Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

▶ Wifi : WPA2 menacé par des failles critiques ◀

jeange

Merci xubu pour #13.

moko138

jeange a écrit J'emploie:

sudo apt-get update && sudo apt-get dist-upgrade

Continue comme ça . Cf. Hoper in ./viewtopic.php?pid=21801346#p21801346

xubu1957

Bonjour,

@ DRbuntu91

Atteint:1 http://mirrors.ircam.fr/pub/ubuntu/archive xenial InRelease

Il n'est pas certain que le site miroir était à jour au moment T, tu peux changer de serveur de téléchargement > software-properties#logiciels_ubuntu.

moko138

DRbuntu91 a écritje n'ai pas l'impression que la version de kernel ai changé!Voila - mais je n'ai pas l'impression que la version de kernel ai changé!

La mise à jour du paquet wpasupplicant n'a rien à voir avec le noyau.
Montre

cat /var/log/apt/history.log | grep -C2 wpasupplicant

si tu veux voir si la mise à jour du paquet a pu avoir lieu sans que tu la voies.
Mais il est probable que la mise à jour que tu feras ce matin

sudo apt-get update && sudo apt-get dist-upgrade

comportera la nouvelle version de wpasupplicant.

grandtoubab

on peut toujours dire, comme certains dans cette discussion, que les journalistes affolent les gens pour vendre leur prose mais voici quand même le communiqué de l'agence gouvernementale de sécurité informatique

http://www.cert.ssi.gouv.fr/alerte/CERTFR-2017-ALE-014/

nam1962

Un truc me gène : W$ dit avoir patché son update du 10 octobre : https://www.windowscentral.com/microsoft-has-already-patched-krak-wpa2-wi-fi-vulnerability ceci voudrait-il dire que tout le monde n'a pas réagi à la même vitesse ?

bruno

Le Cert-fr fait son boulot et je maintiens mes propos sur certains articles publiés sur le sujet. Le problème est réel et ne doit pas être négligé mais cela concerne essentiellement les administrateurs système les développeurs et les fabricants de matériel.

Pour le particulier et son réseau Wi-Fi la probabilité d'être victime de cette faille est quasi nulle. Il faudrait qu'une personne se trouvant dans le périmètre de son point d'accès, donc très proche (un voisin par exemple), ait les compétences pour exploiter cette attaque en mode MITM et puisse ensuite déchiffrer les trames réseau.
Pour les points d'accès publics, faille ou pas, j'espère que personne ne fait confiance à ces points d'accès et n'utilise de données sensibles dessus en dehors des protocoles sécurisés (HTTPS, SFTP, etc.)

D'autre part les chercheurs à l'origine de cette découverte ont prévenu les différents acteurs impliqués en juillet 2017 et n'ont publiés leurs résultats qu'hier. Ceci laissait largement le temps à chacun de concevoir et publier des correctifs. On remarquera au passage l'attitude contestable d'OpenBSD décrite dans le dernier paragraphe de l'article d'origine.

Pour wpa-supplicant les correctifs ont été publiés le 2 octobre, ce qui encore une fois laissait le temps aux distributions de les intégrer (le 14 octobre pour Debian).

DRbuntu91

Bonjour a tous
Le paquet n'était pas a jour hier soir. Comme suggéré, j'ai changé de serveur puis refait une nouvelle mise a jour qui se termine ainsi:

Les paquets suivants seront mis à jour :
  wpasupplicant
1 mis à jour, 0 nouvellement installés, 0 à enlever et 0 non mis à jour.
Il est nécessaire de prendre 902 ko dans les archives.
Après cette opération, 4 096 o d'espace disque supplémentaires seront utilisés.
Souhaitez-vous continuer ? [O/n] o
Réception de:1 http://bouyguestelecom.ubuntu.lafibre.info/ubuntu xenial-updates/main amd64 wpasupplicant amd64 2.4-0ubuntu6.2 [902 kB]
902 ko réceptionnés en 1s (892 ko/s)   
(Lecture de la base de données... 264830 fichiers et répertoires déjà installés.)
Préparation du dépaquetage de .../wpasupplicant_2.4-0ubuntu6.2_amd64.deb ...
Dépaquetage de wpasupplicant (2.4-0ubuntu6.2) sur (2.4-0ubuntu6) ...
Traitement des actions différées (« triggers ») pour man-db (2.7.5-1) ...
Traitement des actions différées (« triggers ») pour dbus (1.10.6-1ubuntu3.3) ...
Paramétrage de wpasupplicant (2.4-0ubuntu6.2) ...
xwop@CLEVO:~/Bureau$

PS: je ne me sens pas vraiment en danger puisque j'ai compris que pour exploiter la faille et faut être a proximité de la box (et ma vieille FB ne va guerre plus loin que 10 mètres, autant dire que le hacker devrait être dans mon immeuble! Par-contre quid des téléphones (j'ai un Android et un LineageOS)?

