La loi HADOPI repose sur un concept assez basique : Vous êtes coupable d'avoir laissé votre connexion servir à des fins illégales. On se fiche de savoir si vous avez piraté ou pas : le fait que quelqu'un ait piraté en utilisant votre ligne montre qu'elle était mal protégée, ce qui est illégal.

D'où la question qui s'impose : peut-on protéger efficacement un accès internet ?

La réponse est non.

Le logiciel de sécurisation ne servira jamais à rien. Qu'on parle du pare-feu OpenOffice de Christine Albanel, ou de quelque chose de plus réel, ce n'est pas le fait de mettre un logiciel sur un ordinateur qui va empêcher un pirate de se connecter à votre box avec SON propre ordinateur, en piratant votre accès wifi. On peut protéger un ordinateur, mais comment protéger une box ?

Il faut protéger son accès wifi... Seulement, est-ce vraiment possible ?

Nous avons vu sur ce site même qu'il est facile de cracker une clé WEP - et c'est embêtant car on peut avoir des raisons de rester en WEP. Signalons par exemple que les premières Nintendo DS et même les DS Lite ne prennent pas en charge le WPA et se cantonnent au WEP : pour se servir du wifi avec sa DS, il est donc obligatoire de rester en WEP... ou de racheter une DSi.Or le WEP se cracke en 15 minutes.

Il est possible de sécuriser un peu un point d'accès protégé en WEP. Il s'agit de la technique du filtrage d'adresse mac.

Le filtrage d'adresse Mac :

En liminaire, signalons d'abord que l'adresse mac n'a rien à voir avec les ordinateurs d'Apple. Ce Mac là signifie Media Access Control : Contrôle d'accès au média.

Les utilisateurs de Livebox connaissent ça par coeur même s'ils ne connaissent pas forcément le nom technique de cette sécurité. La box ne laisse passer que les ordinateurs qu'elle connait : il est possible de permettre à un nouvel ordinateur de se faire connaître en appuyant sur un bouton de la box ou du routeur pour déclencher le "mode association", pendant lequel tout ordinateur disposant de la clé WEP peut se connecter pendant 10 minutes.

Mais est-ce bien suffisant ? Pas vraiment ! Un ordinateur est en effet reconnu par son adresse MAC, un identifiant unique... en théorie. En pratique, n'importe qui peut changer son adresse MAC en deux coups de cuiller à pot. C'est une clé à modifier dans la base de registre Windows, c'est 2 lignes de commande à taper sous Linux. Du coup, il est aussi assez facile de se faire passer pour un autre ordinateur, en prenant son adresse MAC. Et comme tout ordinateur en wifi balance son adresse MAC au monde entier...

Un hacker aura tôt fait de repérer l'adresse MAC de celui qui se connecte à la box qu'il veut pirater, et de l'usurper, court-circuitant ainsi le filtrage.

Est-ce à dire que le filtrage d'adresse MAC est parfaitement inutile comme on le lit parfois ? Non, pas totalement. Pour qu'un hacker usurpe votre adresse MAC, il faut déjà qu'il la repère. Ainsi, s'il est trop loin et qu'il ne capte pas votre ordinateur (parce qu'il n'émet pas assez fort), il ne captera donc pas votre adresse MAC et ne pourra pas l'usurper. Idem si vous êtes déconnecté : pas d'usurpation possible en votre absence si votre PC est éteint. Enfin, l'usurpation ne peut se faire efficacement que lorsque vous êtes parti : c'est à dire que l'individu qui récupère votre adresse mac doit attendre que vous soyiez déconnecté pour s'en servir dans votre dos.

Malgré ça, la protection est insuffisante : il est bel et bien possible de pirater une clé WEP et une connexion wifi avec un filtrage d'adresse MAC.

Solution : Passer au WPA ?

Hé bien... oui et non. Pour ceux qui ne connaitraient pas, le WPA est le successeur du WEP, un système de sécurité plus robuste, gommant les erreurs du premier.

