Je veux dire, mon WiFi est protégé, donc toutes les communications doivent être cryptées, non?

C'est le cas, mais pas à l'endroit où vous le lisez. Le chiffrement se produit à un certain point du "pipeline", et le déchiffrement doit alors également se produire à un certain point du "pipeline" (sinon les données sont inutiles). Vous observez les données après qu'elles ont été déchiffrées, ce qui ne serait pas possible si vous utilisiez HTTPS (qui fournit à la place un chiffrement de bout en bout, qui commence au serveur et se termine au navigateur).

Si vous tentez d'utiliser Wireshark pour capturer le contenu d'une transaction HTTPS, ce serait comme ceci:

  + -------- + (crypté) + --- ------- + (crypté) + -------- + | Serveur | ----------- > | Internet | ------------ > | Routeur | + -------- + + ---------- + + -------- + | | (crypté) + ------------------ + --- + | Votre PC | | | + ----------- + (e) | | | | Navigateur | < --- + | | + ----------- + | | | + ----------- + (e) | | | | Wireshark | < --- / | | + ----------- + | + ---------------------- +  

Ici, votre navigateur sait décrypter les données, car il "possède "la transaction HTTPS en premier lieu; votre instance Wireshark (qui, dans le but même du chiffrement de bout en bout, est traitée comme tout autre snooper dans ce scénario) ne le fait pas.

Mais votre chiffrement sans fil commence au niveau du routeur et se termine à la carte réseau du PC, donc le résultat pour vous ressemble plus à ceci:

  + -------- + (texte en clair) + ---------- + (texte en clair) + -------- + | Serveur | ----------- > | Internet | ------------ > | Routeur | + -------- + + ---------- + + -------- + | | (crypté) + ------------------ + --- + | Votre PC | | | + ----------- + (p) | | | | Navigateur | < --- + | | + ----------- + | | | + ----------- + (p) | | | | Wireshark | < --- / | | + ----------- + | + ---------------------- +  

Ici, tout ce qui se trouve sur votre PC peut lire les données, car elles ont été décryptées par votre carte réseau. Sinon, quelle application décrypterait les données? Rien ne fonctionnerait.

Il n'y a presque aucune relation entre HTTPS et WPA2-PSK; ils font des tâches complètement différentes.

L'utilisation d'un routeur avec WPA2-PSK (ou tout autre algorithme de chiffrement de réseau) ne signifie pas que tous les sites sont obligés d'utiliser https. Cela signifie que le trafic non chiffré n'est pas visible pour ceux qui ne sont pas connectés au réseau.

Considérez HTTPS comme une relation entre votre navigateur et le site Web.

Considérez WPA2-PSK comme relation entre votre appareil et votre point d'accès.

Lorsque vous exécutez Wireshark sur un ordinateur, vous capturez le trafic que l'ordinateur peut "voir".

Si vous exécutez Wireshark tout en naviguant sur des sites Web HTTP, l'ordinateur "voit" les données en texte clair , car le cryptage Wi-Fi se produit au niveau du routeur / point d'accès, appelé "couche de liaison".

Si, par contre, vous exécutez Wireshark tout en naviguant sur des sites Web HTTPS, Wireshark "voit "données chiffrées, même si vous n'utilisez pas le chiffrement Wi-Fi, car le chiffrement HTTPS (SSL / TLS) se produit au niveau du navigateur ou, plus précisément, au niveau de la" couche application ".

Pensez-y façon.

Un point d'accès permet à plusieurs appareils de se connecter à Internet. Sans aucun type de cryptage, n'importe quel appareil (qu'il soit à l'intérieur ou à l'extérieur du réseau sans fil) serait capable de "voir" le trafic en texte clair depuis et vers n'importe quel appareil connecté au réseau. Le cryptage Wi-Fi empêche les appareils en dehors du réseau de voir votre trafic (c'est pour cela que la phrase de passe est utilisée) et empêche les appareils à l'intérieur du réseau de s'espionner (simplifiant un peu, les données sont cryptées avec des clés différentes pour chaque appareil). Par conséquent, si Alice et Bob sont connectés au point d'accès AP, non seulement Eve (qui est en dehors du réseau) ne peut pas voir le trafic lié à Alice et Bob, mais Bob ne peut pas voir ce que fait Alice, et vice versa.

Cependant, le propriétaire du réseau Wi-Fi peut facilement voir ce que font Alice et Bob.

