Le WPA partiellement cracké en 15 mn
Erik Tews et Martin Beck auraient trouvé un moyen de partiellement cracker la protection WPA en quinze minutes.
Prouesse
Ils devraient faire la présentation de leur accomplissement la semaine prochaine lors de la PacSec Conference qui se tiendra à Tokyo. S’ils n’ont pas réussi à cracker la clé de chiffrement qui sécurise les données envoyées par le PC au routeur, il leur est possible de lire les données envoyées du routeur au PC et d’envoyer des informations erronées à des machines clientes.
Tout ce que l’on sait pour le moment est que pour arriver à leurs fins, les hackeurs force le routeur à envoyer une large quantité de données et utilisent un « algorithme révolutionnaire » qui leur permet de cracker la clé TKIP (Temporal Key Integrity Protocol) et lire les données envoyées par le routeur. Ces découvertes devraient être publiées dans une revue académique d’ici les prochains mois.
Casse-tête
On notera que ce n’est pas la première que des experts s’attaquent au WPA, mais les attaques n’utilisaient que la force brute (essayer toutes les combinaisons possibles). Le travail de ses deux informaticiens devrait compliquer la vie des entreprises, ces dernières dépendant beaucoup de cette protection considérée plus sûre que le WEP.
Il faut aussi souligner que la protection WPA2 ne semble pas concernée, ni le chiffrement AES.
- Seagate : des disques durs hybrides avec 20 Go de Flash
- Un employé d’Intel « emprunte » des documents confidentiels
- Le Wi-Fi au Népal : une belle histoire
- Seagate : des SSD pros en juin 2009
- Des tours par minute virtuels pour comparer les SSD
- 48 SP pour les 9600 GSO ? Finalement, oui
- Plus de quatre millions de freenautes
- Une gamme de SSD abordables chez OCZ
- 500 personnes de moins chez AMD
- Oubliez les cartouches R4 avec la DSi déjà crackée
- Nouvelles alimentations Topower
- Windows 7 démarrre plus vite et dure plus longtemps
- Windows 7 n’aime pas L’Hybrid SLI/CrossFire
- Test du Samsung NV100HD (Les Numériques)
- Les 13 meilleures configurations de novembre
- Une première application pour Windows Azure
- Xigmatek D984 : un ventirad venimeux
- Seagate ne connait pas la crise
hadopi a dit protégez votre connexion
auraient trouvé un moyen de partiellement cracker
Plutôt : ...auraient trouvé un moyen de cracker partiellement...
toujours la question : c'est gens la il pourrait pas dépenser leur savoir, temps et intelligence à d'autre truc....
A mon avis, c'est plutôt les particuliers que ça va emmerder : il n'y a pas tant d'entreprises que ça qui utilisent le wifi.
sur notre entreprise on est en en WiFi CCMP : http://fr.wikipedia.org/wiki/CCMP
la normalement on est tranquille...
Mai le WiFi n'est utilisé que pour les nomades pour les salles de réunion. Pour le reste on est en bon vieux RJ45.
Selon hadopi, tout à chacun est censé ne pas ignorer la loi et être un expert en sécurité informatique donc il n'y a aucun problème... (bien que ceux qui les pondent sont, pour la plus part, de sombres ignorants notoires et ministres de l'inculture...)
Ce monde est merveilleux.
Tu préfère que les hackers le sache avant les entreprises de sécurités en informatique ?
bah en génrale les hackers exploitent le travail de ses gus.... C'est rare qu'ils soient à l'origine de la découverte de la faille....
y'a les cracker et le hackers....souvent les second utilisent les travaux du premier.
Tu préfère que les hackers le sache avant les entreprises de sécurités en informatique ?
Pareil, je préfère savoir qu'une sécurité est cassée plutôt que me croire en sécurité!
d'accord mais pourquoi il ne passent pas leur temps a créer une sécurité solide plutôt que de prouver que celles existantes ne sont pas parfaite....
Pourquoi s'embêter à créer une solution encore plus solide si les précédentes sont déjà toutes incassable?
Ne serait-ce pas ce qu'on appelle réinventer la roue et donc perdre son temps?
d'accord mais pourquoi il ne passent pas leur temps a créer une sécurité solide plutôt que de prouver que celles existantes ne sont pas parfaite....
ça servirai à quoi de créer des solutions fiable si on ne sait pas que les solutions actuelles ne sont pas fiables ?!
ouais je sais
ça tourne en rond 
C'est en comprenant les failles d'un système qu'on est capable de l'améliorer!
le mieux c est de mettre des aquarium au tour de l'entreprise ça stoppe net les ondes WiFi ^^
Juste une précision concernant cet "exploit". La norme WPA indique qu'il faut un minimum de 8 caractères sur la clé.
Hors, ces gens là ont utilisé une clé à 5 caractères, ce qui réduit le temps pour la trouver.
Quelqu'un explique ça mieux que moi. C'est très instructif
http://sid.rstack.org/blog/index.p [...] les-boules
bon je suis tranquille pour mes mots de passe j'utilise ca:
https://www.grc.com/passwords.htm
@ultrabill: le lien que tu cites n'a rien à voir avec le schmiblick...
bon je suis tranquille pour mes mots de passe j'utilise ca:
https://www.grc.com/passwords.htm
Tu te crois en sécurité ? Y a que deux personne qui ont ce mot de passe : toi, et le site web.
