Livebox, Box SFR : cette énorme faille permet de trouver la clé WiFi du voisin en quelques secondes !

• Par Romain Bonnemaison
•   le 11/08/2017
• Publié dans Sécurité

Les Livebox Orange et les Box SFR sont visées par une grosse faille de sécurité du système WPS : il est possible, sans être physiquement près de ces box de forcer l’appairage automatique et de récupérer au passage la clé WiFi en clair. Le problème vient de l’activation du WPS par défaut sur ces box, et du fait qu’un bug dans le firmware leur permet d’accepter un PIN vide. 

Les Livebox et les Box SFR sont touchées par une grave faille de sécurité qui permet ainsi de cracker la clé WiFi de votre voisin en quelques secondes à peine. La fonctionnalité WPS est activée par défaut sur ces box mais est configurée sans aucun PIN. Or, un bug dans le firmware permet d’envoyer un PIN vide ce qui permet alors de lancer l’appairage WiFi via WPS.

Le Wi-Fi Protected Setup (WPS) permet de simplifier l’ajout d’appareils à votre réseau WiFi. Cette fonctionnalité permet à n’importe quel ordinateur de se connecter sans avoir à entrer la longue clé du routeur. Il suffit pour cela, au choix, d’appuyer sur un bouton physique de la box, ou, si on est loin de celle-ci et que la fonctionnalité est correctement configurée, se connecter avec un code PIN beaucoup plus court.

Livebox, Box SFR : une énorme faille permet de cracker la clé WiFi en quelques secondes !

En théorie, l’absence de PIN devrait empêcher toute utilisation de cette fonctionnalité sans accès physique à la box. Sauf que… ce n’est visiblement pas le cas sur les Livebox et les Box SFR. Un expert en sécurité, Jeremy Martin, à l’origine de la découverte de cette faille, explique qu’il est possible d’envoyer un PIN vide via l’outil reaver de la distribution gratuite Kali Linux.

On voit dans la vidéo en fin d’article que cela permet d’obtenir la clé WiFi en clair en à peine quelques minutes. L’attaquant peut alors se connecter au réseau WiFi de son voisin à l’insu de ce dernier. Jeremy Martin explique avoir contacté Orange et SFR pour leur signaler le problème. Visiblement impatient, il a décidé quelques heures plus tard de mettre en ligne une vidéo qui explique dans le détail comment n’importe quel quidam peut faire la même chose.

On le souligne, il faut, lorsque l’on découvre une faille, laisser au moins quelques semaines entre le moment où l’on signale la faille et la révélation de la méthode – impossible sinon, pour les équipes techniques, de corriger quoi que ce soit ! En conséquence, des millions de clients s’exposent désormais au piratage de leur réseau local par des hackers ou petits malins. Merci Jeremy Martin !

Il faudra donc attendre que ces opérateurs poussent une mise à jour pour voir disparaître le fameux bug du PIN vide. En attendant que cela puisse être le cas, on vous conseille vivement de désactiver totalement la fonctionnalité WPS sur votre box internet.