Encore un grand merci a tous!

Willy

nam1962

@DRbuntu91 passe par

software-propertie-gtk

et met plutôt "serveur france", ça t'évitera les éventuels retards d'un serveur spécifique

CM63

xubu1957 a écritcette faille a été mise à jour

"Mise au jour", et pas "mise à jour", parce que "mise à jour" ça a l'air de dire qu'elle est déjà corrigée :/

bruno

PS: je ne me sens pas vraiment en danger puisque j'ai compris que pour exploiter la faille et faut être a proximité de la box (et ma vieille FB ne va guerre plus loin que 10 mètres, autant dire que le hacker devrait être dans mon immeuble! Par-contre quid des téléphones (j'ai un Android et un LineageOS)?

Pour ta Freebox si tu es parano tu met un filtrage par adresse MAC (liste blanche), ce la va encore sérieusement compliquer la tâche déjà très ardue de l'attaquant.

Pour les appareils sous Android, out tout autre périphérique Wi-Fi plus ou moins privateur : imprimante ou sex-toy connecté, cela dépend du bon vouloir du fabricant. Autant dire que la plupart de ces appareils ne verront jamais de correctif…
De toute façon la confiance dans ce type d'appareil doit être la même que celle d'un réseau public, c'est à dire quasiment nulle pour toute opération sensible.

CM63

[Android]

bruno a écrit De toute façon la confiance dans ce type d'appareil doit être la même que celle d'un réseau public, c'est à dire quasiment nulle pour toute opération sensible.

Ça veut que si (comme moi(1)) on a bloqué les mises à jour , on peut se faire pomper nos contacts , par exemple?

(1) : parce que j'en ai marre qu'il m’installe plein d'applis dont je ne veux pas.

[supprimé]

Plop! Parano sécuritaire de toute évidence comme le signale fort justement Rufus. Qui peut décemment penser qu'une connexion wifi est sécurisée ?
Non, pour les ceusses qui s'intéressent à la sécurité informatique, je me souviens de Benjamin Bayart qui recommandait, par exemple pour les maisons médicales, de ne faire qu'un réseau filaire pour des raisons de confidentialités...
Ce miasme démontre deux choses à mon sens:
¹: Que le monde du logiciel libre est réactif puisqu'une publication d'un correctif est déjà disponible
²: Que la partie la plus importante d'un OS reste son utilisateur, aucun système n'est sûr à 100%.

Il y a bien longtemps que je ne me connecte plus au wifi public ou au wifi proposé par un lieu...

xubu1957

CM63 a écrit
xubu1957 a écritcette faille a été mise à jour
"Mise au jour", et pas "mise à jour", parce que "mise à jour" ça a l'air de dire qu'elle est déjà corrigée :/

Je vais corriger dans la citation seulement, n'étant pas correcteur de presse. 😉

jeange

xubu1957 serait lent ?
n'étant pas correcteur de presse.

Ça urge :lol:

xubu1957

jeange a écrit Ça urge :lol:

chi va piano, va sano e va lontano

😛

nam1962

Entre les mises au jour de CM63 et les sextoys connectés de bruno, ce fil va partir en sucette ! :lol:

jeange

nam1962 est inquiet
ce fil va partir en sucette !

Je veux bien une boîte de 12 au caramel. 😉

Nuliel

Bonjour,

Pour les appareils qui seront jamais mis à jour: http://www.commitstrip.com/fr/2017/10/16/wpa2-vulnerability-just-a-small-update/

xubu1957

nam1962 a écritEntre les mises au jour de CM63 et les sextoys connectés de bruno, ce fil va partir en sucette ! :lol:

Faites gaffe > sextoy-connecte-collectait-les-donnees-des-utilisateurs-3.5-millions-d-euros-d-amende. :lol:

Et en plus, toutafai n'a pas laissé d'instructions particulières pour ce type d'appareil, je ne pourrais pas vous aider.

« Page précédente Page suivante »