Bonjour et bienvenue dans cette vidÃ©o intitulÃ©e Â« Mode de transition WPA Â».
Dans cette vidÃ©o, nous allons parler de ce qui se passe lorsque vous
Vous souhaitez proposer un rÃ©seau local sans fil (WLAN) avec un SSID et vous pourriez avoir des clients.
qui ne prennent en charge que le WPA2 et d'autres clients plus rÃ©cents qui prennent en charge le WPA3.
Que faire dans cette situation ?
Et c'est prÃ©cisÃ©ment ce dont nous allons parler ici.
Nous savons donc dÃ©jÃ que le WPA3 intÃ¨gre de nombreuses fonctionnalitÃ©s qui le rendent plus sÃ»r.
Il est intrinsÃ¨quement plus robuste et plus sÃ»r que le WPA2.
Il possÃ¨de des cadres de gestion protÃ©gÃ©s.
Il offre la possibilitÃ© d'activer la protection par balise si vous le souhaitez.
Il dispose de suites de sÃ©curitÃ© plus robustes.
Certes, en mode personnel, l'authentification simultanÃ©e des Ã©gaux
est beaucoup plus robuste et gÃ©nÃ¨re des PMK par client que le WPA2 qui n'en possÃ¨de qu'un seul.
P.A. PMK pour chaque client.
Et je pourrais continuer encore et encore.
Cependant, tous les clients ne prennent pas en charge le WPA3.
Certes, des choses comme, par exemple, les anciens smartphones et tablettes, Internet
des objets connectÃ©s et de ce projet d'automatisation open source appelÃ© Home
L'automatisation ou Home Assistant ne prend pas en charge le WPA3.
Et ce ne sont que quelques exemples.
Comment proposer un SSID qui soit accessible Ã tous et que tout le monde puisse utiliser ?
Se connecter Ã quoiÂ ? Et câest prÃ©cisÃ©ment le rÃ´le du mode de transition WPA.
En rÃ©sumÃ©, lorsque vous sÃ©lectionnez le mode de transition WPA, ce que vous faites rÃ©ellement
Il s'agit simplement de proposer dans vos balises un SSID qui fait de la publicitÃ©
qu'il peut gÃ©rer les deux, WPA2 et WPA3 personnel.
La rÃ¨gle stipule donc que si un client Wi-Fi est capable de se connecter via
WPA3 SAE, ils devraient.
Seuls les clients qui ne prennent pas en charge le WPA3 doivent se connecter via l'ancienne interface.
WPA2. Or, en ce qui concerne les trames de gestion protÃ©gÃ©es, nous savons que
C'est une option.
Nous allons le constater Ã nouveau ici, lors de la configuration.
modifier votre rÃ©seau local sans fil, notamment avec un contrÃ´leur comme le Catalyst 9800,
Il y a une case Ã l'intÃ©rieur pour les cadres de gestion protÃ©gÃ©s et vous pouvez la configurer.
Il peut Ãªtre dÃ©sactivÃ©, obligatoire ou facultatif.
VoilÃ vos trois options.
Dans ce cas prÃ©cis, Ã©tant donnÃ© que vous pourriez avoir des clients WPA2 qui
Il est possible que le PMF ne soit pas reconnu car il n'Ã©tait pas obligatoire avant l'arrivÃ©e du WPA3.
En fait, vous devez vraiment le paramÃ©trer comme optionnel.
Car si vous le dÃ©finissez comme obligatoire, ces clients pourraient ne pas Ãªtre en mesure de
pour se connecter. Vous vous dites peut-Ãªtre : Â« Attendez une seconde, si je configureâ¦ Â»
Si cela devient optionnel, comment mes clients WPA3 pourront-ils se connecter ?
Eh bien, le WPA3 nÃ©cessite des cadres de gestion de protection.
Et donc, si vous vous souvenez de ma vidÃ©o oÃ¹ j'ai prÃ©sentÃ© le concept de PMF,
Je vous ai montrÃ© une capture d'Ã©cran d'une balise, une trace de renifleur d'une balise.
Et nous avons vu qu'il y avait deux Ã©lÃ©ments pour les drapeaux.
L'un de ces extraits indiquait que les cadres de gestion de protection en Ã©taient capables.
Autrement dit, moi, le point d'accÃ¨s, je peux le faire si vous le souhaitez.
