Kr00K : la faille Wi-Fi que les bornes des hôtels traînent encore

Révélée en février 2020, la faille Kr00K (CVE-2019-15126) touche une famille de puces Wi-Fi intégrées dans plus d’un milliard d’appareils, selon l’estimation conservatrice d’ESET, qui l’a découverte. Les fabricants de puces et les grands constructeurs ont publié leurs correctifs entre fin 2019 et 2020. Six ans plus tard, le dossier reste ouvert pour les hôtels : la question n’est plus de connaître la faille, mais de savoir si le micrologiciel du parc de points d’accès a réellement été mis à jour.

Les faits

Kr00K affecte les puces Wi-Fi de type FullMac de Broadcom et Cypress, intégrées dans des téléphones, tablettes, ordinateurs portables, enceintes connectées, liseuses et bornes. Les produits concernés couvrent, entre autres, les marques Apple, Amazon, Asus, Dell, Google, HP, Huawei, Lenovo, Microsoft et Samsung, ainsi que le Raspberry Pi 3 et des routeurs d’Asus ou de Huawei. La faille touche aussi bien le WPA2-Personal que le WPA2-Enterprise, dès lors que la confidentialité des données repose sur le chiffrement AES-CCMP.

Les chercheurs d’ESET ont présenté la faille publiquement en février 2020, en marge de la RSA Conference de San Francisco. Ils la rattachent à la descendance des travaux KRACK de 2017 : Kr00K s’est d’abord manifestée comme l’une des causes possibles de la « réinstallation » d’une clé entièrement nulle observée dans leurs tests.

Le mécanisme, expliqué à un responsable sécurité

Le WPA2 (Wi-Fi Protected Access 2) négocie les clés de session au moyen d’une poignée de main à quatre voies. L’une de ces clés, la clé temporelle de 128 bits, chiffre trame par trame les données échangées entre le client et le point d’accès.

Quand un appareil quitte un réseau, en cas d’itinérance, d’interférence ou d’extinction du Wi-Fi, la session est rompue par une déassociation et la clé temporelle est effacée de la mémoire de la puce, ce qui est normal. L’anomalie est ailleurs : les trames déjà prêtes à être émises et restées dans la mémoire tampon d’émission de la puce sont alors chiffrées avec une clé entièrement nulle avant d’être transmises dans les airs. Une clé nulle rendant le déchiffrement immédiat, toute personne à portée radio qui capture ces trames en récupère des fragments en clair.

Trois détails déplacent le curseur du risque pour un défenseur.

Le premier : la déconnexion peut être forcée. Les trames de gestion de déassociation ne sont ni authentifiées ni chiffrées, si bien qu’un attaquant à portée radio peut déclencher le comportement à volonté sur une cible choisie, en répétant les déconnexions pour accumuler les fragments. Ars Technica, qui a couvert la divulgation, chiffre ce volume à plusieurs kilo-octets de données réémises à chaque déconnexion.

Le second : un client à jour n’est pas à l’abri. ESET le souligne dans son article de recherche, un appareil client patché connecté à un point d’accès vulnérable voit les données transmises par celui-ci rester déchiffrables. Autrement dit, la maîtrise individuelle n’y change rien, la surface d’attaque se reporte sur l’infrastructure, précisément le point d’accès.

Le troisième : la fuite ne se limite pas aux échanges déjà sensibles. Des identifiants de navigation, comme les requêtes DNS ou le nom indiqué par le SNI des sites consultés, peuvent apparaître dans les fragments récupérés même lorsque le site visité est en HTTPS.

Le vrai sujet : la fraîcheur du micrologiciel des bornes

À la divulgation, les correctifs étaient disponibles pour tout ou partie des appareils concernés, mais personne ne savait combien les avaient installés, et Ars Technica notait que les routeurs et points d’accès restent souvent non corrigés indéfiniment. C’est ce point qui rend l’histoire toujours lisible pour un hôtel, analyse que nous signalons comme telle.

D’un côté, la flotte d’appareils des clients, smartphones, tablettes et ordinateurs portables, se renouvelle tous les deux ou trois ans et reçoit des mises à jour automatiques. De l’autre, le parc Wi-Fi de l’établissement, souvent acheté par tranches successives, déployé par des intégrateurs et maintenu au mieux des cycles d’exploitation, peut aligner des modèles vieux de cinq à huit ans. Un attaquant passif posté dans un hall ou une salle de conférences n’a rien à installer sur les terminaux : il lui suffit d’écouter les trames émises par une borne non corrigée. Le risque classique du faux point d’accès, le réseau qui imite le nom du réseau de la conférence, s’ajoute à ce tableau, mais Kr00K rappelle qu’une écoute fonctionne aussi sans leurrer personne.

Que vérifier

Premièrement, inventorier les points d’accès par marque, modèle et version de micrologiciel, puis demander au fabricant ou à l’intégrateur la confirmation écrite que le correctif Kr00K est appliqué. Deuxièmement, suivre le cycle de vie de chaque modèle et remplacer sans attendre ceux sortis de support, faute de correctifs à venir. Troisièmement, séparer le réseau clients des réseaux opérationnels et conserver la règle simple : le chiffrement de bout en bout (HTTPS, TLS) protège le contenu des échanges, Kr00K ne casse pas TLS, il expose des fragments et des métadonnées quand la couche sans fil se dérègle. Quatrièmement, inscrire la fraîcheur du micrologiciel du parc sans fil dans l’audit annuel, au même titre que la migration vers WPA3, qui durcit la protection des trames de gestion et réduit la capacité d’un attaquant à forcer les déconnexions.

Kr00K n’a, à notre connaissance, donné lieu à aucune exploitation documentée contre un hôtel. Elle reste un cas d’école de la dette de micrologiciel : une faille payée cher par les fabricants de puces, et dont l’addition se règle borne par borne, établissement par établissement.