L'analogie

Pensez au chiffrement (pour le moment) comme une série de tubes, et aux données comme des lettres envoyées à travers ces tubes.

Le réseau sans fil est une immense pièce où vous pouvez lire, écrire et transmettre des messages, car il comprend également un bureau de poste (point d'accès).

Le bureau de poste permet d'envoyer vos lettres à quelqu'un en utilisant une autre boîte, peut-être à l'autre bout du monde. Il le fait en vérifiant l'adresse inscrite sur la lettre et en lui envoyant.

Si le cryptage Wi-Fi est utilisé, la salle est verrouillée et chaque utilisateur dispose d'un tube distinct, à travers lequel il peut envoyer et recevoir des messages.

L'Internet est tout ce qui se trouve à l'extérieur de l'immense salle . Alice et Bob sont à l'intérieur de la pièce, Eve est à l'extérieur de celle-ci.

Clause de non-responsabilité: par souci de brièveté, talk = écrire et lire dans ce contexte

1) Si la pièce n'était pas verrouillée, sans tubes, et que vous envoyiez des cartes postales en texte clair ( pas de cryptage Wi-Fi, pas de HTTPS ), vous auriez un bureau de poste opérationnel (envoi et recevoir des lettres), mais très peu sûr. Alice pourrait récupérer les lettres envoyées par Bob et vice-versa. De plus, n'importe qui pouvait entrer dans le bureau de poste et attraper n'importe quelle lettre. En d'autres termes, ce serait un énorme gâchis.

2) Chiffrement Wi-Fi, pas de HTTPS correspond à une pièce verrouillée utilisant un tube par personne, de sorte qu'Alice ne puisse pas saisir les lettres envoyées ou reçues par Bob. De toute évidence, Eve qui n'est même pas dans la pièce, ne peut rien voir. Cependant, ces lettres sont des cartes postales en texte clair, ce qui signifie que le contenu n'est pas crypté. Cela signifie que le bureau de poste peut voir tout ce que vous envoyez et recevez.

Maintenant, vous n'aimerez peut-être pas cela. Pourquoi le bureau de poste devrait-il pouvoir lire vos messages s'il suffit de les envoyer? Vous êtes alors d'accord avec les personnes avec lesquelles vous communiquez et décidez d'écrire des cartes postales codées ou cryptées. Par exemple, HI MIKE deviendrait FJSDJHDNFSJ.

De cette façon, le bureau de poste ne peut pas comprendre de quoi vous et vos amis parlez.

3) Un système impliquant des cartes cryptées et une salle déverrouillée sans tubes distincts est similaire à pas de cryptage Wi-Fi, mais HTTPS . Ainsi, la poste ne sait pas ce que vous écrivez et lisez, et Eve (qui est à l'extérieur de la pièce verrouillée, mais peut voir vos lettres en sortant de la pièce) peut collecter ou copier vos messages mais ne peut pas les comprendre. Tout va bien, non? Et bien non. Bob, Eve et d'autres personnes (à la fois à l'intérieur et à l'extérieur du réseau) peuvent toujours voir à qui vous parlez.

4) Si le système implique une pièce verrouillée avec des tubes distincts et cartes postales cryptées, c'est similaire au cryptage Wi-Fi + HTTPS , ce qui est plutôt sympa. Personne ne sait de quoi vous parlez, et seul le bureau de poste sait à qui vous parlez.

TL; DR. Le protocole HTTP sur le Wi-Fi protégé par mot de passe permet vous et le propriétaire du point d'accès pour lire votre trafic, même si d'autres personnes sur le même réseau ne le peuvent pas.

HTTPS sur le Wi-Fi protégé par mot de passe signifie que vous seul pouvez lire votre trafic et que seul le propriétaire du point d'accès sait quels sites Web vous visitez.

En passant, si vous ne voulez pas que le propriétaire de l'AP sache quels sites Web vous visitez, vous devez utiliser d'autres solutions, y compris les VPN et Tor.