Et puis il y avait un autre indicateur qui, s'il Ã©tait rÃ©glÃ© sur un, disaitÂ : vous avez
utiliser des cadres de gestion protÃ©gÃ©s.
Donc, dans ce cas prÃ©cis, si nous le dÃ©finissons comme optionnel, la balise sera
On dit qu'il en est capable.
Il n'est pas indiquÃ© que c'est obligatoire.
Il indiquera qu'il en est capable.
Et lorsque les clients WPA3 constatent cela, ils sont tenus d'utiliser une protection.
cadres de gestion.
Voici comment crÃ©er un rÃ©seau local sans fil en mode transition.
Donc, dans la section sÃ©curitÃ©, vous sÃ©lectionnez WPA2 et WPA3, ou autre.
Il effectue une recherche dans votre interface utilisateur Web pour votre produit spÃ©cifique.
Vous auriez alors sÃ©lectionnÃ© AES CCMP 128, car pour les besoins personnels
Il ne prend en charge que le mode WPA2.
Il prend uniquement en charge AES CCMP.
Ensuite, dans la gestion de vos clÃ©s d'authentification, vous sÃ©lectionnerez les deux options.
ClÃ© prÃ©-partagÃ©e, dont les clients WPA2 auront besoin, et SAE pour le WPA3.
clients. Et puis Ã§a s'arrÃªte un peu en bas, mais vous Ãªtes
Vous devrez tout de mÃªme saisir votre phrase de passe pour le rÃ©seau local sans fil.
Les deux types de clients WPA seront utilisÃ©s pour se connecter.
Et vous pouvez donc voir ici, voici une partie de la balise.
Et ceci se trouve dans l'Ã©lÃ©ment d'information du rÃ©seau de sÃ©curitÃ© robuste.
Et vous pouvez maintenant constater que, dans la section Â«Â Gestion des clÃ©s d'authentificationÂ Â», il est indiquÃ©Â :
En rÃ©alitÃ©, je prends en charge deux types diffÃ©rents de clÃ©s de gestion.
Vous pouvez vous connecter Ã moi avec une clÃ© prÃ©-partagÃ©e, ou vous pouvez vous connecter Ã moi avec
Authentification simultanÃ©e des Ã©gaux.
Ceci confirme donc que le point d'accÃ¨s prend en charge une transition.
mode rÃ©seau local sans fil.
TrÃ¨s bien. Vous savez probablement maintenant que le GCMP 128 est beaucoup plus puissant qu'un
Algorithme de chiffrement supÃ©rieur Ã AES CCMP.
La question pourrait donc Ãªtre : puis-je utiliser les deux ?
Est-il possible que mes clients WPA2 utilisent l'AES et mes clients WPA3 le GCMPÂ ?
128 dans un rÃ©seau local sans fil en mode transitionÂ ?
La rÃ©ponse est non, vous ne pouvez pas.
N'oubliez pas que les clients WPA2 ne comprennent que le protocole CCMP.
Les clients WPA3 peuvent utiliser GCMP 128.
Mais cela ne fonctionnera que lorsque le rÃ©seau local sans fil sera configurÃ©.
Uniquement pour le WPA3, pas pour le mode de transition.
Voici donc ce que vous verrez.
Nous avons donc ici notre rÃ©seau local sans fil en mode transition.
Et nous l'avons essayÃ©.
Nous avons essayÃ© de cocher ces deux cases ici mÃªme.
Et dÃ¨s que vous le faites, vous obtenez ce message d'erreur ici en rouge.
Et notez que j'ai sÃ©lectionnÃ© SAE et PSK.
En rÃ©sumÃ©, la seule faÃ§on de faire fonctionner GCMP est d'utiliser
802.1x. En gros, si vous dÃ©sÃ©lectionnez SAE et PSK, par exemple si vous ditesÂ :
Je vais le faire.
Je vais aller ici et je vais dÃ©sÃ©lectionner ceci pour que seul
Le GCMP 128 est utilisable.
Puis-je faire cela dans un rÃ©seau local sans fil en mode transitionÂ ?
Oui, c'est possible. Mais la seule faÃ§on d'y parvenir est de dÃ©sÃ©lectionner.
SAE, j'ai dÃ©sÃ©lectionnÃ© la clÃ© prÃ©-partagÃ©e et j'ai utilisÃ© Ã la place la douce B1x.
