Le problème de la vulnérabilité Wi-Fi KRACK d'octobre 2017 nous a rappelé à tous, une fois de plus, que la sécurité doit être une priorité pour toute personne responsable de la sécurité des appareils et des communications réseau. KRACK(Key Reinstallation Attack) impliquait un problème avec le protocole WPA2, qui chiffre le trafic Wi-Fi pour une immense majorité d'appareils et de routeurs aujourd'hui. En d'autres termes, ce problème a touché presque tous les utilisateurs d'ordinateurs.
Que pouvons-nous apprendre de cela ?
Leçon 1 : les failles de sécurité ne sont pas une surprise
Malheureusement, ces problèmes sont attendus, car ils constituent une réalité prévisible dans le monde des communications sans fil. Mais il y a une lueur d'espoir. Ces connaissances nous permettent d'établir et de suivre les meilleures pratiques. La leçon clé ici n'est pas un flash d'information sur l'importance de la sécurité. Il s'agit simplement d'un rappel : vous ne devez en aucun cas vous reposer sur une seule méthode de sécurité pour protéger votre réseau contre les attaques.
Un réseau typique suit le modèle de communication OSI à 7 couches*, et chacune de ces couches peut utiliser des mesures de sécurité. Ces couches sont les suivantes :
- Couche physique: Les fonctions au niveau du matériel. L'objectif principal de cette couche est de définir les signaux physiques responsables de la transmission à travers le support qui supporte la communication.
- Couche liaison de données: La couche responsable de la définition du protocole pour les transferts de données directs de nœud à nœud au niveau des bits. Les protocoles peuvent inclure les protocoles sans fil 802.11 entre la station et le point d'accès. Les types de communication, tels que Wi-Fi ou Ethernet, peuvent varier dans cette couche. La vulnérabilité KRACK s'est produite au niveau de cette couche.
- Couche réseau: La couche responsable du traitement des données dans un réseau multi-nœuds et de la gestion des communications entre les hôtes qui utilisent divers protocoles. Un exemple de protocole est le protocole Internet (IP) version 4.
- Couche de transport: La couche qui gère le contrôle du flux des données. Il s'agit généralement de la couche TCP.
- Couche session: La couche qui gère les sessions de communication et l'authentification via des protocoles d'application communs.
- Couche de présentation: La couche qui convertit les données entrantes et sortantes dans un autre format de présentation, et qui peut décrypter les données cryptées. Cette couche est généralement celle où se produisent les flux de cryptage SSL/TLS.
- Couche d'application: La couche qui gère l'entrée et la sortie des données d'application formatées avec des applications telles que les clients de messagerie et les navigateurs web.
Notez que nous avons pris quelques libertés avec la définition des protocoles TCP/IP et le modèle OSI à 7 couches. Le protocole TCP/IP ne s'intègre pas parfaitement au modèle OSI. Cependant, nous estimons que l'utilisation du modèle OSI est essentielle pour examiner la sécurité des réseaux et des applications.
Leçon 2 : Employer la meilleure pratique de "sécurité en profondeur".
Dans une application véritablement sécurisée, la sécurité intervient sur plusieurs couches, et au minimum sur les couches liaison de données, transport et présentation. La stratégie de sécurité de votre application ne doit pas reposer sur une seule couche. Chacune des couches de ce modèle peut et va échouer, parfois de façon spectaculaire.
Par conséquent, une bonne pratique consiste à surveiller et à mettre en œuvre des méthodes de sécurité conformes aux normes industrielles dans le plus grand nombre possible de couches de votre réseau. Lorsqu'une vulnérabilité ou une attaque de sécurité cible l'une des couches, vous disposerez alors d'autres mesures robustes en place. Ces mesures sont votre carte "sortie de prison" lorsqu'une couche est compromise.
Prenons l'exemple du Wi-Fi et des vulnérabilités KRACK. Avec le Wi-Fi, vos données sont transmises de votre appareil au point d'accès, et personne ne peut les lire ou les décoder. En revanche, si tout le monde est connecté à un concentrateur de réseau, vous pouvez effectivement voir le trafic de chacun. La vulnérabilité KRACK, qui affectait tous les systèmes mettant en œuvre la norme WPA/WPA2, permettait à chacun de voir effectivement votre trafic de la même manière, comme s'il se trouvait sur le même réseau câblé.
Avec le Wi-Fi (au niveau de la couche Transport), vous ne pouvez pas contrôler une station malveillante qui écoute le signal radio Wi-Fi. C'est pourquoi vous devez disposer de protocoles de sécurité tels que la norme WPA/WPA2 pour crypter le trafic. En outre, si vous disposez également des protocoles de niveau session TLS les plus récents, vous êtes protégé même en cas de vulnérabilité du Wi-Fi.
Leçon 3 : la durée de vie de toute mesure de sécurité est limitée
Les méthodes de sécurité expirent. Étant donné que les failles de sécurité peuvent se produire et se produisent effectivement sur une base fréquente (généralement mesurée en mois et non en années), les normes de protection de nos réseaux et de nos données doivent être mises à jour régulièrement. Le secteur des réseaux a été frappé à plusieurs reprises par des événements qui ont fait la une des journaux, comme le problème POODLE qui a compromis SSL et TLS 1.0, ainsi que de nombreuses autres attaques contre les méthodes d'authentification, de certification et de vérification sur plusieurs couches et méthodes de communication.
À mesure que les protocoles et les normes de sécurité évoluent, il appartient aux entreprises et à leurs gestionnaires de réseau d'utiliser ces mises à jour pour protéger leurs systèmes et leurs réseaux.
Leçon 4 : Travailler avec des fournisseurs de produits qui s'engagent en faveur de la sécurité
La sécurité exigeant une approche sur plusieurs fronts, il est important de veiller non seulement à ce que votre politique de mise en réseau soit solide, mais aussi à ce que les produits que vous intégrez à vos systèmes soient conçus pour la sécurité.
Présentation de TrustFence® de Digi
- Développer des produits qui intègrent des fonctionnalités permettant d'atténuer les vulnérabilités de sécurité et les attaques les plus courantes contre les dispositifs.
- S'engager à se tenir au courant de l'amélioration continue du cycle de vie de la sécurité.
Choisir des produits construits sur ce modèle vous permet d'intégrer facilement la sécurité des appareils, l'identité des appareils et les capacités de confidentialité des données dans vos systèmes et conceptions.
En résumé
Si l'objectif d'être "à l'épreuve des balles" n'est peut-être pas réaliste, il est essentiel de créer une stratégie solide qui vous aide à vous préparer et à répondre aux problèmes de sécurité, avant qu'ils ne surviennent et lorsqu'ils surviennent. Il s'agit notamment de maintenir des normes actualisées sur plusieurs couches de réseau et d'intégrer des produits conçus pour s'adapter aux menaces de sécurité à mesure qu'elles évoluent.