Le fait que votre wifi soit protégé par WPA2 signifie simplement que les signaux envoyés par voie hertzienne depuis votre ordinateur vers le routeur sont cryptés, rien d'autre. À partir de là (du routeur au saut suivant de votre FAI, puis éventuellement au serveur Web qui traite votre demande), le trafic n'est pas chiffré.
https, cependant, fournit un chiffrement de bout en bout. Une extrémité est votre navigateur (de votre côté), l'autre extrémité est le serveur Web servant la demande. De bout en bout signifie qu'aucune entité entre ces 2 extrémités ne peut voir le texte brut. Vérifiez un site Web https arbitraire et vous verrez: Wireshark ne peut rien voir car WireShark écoute sur l'interface réseau et ne reçoit les données qu'après que le navigateur les a déjà chiffrées. D'autre part, WPA2 n'est pas de bout en bout. Le périphérique réseau gère le chiffrement (et Wireshark intercepte les données avant que le périphérique ne le fasse). C'est pourquoi vous pouvez voir les données en texte clair.
Un point important à souligner ici est que ce que vous pouvez faire sur votre ordinateur, tout le monde peut faire sur chaque routeur Internet qui reçoit les données entre votre routeur wifi et le serveur Web. Par conséquent, considérez WPA2 comme un moyen de protéger la confidentialité de la partie transmise en direct de votre réseau domestique. Si vous voulez la confidentialité des communications qui transitent par Internet, les protocoles de chiffrement de bout en bout (comme https) sont la méthode de choix.

Il y a beaucoup d'idées qui circulent ici, avec divers degrés d'inexactitude.

WPAx crypte le trafic en direct, entre votre appareil et votre point d'accès sans fil (AP), et nulle part ailleurs (y compris le routeur).

Même si vous n'avez qu'un seul appareil que vous appelez un «routeur» ou un «modem», vous avez en fait (généralement) 4 appareils. Ils sont tous simplement intégrés dans le même boîtier pour plus de commodité et pour faciliter la configuration du réseau pour les utilisateurs à domicile. Sur mon (mes) propre (s) réseau (s), littéralement tous ces appareils sont physiquement séparés.

Vous avez:

• Un modem: généralement câble ou DSL, qui relie les paquets Ethernet à partir de votre réseau domestique sur Internet
• Un routeur: il achemine les paquets entre différents réseaux et dispose généralement de fonctionnalités de pare-feu pour la sécurité
• Un switch Ethernet: tout ce un commutateur est sur le même réseau local (LAN)
• Un point d'accès sans fil (AP): c'est ce à quoi vos appareils sans fil se connectent

WPAx uniquement crypte les paquets entre vos appareils et le point d'accès.

Le point d'accès déchiffre les paquets, les transforme en vieux paquets Ethernet réguliers et les transmet au commutateur. Tout autre élément branché sur ce commutateur pourrait potentiellement lire vos paquets en texte brut.

Votre routeur est également connecté au commutateur, et le modem est connecté soit au routeur, soit au commutateur.

Le chemin du trafic ressemble à ceci:

  [périphérique ----- AP] ---- commutateur ---- routeur ---- modem -> Internet WPAx | | ordinateur, imprimante?  

WPAx est un protocole de sécurité sans fil uniquement. Cela fait partie du chemin entre vos appareils et votre point d'accès. Si vous avez un ordinateur branché sur votre commutateur avec un câble, cet ordinateur pourrait voir votre trafic "sans fil" non chiffré, et de même tous les paquets qui vont à Internet via votre routeur et votre modem ne sont pas chiffrés.

Le cryptage WPA2-PSK sert à protéger les émissions radio sans fil entre la carte sans fil du PC et le routeur Wifi. La charge utile (données) transférée entre le client PC (c'est-à-dire le navigateur Web) et le serveur distant peut être cryptée (SSL, etc.) ou non - c'est une autre couche. Sans WPA2-PSK, toute personne à courte distance (~ 50 mètres) peut espionner tout votre trafic. Pour une comparaison simple, imaginez que le Wifi avec WPA2-PSK est un câble Ethernet allant à l'intérieur de votre maison où les personnes extérieures n'ont pas accès et sans WPA2-PSK, le même câble traverse un lieu public (rue, toit, etc.)

Bien qu'il existe une chose appelée "Protocole Internet", il n'y a pas de protocole unique qui compose Internet. Au contraire, Internet est composé de nombreux protocoles différents, dont plusieurs sont utilisés ensemble à tout moment pour former ce que l'on appelle une pile

La couche la plus basse de la pile est appelée couche de liaison , et elle gère la question de savoir comment obtenir un signal entre deux machines qui sont directement connectées d'une manière ou d'une autre. Ethernet est un exemple de protocole de couche liaison. Il en va de même pour le Wi-Fi, tout comme PPP (utilisé le plus célèbre par les modems, mais DSL et les téléphones portables l'utilisent également dans les coulisses).