Et vous remarquez le 1x lÃ -dedans ?
Cela devrait vous mettre la puce Ã l'oreille : il s'agit de la norme 802.1x.
Il s'agit donc dÃ©sormais de le transformer en un rÃ©seau local sans fil d'entreprise, et non plus.
un rÃ©seau local sans fil personnel.
En rÃ©sumÃ©, si vous souhaitez utiliser WPA2 personnel et WPA3
Si vous utilisez une mÃ©thode personnelle, Ã©galement connue sous le nom de SAE, vous ne pouvez pas effectuer de GCMP.
Vous ne pouvez utiliser que l'AES CCMP 128.
C'est la seule qui fonctionnera.
TrÃ¨s bien. Vous remarquerez peut-Ãªtre aussi que sur certaines plateformes, commeâ¦
Sur le modÃ¨le 9800, il existe une case Ã cocher appelÃ©e Â«Â dÃ©sactiver la transitionÂ Â».
Et vous vous demandez peut-Ãªtre : que se passe-t-il si je clique lÃ ?
D'accord. Si vous cliquez dessus, cela activera un indicateur appelÃ© la transition.
DÃ©sactiver le drapeau dans la balise.
Et c'est en fait assez intÃ©ressant la faÃ§on dont cela fonctionne.
Cela signifie que si un rÃ©seau local sans fil se connecte Ã ce SSID via WPA3,
Devinez quoi ? Il verra ce drapeau.
Il mettra cet Ã©tat en cache.
Il dira : Â« Oh, je connais ce SSID particulier, ce rÃ©seau sans fil. Â»
Sur le rÃ©seau local, je n'ai pas le droit de revenir au WPA2.
Une fois connectÃ© via WPA3, je dois toujours me connecter en WPA3.
Non seulement sur ce point d'accÃ¨s, mais sur tout point d'accÃ¨s qui fait de la publicitÃ©
Ce SSID. Et voilÃ ce que cela signifie.
Cela signifie qu'une fois connectÃ© via WPA3, vous ne pourrez plus jamais revenir Ã WPA2.
Donc, si vous savez Ã l'avance que tous vos points d'accÃ¨s prennent en charge les deux
WPA2 et WPA3, c'est une bonne idÃ©e.
Maintenant, par exemple, vous savez, que se passerait-il si vous aviez un ou deux points d'accÃ¨sÂ ?
LÃ -bas, ils faisaient la publicitÃ© de ce mÃªme SSID.
Mais sur ces points d'accÃ¨s, peut-Ãªtre leurs points d'accÃ¨s autonomes, vous
Vous savez, autonomes ou quelque chose comme Ã§a, ces points d'accÃ¨s, ils font de la publicitÃ©
Il ne prend en charge que le WPA2, vous savez, peut-Ãªtre qu'ils sont plus anciens, ils ne prennent pas en charge le WPA3,
mais vous voulez donner aux gens qui se trouvent dans ce coin reculÃ© du bÃ¢timent un accÃ¨s
au rÃ©seau local sans fil.
Donc, sur ces points d'accÃ¨s, vous dites : Â« OK, je vais diffuser le mÃªme SSID. Â»
mais en WPA2. Eh bien, si vos points d'accÃ¨s rÃ©cents prennent en charge les deux, vous
Si l'indicateur de dÃ©sactivation de la transition Ã©tait activÃ©, cela pourrait poser problÃ¨me.
Parce que, vous savez, John qui est au premier Ã©tage de l'immeuble, vous
Je sais, il pourrait se connecter via WPA3.
Et maintenant, il est bloquÃ© lÃ -dedans Ã cause de cet indicateur de dÃ©sactivation de la transition.
John erre alors dans tout le bÃ¢timent, puis finit par se diriger vers
Ce coin oÃ¹ se trouvent les autres points d'accÃ¨s, il diraÂ : Â«Â Eh bien, je veuxâ¦Â Â»
Rome est juste lÃ , mais je ne peux pas car les balises que je vois ne fonctionnent pas.
L'option de dÃ©sactivation de la transition ne fonctionne pas, ils ne proposent que le WPA2.
Et on m'a dÃ©jÃ indiquÃ© par d'autres points d'accÃ¨s que je ne pouvais pas me connecter.
via WPA2. John ne pourrait donc pas se connecter Ã ces points d'accÃ¨s.
