Test d’intrusion Wifi

Méthodologie

Reposant sur les principaux standards en termes de test d’intrusion et de gestion du risque, la méthodologie adoptée et sans cesse affinée par Sysdream assure le bon déroulement de nos prestations : couverture du périmètre, analyse du risque efficace et réaliste, effets de bord minimisés.

• Open Source Security Testing Methodology Manual (OSSTMM)
• OWASP Testing Guide
• OWASP Risk Rating Methodology
• Licensed Penetration Tester (LPT)

Livrable

Chaque test d’intrusion fait l’objet d’un rapport rendant compte des attaques et de l’analyse effectuée par le consultant. Le livrable fourni par Sysdream est destiné d’une part au comité de direction, d’autre part aux équipes techniques en charge de la plateforme et de sa sécurité.

Organisation du rapport
Synthèse générale (CODIR)
La synthèse générale expose de manière synthétique le niveau de risque global ainsi que les conclusions de l’expertise. Elle propose plusieurs approches de l’analyse de risque : par facteurs et par domaine technique. Un plan d’action indicatif est également fourni afin de synthétiser l’ensemble des recommandations du rapport et de les inclure dans une démarche plus générale.

Profil technique du périmètre
À destination des techniciens en charge de la plateforme, cette section établit le profil technique tel qu’il a été découvert puis analysé par le consultant. Sont notamment mentionnés : les actifs détectés (machines, services), les points d’entrée potentiels, les informations recensées.

Description des vulnérabilités
À destination des techniciens en charge de la plateforme, la section détaille les aspects techniques relatifs à chaque vulnérabilité découverte. Pour chaque problème identifié, une approche générale est proposée, décrivant le type d’erreur commise et les contremesures standards s’appuyant sur des références solides. Des détails sont ensuite fournis sur la démarche de l’attaquant, de la découverte à l’exploitation, fournissant également les principaux éléments nécessaires à l’analyse du risque (plausibilité de l’attaque, mesure de l’impact en situation réelle).

Les outils employés et/ou développés pour mener à bien les attaques sont mentionnés, de sorte qu’une preuve de concept puisse être mise en œuvre par le lecteur du rapport.

Cas d’étude

Le cas d’étude présenté est purement fictif, mais décrit des situations plausibles afin d’illustrer la démarche et l’intérêt du test d’intrusion Wi-Fi pour la sécurité des systèmes d’information.

Motivations
La société Philère dirige un large site de production textile, supervisé par une centaine d’opérateurs. Les locaux accueillent au total plus de 150 employés et le système d’information a été pensé pour répondre aux contraintes de la production industrielle : des services de messagerie sont hébergés en interne, des serveurs de suivi de production (SCADA) sont chargés du contrôle et de la consolidation de données. Pour accéder à ces services, chaque employé dispose de matériel mobile : ordinateurs portables, tablettes durcies pour le milieu industriel.

Afin de couvrir efficacement le périmètre, la direction informatique a récemment intégré les prestations d’un nouveau constructeur de matériel sans-fil. La nouvelle infrastructure est en production depuis près d’un mois et l’analyse de risque a montré que la sécurité de la messagerie professionnelle critique et la sûreté des équipements de production dépendaient fortement de l’accès sans-fil.

Analyse de la situation
L’architecture sans-fil mise en œuvre comprend 20 points d’accès en tout, qui couvrent la totalité du site ; chaque point d’accès est connecté directement au réseau filaire. De même, chaque point d’accès expose deux réseaux Wi-Fi distincts : le premier, privé, est réservé aux employés de la société ; le second, public, est destiné aux invités sur site.

Description de la prestation
La prestation de test réalisée consiste à évaluer deux aspects essentiels de l’infrastructure sans-fil :

• la sécurité de l’accès au réseau privé, notamment de la cryptographie en place ;
• l’isolation entre les utilisateurs et les services des deux réseaux.

Sont fournis à l’attaquant pour débuter la prestation :

• les informations génériques concernant la société ;
• les informations concernant le déploiement géographique des points d’accès,pour éviter tout dépassement de périmètre.

Démarche de l’attaquant
Muni de plusieurs antennes, l’attaquant débute le test en cartographiant l’infrastructure logique : il liste les points d’accès, leur configuration, surveille l’utilisation globale des points d’accès et des réseaux.

La cartographie établie, le consultant met en regard chaque élément technique identifié avec l’état de l’art de la sécurité sans fil afin d’identifier des scénarios d’attaque possibles.

Dans le cas de la société considérée, les stations sont authentifiées sur des points d’accès WPA2 Enterprise et authentifiées par mot de passe, répondant fonctionnellement à de bons standards de sécurité. Une première vulnérabilité est toutefois identifiée : la configuration PEAP déployée autorise les stations à transmettre leur nom d’utilisateur en clair ; en forçant la déconnexion d’employés dans son entourage, le consultant peut alors écouter les noms d’utilisateur et exploiter l’information obtenue pour de futures attaques.

En poursuivant dans cette optique, l’attaquant tente d’intercepter les poignées de main authentifiantes des stations à proximité. La plupart refusent le certificat illégitime exposé ; deux d’entre elles poursuivent toutefois la phase d’authentification et débutent l’échange de mot de passe. Les empreintes récupérées sont soumises à une attaque par énumération afin d’obtenir des couples d’identifiants valides. Cette faiblesse de configuration lui permet finalement de se connecter et d’accéder au réseau interne de la société.

Livrable
Le rapport, remis en fin de test, reprend chacune des vulnérabilités découvertes durant la prestation, accompagnées d’une analyse de risque et de recommandations pour améliorer le niveau de sécurité de l’infrastructure sans-fil.

Il mentionne le bon niveau général de configuration, mais souligne le risque important lié à la combinaison d’attaques : interception d’identifiants, de poignées de main d’authentification, couplée à l’utilisation de mots de passe faibles par plusieurs utilisateurs. L’impact direct est l’accès au réseau interne de l’entreprise et aux systèmes critiques qu’il héberge.

Plusieurs pistes d’amélioration sont proposées. La plus efficace consiste à déployer une configuration plus complète, doublant l’authentification par mot de passe d’un envoi de certificat client personnel, déployé sur chaque poste autorisé.

Conclusion
En plus de la démarche classique de tests en boîte noire, le cas d’étude met l’accent sur les problématiques de gestion de périmètre. Une surface d’attaque initialement réduite peut rapidement être élargie par la découverte de vulnérabilités. La communication régulière avec le commanditaire et les ajustements de périmètre sont indispensables pour maximiser l’efficacité des tests d’intrusion.