Krack: comment protéger votre réseau wifi

Les réseaux wifi du monde entier sont touchés par une faille de sécurité importante. La vulnérabilité du protocole de chiffrement WPA2, utilisé par quasiment tous les réseaux wifi pour se protéger des intrusions, a été démontrée par des chercheur de l'université belge de Louvain.

LIRE AUSSI >> Krack: la faille qui met votre réseau wifi à la merci des pirates

Selon eux, la faille rend possible "le vol d'informations sensibles comme les numéros de cartes bancaires, les mots de passe, les messages instantanés, e-mails et photos envoyés par le wifi". Les systèmes d'exploitation Linux et Android (Google) sont particulièrement vulnérables ainsi que, dans une moindre mesure, ceux d'Apple et de Windows.

Tous les appareils communiquant à travers un réseau wifi -box, ordinateurs, télévisions, consoles de jeux, mais aussi les tablettes et téléphones portables- sont donc concernés. Comment s'en protéger? L'Express fait le point.

La première solution est de mettre à jour ses appareils, mais aussi son routeur, le boîtier qui fait transiter les données. Microsoft a par exemple publié une mise à jour de sécurité le 10 octobre. Il faut l'installer si vos mises à jour ne sont pas automatiques.

LIRE AUSSI >> Piratage massif: de mignons ours en peluche connectés "espionnaient" des enfants

"Mettre à jour est toujours une bonne idée, mais tous les constructeurs n'ont pas encore de patch", note Stéphane Bortzmeyer, ingénieur réseau spécialisé dans ces questions de sécurité informatique, interrogé par L'Express. Google a par exemple assuré "être au courant du problème", concernant Android, mais ne déploiera de "correctifs pour tous les appareils concernés" que "dans les semaines qui viennent".

En attendant, il vaut donc mieux éviter d'utiliser le wifi et privilégier la 4G ou l'utilisation de câbles RJ45 pour relier box, ordinateurs et consoles.

Si l'on veut aller encore un peu plus loin dans la protection, "le principal conseil est de privilégier les solutions de sécurité de bout en bout", souligne Stéphane Bortzmeyer. En clair, privilégier des protocoles de chiffrement "de bout en bout", qui utilisent des clés de chiffrement pour masquer les données, se connecter uniquement aux sites "HTTPS", ou encore utiliser des applications comme WhatsApp, Telegram ou Signal -même si elles ne sont pas toujours parfaites.

L'agence américaine de sécurité informatique (Cert) -qui fait partie du ministère de la Sécurité intérieure- conseille de son côté d'utiliser une connexion sécurisée par VPN [Virtual private network].

LIRE AUSSI >> Voici comment savoir si des pirates connaissent votre mot de passe

Selon Stéphane Bortzmeyer, "c'est une moins bonne variante du conseil 'privilégiez la sécurité de bout en bout'". Pourquoi ? "Parce que le problème du VPN est qu'il faut faire confiance à un intermédiaire [la société qui gère le VPN], à la fois une confiance politique et une confiance technique. Bref, il vaut mieux utiliser directement des solutions de sécurité de bout en bout, qui dispensent de devoir faire confiance aux intermédiaires."

Si la faille concerne une grande majorité des appareils qui se connectent au wifi -tablettes, consoles de jeux, ordinateurs et téléphones portables- il faut rappeler qu'elle n'est exploitable que si le pirate est assez proche géographiquement de votre réseau. En clair? Vous ne pourrez pas vous faire pirater par une personne se trouvant à l'autre bout de la planète. De plus, ce dernier ne pourra attaquer que le réseaux wifi. Si vous n'y êtes pas connecté, aucun risque.

D'une manière générale il faut toujours se méfier des bornes d'accès Wifi, "ce qui était déjà vrai avant Krack", précise d'ailleurs l'ingénieur réseau. L'idéal est d'éviter tant que possible les bornes "type FreeWifi" disponibles un peu partout en ville, et tous les réseaux publics qui ne sont pas protégés par un mot de passe, comme ceux qu'on peut trouver dans les gares, cafés ou aéroports. Surtout si nos données ne sont pas chiffrées.

"Au final, il ne faut pas faire confiance aux points d'accès [wifi], WPA2 ou pas qui émanent d'un tiers: ils peuvent être contrôlés par un attaquant", abonde Stéphane Bortzmeyer.