Une faille de sécurité facilite le piratage des box Orange et SFR

Par

le

Une faille critique de sécurité concernant la fonctionnalité WPS des box de certains opérateurs facilite le piratage de celles-ci.

Une nouvelle faille de sécurité a été découverte sur les box de certains opérateurs français. Celle-ci permet de récupérer le mot de passe Wi-Fi et ainsi de se connecter au réseau cible.

Sur les box internet, la technologie WPS (WiFi Protect Setup) couplée à un bouton permettent de reconnaître facilement des appareils afin de leur permettre d’utiliser le réseau Wi-Fi en question, sans avoir à recopier manuellement la longue clé WPA. Si à priori, il faut être à proximité du routeur pour pouvoir effectuer la manipulation, une faille de type 0-day permet de passer outre cette étape.

Selon le forum crack-wifi.com, le problème vient du fait que l’appairage WPS est activé par défaut. En effet, sur certaines box, il est mal configuré, acceptant ainsi l’appairage WPS avec l’entrée d’un code PIN nul. Cependant, grâce au logiciel reaver (version 1.6.1) disponible gratuitement et conçu pour tester (ou pirater) la sécurité des réseaux Wi-Fi, il est possible de lancer une demande d’appairage par WPS avec ce même code PIN nul. En procédant de la sorte, le logiciel parvient sans difficulté à se connecter à la box. Une fois que cela est fait, la clé WPA2 est alors extrêmement simple à récupérer.

Sur la vidéo ci-dessous, une démonstration de la vulnérabilité est réalisée avec la distribution Kali Linux, qui regroupe des outils pour les tests de sécurité et intrusion, et le logiciel Reaver cité plus haut dans l’article.

D’après le site spécialisé ZATAZ, « Toutes les box ne sont pas concernées, mais nos tests valident la faille pour les Livebox 2 et 3 de chez Orange et Neufbox 4, 6 et 6V pour SFR « .

Si une mise à jour du firmware sera nécessaire pour corriger cette brèche, il est déjà possible de se protéger en attendant qu’Orange et SFR réagissent. Pour cela, il suffit d’aller dans les pages de configuration de votre box internet et de désactiver totalement la fonctionnalité WPS.


Articles recommandés