Opportunistic Wireless Encryption
L' Opportunistic Wireless Encryption, ou OWE, est un mécanisme de sécurisation des communications Wi-Fi qui n'apparait qu'à partir de la nouvelle norme de sécurité WPA3 publiée en 2018 et qui fait suite aux mécanismes existants du Wifi Protected Access (WPA et WPA2).

L'OWE a pour but spécifique d'apporter une couche de sécurité pour les échanges Wi-Fi correspondants aux services dits publics du type Hotspot ou Invité.

Historique 

Jusqu'alors, les services Wifi publics que l'on retrouve dans les environnements ouverts d'accès au public (musées, gares, aéroports, cafés, hôtels, etc.) sont principalement configurés en mode open soit avec un mot de passe partagé, soit plus communément sans mot de passe. L'usage est alors de mettre en place une page spécifique limitant l'accès à Internet dans un premier temps afin de forcer les utilisateurs à s'enregistrer et/ou à valider les Conditions Générales d'Utilisation de l'accès fourni par l'entreprise ou la collectivité.

Les deux risques principaux sur ce type d'accès sont les suivants :
 Les attaques passives par simple écoute des échanges radios entre les périphériques utilisateurs et les points d'accès de l'infrastructure Wi-Fi : Les échanges n'étant pas chiffrées dans un mode open, l'ensemble du trafic est librement accessible.
 Les attaques actives de type Homme du Milieu, qui permettent à un attaquant de se positionner entre l'utilisateur et l'infrastructure concernant le flux de communication (il se fait passer pour l'infrastructure auprès du client, et comme un client auprès de l'infrastructure). L'attaquant contrôle alors aussi bien le contenu des communications que la forme et la destination.

Ainsi, l'ensemble des communications sur des services Wifi de ce type ne sont pas sécurisées.

Mécanisme 

L'OWE est un protocole s'appliquant au Wifi définit par une RFC éditée en  : la .

Général 
L'objectif de ce protocole est de mettre en place une session chiffrée pour chaque périphérique Wifi grâce à la méthode cryptographique d'établissement des clés de Diffie-Hellman.Deux possibilités suite à l'établissement des clés de sessions pour chiffrer les données : soit via la cryptographie des courbes elliptiques (ECC), soit via la cryptographie des champs finis (FFC).

Le fait d'utiliser un tel mécanisme d'établissement des clés permet de rester transparent pour l'utilisateur : celui-ci n'aura toujours aucun mot de passe à entrer manuellement, la génération de clés de sessions Wifi (PMK et PTK) se feront automatiquement et seront uniques pour chaque session générée.

Technique 
Dans la pratique, les trames d'associations 802.11 se voient ajouter un paramètre OWE Discovery au sein du groupe de paramètres des éléments du Robust Security Network (RSN, OUI 00-0F-AC, code 18).

À la suite du processus d'association OWE, une PMK valide est créée et permet la génération de PTK pour les sessions de communication à l'issue d'échange de type 4-way Handshake classique en Wifi.

Le fonctionnement du roaming sécurisé grâce au PMK-Caching (802.11r) n'est pas affecté par les mécanismes ajoutés par l'OWE.

Implémentation et limites 

Afin de mettre en place un tel mécanisme, il est nécessaire que les périphériques et l'infrastructure Wifi soient compatibles.

La bonne pratique lorsque l'OWE sera disponible pourra être de mettre en place un SSID de type open spécifique pour l'OWE distinct du SSID open historique à titre de transition.

Attention, l'OWE permet uniquement de mettre en place un chiffrement des communications entre un périphérique et une infrastructure, il n'est en rien capable de réaliser l'authentification du client auprès de l'infrastructure ou l'inverse. Ainsi, une attaque de l'Homme du Milieu reste envisageable avec l'utilisation de ce seul mécanisme.

