PMKID Attack

Définition

L'attaque PMKID est une technique de cracking de mots de passe Wi-Fi WPA2/WPA3 découverte en 2018 par Jens Steube (auteur d'Hashcat), qui permet d'obtenir les informations nécessaires au cracking du mot de passe sans capturer le 4-way handshake complet et sans qu'un client soit connecté au réseau ciblé. Le PMKID (Pairwise Master Key Identifier) est une valeur incluse dans le premier paquet du 4-way handshake WPA2 (EAPOL Key Frame 1), envoyé par le point d'accès. Il est calculé comme : PMKID = HMAC-SHA1-128(PMK, PMKID Label || AP_MAC || CLIENT_MAC), où le PMK est dérivé du mot de passe (PSK) du réseau. Puisque tous les éléments de ce calcul sont connus sauf le PMK, retrouver le PMK (et donc le mot de passe) devient un problème de cracking standard. L'avantage par rapport à la capture du 4-way handshake classique : il n'est pas nécessaire d'attendre qu'un client se connecte. L'attaquant envoie directement une requête EAPOL au point d'accès qui répond avec le premier frame contenant le PMKID. Cette approche est plus rapide, plus discrète (un seul échange vs. attente de handshake + éventuel deauth), et applicable même dans des environnements avec peu de clients actifs. L'outil hcxdumptool capture le PMKID depuis des interfaces Wi-Fi compatibles (mode monitor) : hcxdumptool -i wlan0mon -o capture.pcapng --enable_status=3. L'outil hcxtools convertit ensuite la capture au format hashcat : hcxpcapngtool -o hashes.22000 capture.pcapng. Enfin, Hashcat craque le hash avec le mode -m 22000 (WPA2 PMKID/EAPOL) : hashcat -m 22000 hashes.22000 rockyou.txt. WPA3 avec SAE (Simultaneous Authentication of Equals) offre une résistance supérieure au cracking offline car le protocole ne permet pas de dériver le PMK depuis un seul échange capturé, nécessitant des attaques actives avec beaucoup plus d'interactions.