pas associÃ©s Ã
Le rÃ©seau local sans fil est-il dÃ©jÃ opÃ©rationnel ?
Eh bien, ils pourront toujours recevoir ces balises et les analyser.
et voir ce qu'il y a Ã l'intÃ©rieur, c'est juste jusqu'Ã ce qu'ils soient rÃ©ellement associÃ©s
au sans fil et ont effectuÃ© la nÃ©gociation Epos sur LAN,
ne pourront pas analyser ce code d'intÃ©gritÃ© du message et ils ne pourront pas
pour dÃ©terminer si le point d'accÃ¨s est lÃ©gitime ou non, jusqu'Ã ce que
Ils ont dÃ©jÃ passÃ© cette Ã©tape.
Ceci sert uniquement Ã garantir l'intÃ©gritÃ©, et non le chiffrement, et est partagÃ© entre
Tous les clients, tout comme la clÃ© temporelle du groupe, sont associÃ©s Ã
ce SSID. Pour bÃ©nÃ©ficier de cette fonctionnalitÃ©, vous devez avoir un rÃ©seau protÃ©gÃ©.
Cadres de gestion activÃ©s.
Il ne s'agit donc pas d'une fonctionnalitÃ© indÃ©pendante, mais d'une option.
mais si vous le souhaitez, vous devez dÃ©jÃ utiliser PMF.
Si vous utilisez le Wi-Fi 7 ou une version supÃ©rieure, il s'avÃ¨re que la protection des balises est activÃ©e.
tout comme les cadres de gestion protÃ©gÃ©s sont nÃ©cessaires.
En fait, les trames de gestion protÃ©gÃ©es WPA3 sont dÃ©jÃ requises.
Sur les appareils Cisco, il est impossible de crÃ©er un rÃ©seau local sans fil WPA3 sans avoirâ¦
Cadres de gestion protÃ©gÃ©s.
La protection par balise, en tant que fonctionnalitÃ© secondaire, est dÃ©sormais optionnelle.
Le Wi-Fi 6E et les versions infÃ©rieures sont requis, mais au-delÃ , c'est indispensable.
Comment allons-nous concrÃ¨tement le mettre en Åuvre ?
Eh bien, sur la version 17.15 ou ultÃ©rieure, et c'est un point crucial si vous Ãªtes
Nous allons faire cela concrÃ¨tement en laboratoire. Assurez-vous que votre manette estâ¦
Si vous utilisez Android 17.15 ou une version ultÃ©rieure, vous verrez une notification lorsque vous sÃ©lectionnerez WPA3 comme option de sÃ©curitÃ©.
Pour le type de rÃ©seau local sans fil, une case Ã cocher sera dÃ©sormais disponible.
Protection des balises.
Comment savoir si cela fonctionne rÃ©ellement, si cela a un quelconque effet ?
Si vous ouvrez votre cadre de balise, vous verrez ici, sous Ã©tendu
L'octet 11 des capacitÃ©s correspond donc au dernier octet sous Ã©tendu
Si vous ouvrez cette section, vous verrez un indicateur rÃ©glÃ© sur le numÃ©ro un.
Protection contre les balises activÃ©e, oui c'est vrai, et puis tout en bas de
J'ai dÃ» couper quelques Ã©lÃ©ments de la balise, mais vous verrez le bas.
cet Ã©lÃ©ment supplÃ©mentaire, appelÃ© Ã©lÃ©ment de gestion micro, et ceci en fait
contient le code d'intÃ©gritÃ© du message, donc ces deux Ã©lÃ©ments pris ensemble
Veuillez confirmer que la fonction de protection des balises est activÃ©e.
Maintenant, il n'y a vraiment aucun moyen de voir le vrai grand TK, tout comme il n'y a pas
moyen de voir la clÃ© temporelle du groupe car mÃªme si elle est transmise
du point d'accÃ¨s au client dans Epos-Rlan, message clÃ© numÃ©ro trois
N'oubliez pas que le troisiÃ¨me message clÃ© Epos-Rlan correspond en fait au contenu.
Ces donnÃ©es sont chiffrÃ©es avec la clÃ© de chiffrement dÃ©rivÃ©e du message.
PremiÃ¨rement, nous pouvons voir ici les donnÃ©es de la clÃ© WPA et ceci va
Ãªtre notre clÃ© temporelle de groupe, peut-Ãªtre un iGtk et le grand tk si nous sommes
Je fais de mÃªme, et tout ceci est chiffrÃ© avec la clÃ© de chiffrement.
entre le client et le point d'accÃ¨s, donc quelques rÃ©flexions finales sur
Ainsi, la protection par balise ne protÃ©gera que le client contre les accÃ¨s non autorisÃ©s.
points qui tentent d'usurper l'identitÃ© lÃ©gitime par duplication d'adresse MAC
point d'accÃ¨s si quelqu'un a un point d'accÃ¨s non autorisÃ© et qu'il ne l'a pas fait
Ils ont pris la peine de le faire, ils disent : Â« Vous savez quoi ? Je vais insÃ©rer un accÃ¨s. Â»
point qui diffuse exactement le mÃªme SSID que le SSID de l'entreprise et
Je vais laisser mon adresse MAC telle quelle, je ne vais pas la changer.
Alors la protection par balise ne protÃ¨ge pas contre cela, souvenez-vous-en.
Il appartient au client de dÃ©cider quel point d'accÃ¨s il va essayer d'utiliser.
L'adhÃ©sion dÃ©pend gÃ©nÃ©ralement de la puissance ou de la clartÃ© du signal.
que le point d'accÃ¨s possÃ¨de dans sa balise, donc si mon entreprise lÃ©gitime
Le point d'accÃ¨s est derriÃ¨re plusieurs murs pour moi et le signal vient de toi.
Je connais des niveaux de sÃ©curitÃ© modÃ©rÃ©s Ã faibles, et soudain un point d'accÃ¨s non autorisÃ© est placÃ©.
Il y a de fortes chances que mon client se trouve dans la mÃªme piÃ¨ce que moi.
tentera de se connecter au point d'accÃ¨s non autorisÃ© et cette fonctionnalitÃ© ne fonctionnera pas
pour Ã©viter cela, une derniÃ¨re pensÃ©eÂ : accÃ¨s Ã l'ancien Cisco Wave 2 Aeronaut
Les modÃ¨les de points et vous avez quelques modÃ¨les ici, malheureusement je ne les ai pas.
la capacitÃ© matÃ©rielle Ã prendre en charge la protection par balise, donc si vous voulez
Essayez de faire cela en laboratoire avec votre propre point d'accÃ¨s, que vous avez peut-Ãªtre achetÃ©.
Si vous achetez sur eBay ou ailleurs, assurez-vous de ne pas acheter un modÃ¨le ancien.
Comme Ã§a, parce que vous ne pourrez pas le faire. Ceci conclut cette vidÃ©o.