Câest pourquoi vous ne devez cocher cette case que si vous savez que tous les
Vos points d'accÃ¨s prennent en charge Ã la fois WPA2 et WPA3.
Et voici Ã quoi cela ressemble.
Voici donc la case pour dÃ©sactiver la transition.
Quelques autres prÃ©cisions Ã ce sujet.
Il s'agit donc d'une implÃ©mentation relativement nouvelle.
Donc, ceci a Ã©tÃ© mis en Åuvre aprÃ¨s 2018 et WPA3.
En ce qui concerne Cisco et leurs contrÃ´leurs LAN sans fil 9800, ils
AjoutÃ© ceci vers le 17 mai 17.6.
Et en ce qui concerne la propagation des points d'accÃ¨s, cette partie appelÃ©e transition
dÃ©sactiver le bit dans leur balise.
Donc, si vous avez un point d'accÃ¨s plus ancien comme celui-ci, il
ne le soutiendra pas.
Voici donc un autre exemple de configuration dans
Le contrÃ´leur du rÃ©seau local sans fil ne vous affiche aucun message d'erreur.
Et pourtant, cela ne fonctionne pas correctement sur le point d'accÃ¨s.
Similaire Ã ma prÃ©sentation sur la protection des balises et Ã la protection des balises, cela
C'Ã©tait le mÃªme genre de chose oÃ¹ vous pouviez sÃ©lectionner la protection par balise
case Ã cocher dans le contrÃ´leur de rÃ©seau local sans fil.
Mais les points d'accÃ¨s plus anciens, comme ceux de cette liste, si vous
Si vous captiez leurs balises, vous verriez qu'il n'y avait pas de micro Ã l'intÃ©rieur.
Ils n'Ã©taient pas protÃ©gÃ©s car leur matÃ©riel ne le permettait pas.
La mÃªme chose est vraie ici.
Il existe cependant certains risques liÃ©s au mode de transition, dont vous devez Ãªtre conscient.
de cela. Alors souvenez-vous, il y a une raison pour laquelle nous voulons que nos clients WPA3 soient des clients WPA3.
fonctionner en mode WPA3, car il est plus sÃ»r, plus sÃ©curisÃ©,
C'est pratiquement impossible.
Si tous vos clients fonctionnaient en mode WPA3, cela va
Il serait quasiment impossible pour un acteur malveillant extÃ©rieur de dÃ©couvrir simplement
En analysant le trafic, on peut dÃ©terminer quelle est la clÃ© principale de paire sur chacun de ces appareils.
clients, ou mÃªme quelles sont les phrases de passe WPA3 pour se connecter au rÃ©seau sans fil
Le rÃ©seau local (LAN) en premier lieu.
La simple capture d'images ne leur permettra pas de procÃ©der Ã une rÃ©tro-ingÃ©nierie.
Cela. Mais avec le WPA2, surtout si votre phrase de passe est relativement simple,
Il est possible de dÃ©duire par rÃ©tro-ingÃ©nierie qu'il existe des documents bien connus
des attaques contre les clients WPA2 capables de faire exactement cela.
Si vous Ãªtes en pÃ©riode de transition, une rÃ©trogradation est possible.
attaque, oÃ¹ un acteur malveillant pourrait falsifier des balises pour tenter d'influencer
WPA : trois clients doivent se dissocier, se dÃ©sauthentifier, puis se rÃ©authentifier.
et s'associer uniquement en mode WPA2.
Et maintenant, ils pourraient peut-Ãªtre deviner le mot de passe une fois qu'ils auront fait cela.
Et aussi, comme vous avez des appareils de diffÃ©rentes marques lÃ -dedans, ces appareils
Le fonctionnement en mode WPA Ã deux modes prÃ©sente toujours la mÃªme vulnÃ©rabilitÃ©,
Comme indiquÃ©, nous sommes en pleine transition, et nous sommes en train de tout faire Ã©voluer.
Nous espÃ©rons que d'ici quelques mois, tous nos clients prendront en charge le WPA3.
Nous pourrons alors dÃ©cocher WPA2 et tout configurer pour utiliser WPA3.
Ceci conclut cette vidÃ©o sur les rÃ©seaux locaux sans fil en mode de transition WPA.
Merci d'avoir regardÃ©.