Tu te crois en sécurité ? Y a que deux personne qui ont ce mot de passe : toi, et le site web.
ouais mais bon si tu crois ce qu'ils disent normalement tu es tranquille ensuite rien ne t'empêche de changer un ou deux caractère dans le mot de passe de cette page.
What makes these perfect and safe?
Every one is completely random (maximum entropy) without any pattern, and the cryptographically-strong pseudo random number generator we use guarantees that no similar strings will ever be produced again.
Also, because this page will only allow itself to be displayed over a snoop-proof and proxy-proof high-security SSL connection, and it is marked as having expired back in 1999, this page which was custom generated just now for you will not be cached or visible to anyone else.
bah ça propose juste des code wpa qui font plus de 5 caractère et ça évite de se les farcir soit même
ouais mais bon si tu crois ce qu'ils disent [...]
Il vont pas faire une page et dire de ne pas l'utiliser non plus. Il peuvent se la péter avec leur générateur de nombre aléatoire mieux que tout le monde et leur lien qui tue tout, mais en attendant ils ont tout ou une grande partie de ton mot de passe, et c'est pas changer 2/3 caractères qui va faire quelque chose.
Et franchement faudra me démontrer que ces mots de passes sont sensiblement meilleurs que ceux que l'on peut générer avec un générateur aléatoire qui pue pas trop, initialisé avec ce qu'on à sous la main.
batchy c'est bien mais quand tu vois la tronche des mot de passe y'a pas besoin d'être grand mathématicien pour pour te dire que les brut force va y passer trois plombe:
,\+QE3-s9a1m*,Y~jV}
pGpUjAMzWEA3oz@`m-^T{zV\y)QG%H4.:##v>\gb(
ou encore:
v-8b9Q+Af[>;;T_sD~A^]R'~cEAz`Jm\x'lF{o~
après si tu n'y crois pas ok mais sache que grc.dat existe depuis assez longtemps et que son créateur est connus dans le monde de la sécurité
et si tu crois que changer 2 3 caractère ne change pas grand chose c'est que tu es bien mal renseigné. ajoute un "ç" ou "é" ou un "à" dans un mot de passe et tu pourras être sur que tous les brut force générique qui ne prennent pas en compte les caractère accentué ne trouverons pas ton mot de passe.
batchy c'est bien mais quand tu vois la tronche des mot de passe y'a pas besoin d'être grand mathématicien pour pour te dire que les brut force va y passer trois plombe:
,\+QE3-s9a1m*,Y~jV}
pGpUjAMzWEA3oz@`m-^T{zV\y)QG%H4.:##v>\gb(
ou encore:
v-8b9Q+Af[>;;T_sD~A^]R'~cEAz`Jm\x'lF{o~
J'ai jamais dit le contraire. Par contre, que le site me dise que ces mots de passes sont soit disant plus sécurisés que ce qu'on peut faire avec un générateur aléatoire stupide, qui produit des trucs du genre :
3~$rW?|WGtOF1\W[!2)*"PsD1`&}ueY@lU$8wq/O45QB^^ ~Xu!>&j^4Puy&gv8v
Et la je le suis pas trop.
et si tu crois que changer 2 3 caractère ne change pas grand chose c'est que tu es bien mal renseigné. ajoute un "ç" ou "é" ou un "à" dans un mot de passe et tu pourras être sur que tous les brut force générique qui ne prennent pas en compte les caractère accentué ne trouverons pas ton mot de passe.
Je partait du principe que l'auteur du site cherchait à deviner ton mot de passe sachant qu'il connais la chaîne aléatoire qu'il à généré. Si tu n'a changé que deux ou trois caractères, un simple bruteforce sur les variations du mot de passe suffit...
le wifi c'est dangereux pour la santé
ça donne le cancer
le wifi c'est dangereux pour la santé
ça donne le cancer
C'est juste 10000 fois moins puissant que les émetteur Radio/TV
J'ai jamais dit le contraire. Par contre, que le site me dise que ces mots de passes sont soit disant plus sécurisés que ce qu'on peut faire avec un générateur aléatoire stupide, qui produit des trucs du genre :
3~$rW?|WGtOF1\W[!2)*"PsD1`&}ueY@lU$8wq/O45QB^^ ~Xu!>&j^4Puy&gv8v
Et la je le suis pas trop.Je partait du principe que l'auteur du site cherchait à deviner ton mot de passe sachant qu'il connais la chaîne aléatoire qu'il à généré. Si tu n'a changé que deux ou trois caractères, un simple bruteforce sur les variations du mot de passe suffit...
Ok
ultrabill > Certe, mais ça c'est en oubliant que des émetteurs radio/TV t'en as pas une dizaine dans les appartements limitrophe.
faut pas oublier que ça monte à du 227^64 caractères, ce qui donne environ 6,1045669397265959592604486237083e+150 combinaisons.
Ca fait environ, allez, à la louche, un dictionnaire bruteforce de 10^138 Téras octets.
Besoin d'un dessin ?