Attaque WPS.

Wi-Fi Protected Setup (WPS) a ete concu pour simplifier la connexion a un reseau domestique via un PIN a huit chiffres. En decembre 2011, Stefan Viehbock, et independamment Craig Heffner, ont revele un defaut de conception fatal, documente dans US-CERT VU#723755 et suivi sous CVE-2011-5053. Quand la methode du registraire externe authentifie le PIN, le point d'acces le valide en deux moities et renvoie un EAP-NACK indiquant si la premiere moitie est correcte avant de verifier la seconde. Comme le huitieme chiffre n'est qu'une somme de controle des sept premiers, l'espace de recherche chute de 10^8 (100 millions) a 10^4 + 10^3 ≈ 11 000 essais.

Des outils comme Reaver (Craig Heffner / Tactical Network Solutions) et Bully (Sofiane Talmat) l'exploitent contre la plupart des points d'acces grand public et recuperent la cle pre-partagee WPA/WPA2 en environ 4 a 10 heures. L'attaque connexe Pixie Dust (Dominique Bongard, 2014) va plus loin et casse WPS hors ligne en quelques secondes sur les routeurs dont les nonces de l'echange d'enregistrement sont peu aleatoires.

Defense : desactiver totalement WPS, ou le limiter au mode bouton-poussoir (PBC) ; les fabricants ont aussi ajoute des limitations d'essais et des verrouillages. Beaucoup de routeurs bon marche livrent encore la methode du PIN de registraire externe activee par defaut.

flowchart TD
  A[Attaquant a portee radio] --> B[Envoyer un essai de PIN WPS au point d'acces]
  B --> C{Les 4 premiers chiffres sont-ils corrects?}
  C -->|EAP-NACK precoce| D[Premiere moitie fausse: essayer un autre parmi 10^4]
  C -->|Continue| E{Les 3 derniers chiffres plus checksum corrects?}
  E -->|EAP-NACK| F[Seconde moitie fausse: essayer un autre parmi 10^3]
  E -->|Succes| G[Le point d'acces renvoie la cle pre-partagee WPA/WPA2]
  D --> B
  F --> B
  G --> H[L'attaquant rejoint le reseau]