Introduction

Imaginez une personne aux intentions douteuses assise dans un café en train de boire un cappuccino ; apparemment, elle consulte Internet mais, en réalité, elle récolte les noms d’utilisateurs et les mots de passe des autres consommateurs du café.

Un scénario improbable ou un cas de figure facile à mettre sur pied ? Malheureusement, c’est bien cette seconde hypothèse que nous allons aborder.

Le monde merveilleux de l’accès à Internet dans tous les lieux

Au fur et à mesure que nous devenons plus liés à Internet, nous dépendons encore un peu plus de notre capacité à accéder au réseau dans toutes les situations. Pour répondre à ce besoin, des zones d’accès sans fil ont été mises en place dans des lieux publics tels que les aéroports, restaurants et cafés. Ces points d’accès nous permettent d’accomplir des tâches de toutes sortes avec des appareils portables tels que des téléphones évolués ou des ordinateurs portables :

• Accéder à des pages d’informations
• Accomplir des transactions bancaires personnelles
• Lire et écrire des courriers électroniques
• Discuter avec des amis ou des collègues
• Se connecter aux réseaux d’entreprise pour accomplir un travail de dernière minute qu’il n’était pas possible de terminer aux heures normales de bureau
• Contrôler l’état d’une carte de crédit

Pour entrer dans ce monde merveilleux qui vous tend littéralement les bras, il suffit de vous connecter par le biais d’un point d’accès proposé, par exemple, par le café dans lequel vous vous trouvez.

C’est là qu’intervient « la diabolique ».

Imaginez vous détendu, connecté à Internet grâce au point d’accès proposé par le propriétaire du café dans lequel vous vous trouvez, et en train de faire ce que bon vous semble.

Ce que vous ne réalisez pas, c’est que votre connexion ne passe pas du tout par le point d’accès du café. Auprès de vous se trouve une jeune femme à l’air innocent, qui utilise son ordinateur portable pour surfer sur Internet (probablement). En réalité, elle contrôle son propre point d’accès, qu’elle a établi avec l’intention d’inciter les autres consommateurs du café (vous !) à se connecter à Internet par son intermédiaire.

La technologie des points d’accès fonctionne de telle sorte que les points dont le signal est le plus puissant sont sélectionnés par le système et, comme elle est « au cœur de la foule », c’est précisément ce qu’offre le dispositif de cette femme. Vous pensez donc être connecté à Internet par le biais du point d’accès « sécurisé » du café, mais, en réalité, vous passez par un dispositif dont le logiciel contrôle l’intégralité de votre communication. Bien entendu, notre pirate a été suffisamment ingénieuse pour nommer son point d’accès de telle sorte qu’il puisse être confondu avec celui du café.

La mise en œuvre de ce type de point est :

• bon marché (demande un faible investissement matériel, logiciel disponible gratuitement sur Internet) ;
• relativement peu risquée, la coupable quittant la « scène du crime » dès qu’elle a récolté assez d’informations juteuses, il est donc difficile de la retrouver ;
• bien plus efficace que les attaques de phishing traditionnelles, qui reposent sur une très faible proportion d’un grand nombre de personnes, dont il faut « stimuler » la crédulité.

Éléments atténuants – ou…

Fort heureusement, la plupart des sites web impliquant un échange d’informations critiques utilisent des communications cryptées, ou d’autres techniques de sécurité qui freinent l’obtention des références nécessaires à l’accomplissement d’un crime. L’accès aux réseaux d’entreprise se fait souvent (ou devrait se faire) par le biais de la technologie du réseau virtuel privé (VPN), ce qui renforce considérablement la sécurité.

Toutefois, il reste vrai que de nombreux points d’accès publics ne sont pas gratuits et nécessitent un type de paiement quelconque. La deuxième ligne d’attaque pourrait donc consister à mettre en place un site web de phishing qui récolterait les références de cartes de crédit données pour obtenir un droit d’accès. Cela peut se faire en quelques minutes. Notre « diabolique » dispose toujours d’une solution de repli…