Los Liveboxes Orange y los Boxes SFR están afectados por un gran fallo de seguridad en el sistema WPS: es posible, sin estar físicamente cerca de estos boxes, forzar el emparejamiento automático y recuperar la clave WiFi en texto plano. El problema viene de la activación de WPS por defecto en estas cajas, y el hecho de que un error en el firmware les permite aceptar un PIN vacío.
Las caja viva y los Caja SFR se ven afectados por un grave fallo de seguridad que te permite descifrar la clave WiFi de tu vecino en tan solo unos segundos. La funcionalidad WPS está activada por defecto en estas casillas pero se configura sin ningún PIN. Sin embargo, un error en el firmware permite enviar un PIN vacío que luego permite iniciar el emparejamiento WiFi a través de WPS.
La configuración protegida Wi-Fi (WPS) facilita agregar dispositivos a su red Wi-Fi. Esta característica permite que cualquier computadora se conecte sin tener que ingresar la clave larga del enrutador. Todo lo que tienes que hacer es presionar un botón físico en la caja o, si estás lejos y la funcionalidad está configurada correctamente, conectarte con un código PIN mucho más corto.
Livebox, Box SFR: ¡una gran falla le permite descifrar la clave WiFi en segundos!
En teoría, la ausencia de un PIN debería impedir cualquier uso de esta función sin acceso físico a la caja. Excepto que... obviamente este no es el caso con Liveboxes y SFR Boxes. Un experto en seguridad, Jeremy Martin, quien descubrió esta falla, explica que es posible enviar un PIN vacío a través de la herramienta reaver de la distribución gratuita Kali Linux.
Vemos en el video al final del artículo que esto le permite obtener la clave WiFi en claro en solo unos minutos. El atacante puede entonces conectarse a la red WiFi de su vecino sin el conocimiento de este último. Jeremy Martin explica que se puso en contacto con Orange y SFR para informarles del problema. Visiblemente impaciente, decidió unas horas después subir un video que explica en detalle cómo cualquiera puede hacer lo mismo.
Se enfatiza que, cuando se descubre una falla, es necesario dejar al menos algunas semanas entre el momento en que se informa la falla y la revelación del método, de lo contrario es imposible que los equipos técnicos corrijan nada. ! Como resultado, millones de clientes ahora se exponen a la piratería de su red local por parte de piratas informáticos o tipos inteligentes. ¡Gracias Jeremy Martín!
Por lo tanto, será necesario esperar a que estos operadores envíen una actualización para ver desaparecer el famoso error de PIN vacío. Hasta que este sea el caso, le recomendamos encarecidamente que desactive por completo la funcionalidad WPS en su caja de Internet.
Para aquellos que reaccionaron a mi tweet esta mañana sobre SFR / Orange Wifi, aquí está el detalle de la falla de 0Day https://t.co/6M8tanSaQx
Jérémy Martín (@caaptusss) 10 de agosto de 2017
El equipo editorial te aconseja:
- PayPal: una virulenta campaña de phishing está en marcha, precaución