Notes et références

Voir aussi 
 Chiffrement opportuniste

Informatique
Wi-Fi
Sécurité
L' Opportunistic Wireless Encryption , ou OWE , est un mécanisme de sécurisation de les communications Wi-Fi qui n' apparait qu' à partir de la nouvelle norme de sécurité WPA3 publiée enet qui fait suite à les mécanismes existants de le Wifi Protected Access ( WPA et WPA2 ) . L' OWE a pour but spécifique d' apporter une couche de sécurité pour les échanges Wi-Fi correspondants à les services dits publics de le type Hotspot ou Invité . Historique Jusqu' alors , les services Wifi publics que l' on retrouve dans les environnements ouverts d' accès à le public ( musées , gares , aéroports , cafés , hôtels , etc. ) sont principalement configurés en mode open soit avec un mot de passe partagé , soit plus communément sans mot de passe . L' usage est alors de mettre en place une page spécifique limitant l' accès à Internet dans un premier temps afin de forcer les utilisateurs à s' enregistrer et / ou à valider les Conditions Générales d' Utilisation de l' accès fourni par l' entreprise ou la collectivité . Les deux risques principaux sur ce type d' accès sont les suivants \ : Les attaques passives par simple écoute de les échanges radios entre les périphériques utilisateurs et les points d' accès de l' infrastructure Wi-Fi \ : Les échanges n' étant pas chiffrées dans un mode open , l' ensemble de le trafic est librement accessible . Les attaques actives de type Homme de le Milieu , qui permettent à un attaquant de se positionner entre l' utilisateur et l' infrastructure concernant le flux de communication ( il se fait passer pour l' infrastructure auprès de le client , et comme un client auprès de l' infrastructure ) . L' attaquant contrôle alors aussi bien le contenu de les communications que la forme et la destination . Ainsi , l' ensemble de les communications sur de les services Wifi de ce type ne sont pas sécurisées . Mécanisme L' OWE est un protocole s' appliquant à le Wifi définit par une RFC éditée en \ : la \ . Général L' objectif de ce protocole est de mettre en place une session chiffrée pour chaque périphérique Wifi grâce à la méthode cryptographique d' établissement de les clés de Diffie-Hellman.Deux possibilités suite à l' établissement de les clés de sessions pour chiffrer les données \ : soit via la cryptographie de les courbes elliptiques ( ECC ) , soit via la cryptographie de les champs finis ( FFC ) . Le fait d' utiliser un tel mécanisme d' établissement de les clés permet de rester transparent pour l' utilisateur \ : celui-ci n' aura toujours aucun mot de passe à entrer manuellement , la génération de clés de sessions Wifi ( PMK et PTK ) se feront automatiquement et seront uniques pour chaque session générée . Technique Dans la pratique , les trames d' associations11 se voient ajouter un paramètre OWE Discovery à le sein de le groupe de paramètres de les éléments de le Robust Security Network ( RSN , OUI-AC , code À la suite de le processus d' association OWE , une PMK valide est créée et permet la génération de PTK pour les sessions de communication à l' issue d' échange de typeway Handshake classique en Wifi . Le fonctionnement de le roaming sécurisé grâce à le PMK-Caching11r ) n' est pas affecté par les mécanismes ajoutés par l' OWE . Implémentation et limites Afin de mettre en place un tel mécanisme , il est nécessaire que les périphériques et l' infrastructure Wifi soient compatibles . La bonne pratique lorsque l' OWE sera disponible pourra être de mettre en place un SSID de type open spécifique pour l' OWE distinct de le SSID open historique à titre de transition . Attention , l' OWE permet uniquement de mettre en place un chiffrement de les communications entre un périphérique et une infrastructure , il n' est en rien capable de réaliser l' authentification de le client auprès de l' infrastructure ou l' inverse . Ainsi , une attaque de l' Homme de le Milieu reste envisageable avec l' utilisation de ce seul mécanisme . Notes et références Voir aussi Chiffrement opportuniste Informatique Wi -Fi Sécurité