802.11i
Norme IEEE définissant une amélioration du niveau MAC destinée à renforcer la sécurité des transmissions, et se substituant au protocole de cryptage WEP (Wireless Equivalent Privacy) et WPA. La norme 802.11i permettra de s’assurer qu’un terminal vocal ne peut pénétrer le réseau WLAN sauf autorisation explicite. Standard de l’IEEE, cette norme comble les lacunes du WPA1 en remplaçant le chiffrement RC-4 par du chiffrement AES (Advanced Encryption Standard). Aussi dénommée WPA2, la norme reprend les spécifications du WPA1 : Mécanismes d’authentification IEEE 802.1x et schéma de distribution de clés dynamiques TKIP (Temporal Key Integrity Protocol).
L’AES dans 802.11i peut être utilisé selon plusieurs modes, le CCMP (Counter Mode with CBC-MAC Protocol) étant celui retenu. Le Counter Mode est l’algorithme chargé du secret des données, alors que le Cipher Block Chaining Message Authentification Code (CBC-MAC) permet de contrôler l’intégrité et l’authentification des données. L’AES dans sa version IEEE 802.11i propose des clefs de 128, 192 et 256 bits.
Sur le plan de l’authentification, le protocole 802.11i prévoit deux modes :
- Un mode dit personnel sans serveur d’authentification,
- Un mode entreprise, qui, à la manière de WPA, implémente le protocole 802.1x entre le client, le point d’accès et le serveur d’authentification.
Le protocole 802.11i ne spécifie pas le type de serveur utilisé. Le 802.1x utilise la méthode EAP (Extensible Authentification Protocol) pour transporter les messages d’authentification vers le serveur. EAP pouvant être implémenté suivant différentes variantes (EAP-TLS, EAP-LEAP, EAP-TTLS, etc.), le client et le serveur doivent convenir d’une méthode commune. Le point d’accès n’intervient pas pendant cette phase: il attend simplement la réponse du serveur pour savoir s’il autorise le client à entrer sur le réseau. Durant les dernières étapes de cet échange, le client et le serveur se mettent d’accord sur une clé PMK (Pairwise Master Key), puis le serveur la transmet au point d’accès en lui indiquant également qu’il peut accepter la station. Ces clés PMK permettent de générer des clés temporaires utilisées pour les opérations de chiffrement et d’intégrité et regroupées sous l’appellation de PTK (Pairwise Transient Key). Elle servent durant toute la durée de l’échange et sont recalculées tous les 10000 paquets.
