Attaque
Jumeau maléfique (evil twin)
Aussi appeléEvil twinFaux point d’accèsRogue access pointPoint d’accès pirate
En résumé
Une attaque sur réseau sans fil où l’attaquant installe un point d’accès qui reprend le nom d’un réseau légitime. Les appareils s’y connectent à la place du vrai réseau, et l’attaquant peut intercepter le trafic ou récupérer des identifiants. Elle vise surtout les réseaux d’entreprise mal configurés.
Jumeau maléfique (evil twin), en détail
Un appareil reconnaît un réseau Wi-Fi par son nom. Si un point d’accès diffuse le même nom avec un signal plus fort, l’appareil peut s’y connecter automatiquement, sans que l’utilisateur remarque quoi que ce soit. L’attaquant se retrouve alors entre l’utilisateur et Internet, ou, sur un réseau d’entreprise, en position de recevoir les identifiants que l’utilisateur croit donner à son entreprise.
Sur les réseaux d’entreprise (WPA2 ou WPA3 Entreprise), la protection repose sur le certificat du serveur d’authentification. Si les appareils ne vérifient pas ce certificat, ce qui dépend de la configuration déployée sur les postes et les téléphones, le faux point d’accès peut recueillir des identifiants ou des empreintes de mots de passe exploitables hors ligne. Une configuration où le certificat est imposé et vérifié rend l’attaque beaucoup plus difficile.
Une variante pose une page d’accueil qui imite un portail captif et invite à saisir un mot de passe, ce qui rapproche l’attaque de l’hameçonnage : définition. La détection se fait par la supervision de vos points d’accès, qui doit alerter sur un point d’accès inconnu portant votre nom. Un audit sans-fil vérifie ces deux défenses : la configuration des postes et l’efficacité de la détection.
Qu’est-ce que cela change pour vous ?
Un faux point d’accès n’exige aucune compromission préalable : il suffit d’un appareil et de proximité. La défense tient à la configuration des postes et à la supervision radio.
Exemple illustratif (fictif)
Imaginons qu’un attaquant installe un point d’accès portant le nom du réseau d’entreprise dans le hall d’un immeuble voisin. Les téléphones des salariés, qui ne contrôlent pas strictement le certificat, s’y connectent et transmettent leurs identifiants de domaine.
La confusion fréquente
Supposer qu’un réseau d’entreprise est à l’abri parce qu’il est protégé par un mot de passe individuel. Si les appareils n’exigent pas la vérification du certificat, ce mot de passe peut être donné au faux réseau.
Comment le détecter chez vous ?
- Audit Wi-Fi : la prestationUn signal qui traverse les murs est une porte d’entrée qu’il faut tester depuis le trottoir.
- Ingénierie sociale : la prestationMesurer ce qu’un inconnu obtient avec un bon prétexte et un peu d’aplomb.
Aller plus loin
- ArticleLire un rapport de scan de vulnérabilités : ce qu’il prouve et ce qu’il rateUn rapport de scan est une liste de candidats, pas de faits : faux positifs, gravité hors contexte, zones non atteintes. Comment le lire et le vérifier.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Termes liés
- AttaqueHameçonnage : définitionUne technique de fraude qui se fait passer pour un tiers de confiance, par courriel, SMS, appel ou site factice, afin d’amener la victime à révéler des identifiants, ouvrir une pièce jointe piégée ou effectuer une action.
- AttaqueIngénierie sociale : définitionL’ensemble des méthodes qui exploitent le comportement humain plutôt qu’une faille technique pour obtenir un accès, une information ou une action.
- DéfenseSegmentation réseau : définitionLe découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites.
- AttaqueIDOR / BOLA : définitionUn défaut de contrôle d’accès où l’application sert l’objet demandé sans vérifier qu’il appartient à l’utilisateur authentifié.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début