A l'heure actuelle, le WPA n'a pas été totalement cassé. C'est à dire qu'on ne connait pas de moyen fiable de pirater totalement une connexion en WPA, sauf à essayer tous les mots de passes possibles et imaginables.

Pour autant, le WPA est-il vraiment sûr ?

D'abord, signalons que le WPA de première génération, en mode TKIP, est déjà à moitié cassé : il n'est pas encore possible d'en récupérer la clé, mais il est déjà possible de réaliser une attaque de type Man In The Middle (MITM) permettant d'envoyer des packets falsifiés. L'attaque n'est pas encore utilisable pour pirater un accès internet, mais c'est un coup porté à la sécurité du WPA-PSK TKIP.

Plus grave : le bruteforcing existe. Le bruteforcing, ou attaque par bruteforce, consiste à prendre un packet crypté en WPA, et à tester toutes les clés possibles jusqu'à trouver celles qui le décrypte. Si le mot de passe WPA est bien choisi (long, avec plein de caractères très différents), le bruteforce prends quelques millénaires, voire quelques centaines de milliers d'années. Pas de quoi s'inquiéter.

Mais si le mot de passe est moins bon ? Certains fournisseurs d'accès fournissent en effet une clé WPA constituée du... numéro de téléphone de l'abonné. Un numéro de téléphone français, c'est 10 chiffres, soit 10 combinaisons de 10 possibilités... sauf que le premier chiffre est toujours égal à zéro. Donc il n'y a plus que 9 combinaisons à trouver... Sauf que le 2ème est presque toujours égal soit à 9 (numéro box) soit à un chiffre connu dans toute la région (par exemple 1 en région parisienne). Cela fait donc 2 possibilités pour le 2ème chiffre, et 10 possibilités pour les 8 suivants. Soit 2 * 8^10 : soit 2 147 483 648 possibilités. Ca paraît énorme ? Ca l'était autrefois, car un processeur de base mettrait pas mal de temps à calculer autant de possibilités.

Mais le calcul par GPU a fait son apparition : les processeurs graphiques sont en effet hyper fortiches pour ce genre de calculs mathématiques basiques et répétitifs. Résultat ? Un SLI de GeForce 295 GTX donne près de 40 000 possibilités testées par seconde.  Faites le calcul : Moins de 15 heures pour tester toutes les possibilités. En 15 heures, un hacker a le mot de passe WPA d'une personne dont le mot de passe est son numéro de téléphone.
D'autres gens utilisent une date de naissance comme mot de passe : Une date de naissance, c'est 8 chiffres. 8^10 : en 7h30, c'est piraté.

Autre mode d'attaque, l'attaque au dictionnaire. Beaucoup de gens utilisent des mots ordinaires dans leurs mots de passe, ou à peine modifiés. Combien de gens ont pour mot de passe quelque chose du genre "pomme de terre" ou "tagada69" ou "Robert" ? Une attaque au dictionnaire va tester des milliers de noms propres et de noms communs, éventuellement assortis d'un petit détail du style numéro. Même chose que tout à l'heure : en 15 heures, on peut avoir testé plus de 2 milliards de possibilités... de bonnes chances de trouver le lot.

Il est encore possible toutefois de se protéger efficacement en wifi à l'heure actuelle. Du WPA-Entreprise ou du WPA2 (si possible en AES), avec un mot de passe non-issu du dictionnaire et très long, avec des caractères spéciaux, du style k+_83jnJP*ç$É!#mD2|86cC%0åVu&1 devrait rester à peu près incrackable dans les prochaines années... du moins tant que la sécurité du WPA n'a pas été purement et simplement cassée comme celle du WEP.

Encore faut-il avoir les connaissances nécessaires, et prier pour que la sécurité du WPA dure... sinon, HADOPI va faire bien des dégats chez les innocents, surtout ceux qui ne s'y connaissent pas trop en informatique.