Sécurisation d'un réseau Wi-Fi
Le Wi-Fi étend le réseau au-delà des murs. Authentification 802.1X, segmentation par SSID, réseau invités isolé, détection des points d'accès illégitimes : une démarche défensive complète.
Un réseau filaire exige un accès physique à une prise ; un réseau sans fil est accessible depuis le parking ou l'immeuble voisin. Le Wi-Fi étend donc la surface d'attaque au-delà des murs, et sa sécurité ne se limite pas au choix d'un protocole de chiffrement. Elle repose sur l'authentification, la segmentation, la gestion des équipements et la détection.
Objectif : concevoir un Wi-Fi d'entreprise sécurisé, du modèle de menace à l'exploitation. Les détails des protocoles WPA2 et WPA3 sont traités dans Sécurité Wi-Fi : WPA2, WPA3 et configuration.
Le modèle de menace
| Menace | Description | Réponse |
|---|---|---|
| Accès non autorisé | Une personne extérieure se connecte au réseau | Authentification individuelle forte (802.1X) |
| Interception | Écoute du trafic radio | Chiffrement WPA2/WPA3, protocoles chiffrés au-dessus (TLS) |
| Faux point d'accès (evil twin) | Un attaquant diffuse le même nom de réseau pour capter les connexions | Validation stricte du certificat du serveur RADIUS par les clients, détection WIDS |
| Point d'accès illégitime (rogue AP) | Un équipement non autorisé branché sur le réseau filaire | Contrôle d'accès des ports (802.1X filaire), détection |
| Déni de service | Brouillage radio, trames de désauthentification | Trames de gestion protégées (802.11w/PMF), détection ; le brouillage reste difficile à empêcher |
| Mot de passe partagé divulgué | Une clé WPA-Personal circule largement | Éviter la clé partagée pour les employés |
| Équipements compromis | Postes ou objets connectés infectés | Segmentation, filtrage, NAC |
Authentification : WPA2/WPA3-Enterprise et 802.1X
Pour les employés, l'approche recommandée est le mode Enterprise, qui repose sur IEEE 802.1X :
- le client (supplicant) s'authentifie ;
- le point d'accès ou le contrôleur (authenticator) relaie l'authentification ;
- un serveur RADIUS (FreeRADIUS, NPS de Windows Server, solution NAC) vérifie l'identité auprès de l'annuaire.
Chaque utilisateur ou appareil dispose de ses propres identifiants et de clés de chiffrement uniques par session. Révoquer un compte ne nécessite pas de changer la clé de tous les autres.
Choisir la méthode EAP
| Méthode | Authentification du client | Remarque |
|---|---|---|
| EAP-TLS | Certificat client | La plus robuste ; nécessite une PKI et le déploiement de certificats (souvent via un outil de gestion des appareils) |
| PEAP-MSCHAPv2 | Identifiant et mot de passe | Répandue mais plus faible ; sûre uniquement si le client valide strictement le certificat du serveur |
| EAP-TTLS | Identifiant et mot de passe (selon la méthode interne) | Alternative à PEAP |
Point critique : les clients doivent valider le certificat du serveur RADIUS (autorité de certification attendue et nom du serveur). Sans cette validation, un faux point d'accès peut se faire passer pour le réseau de l'entreprise et récupérer des éléments d'authentification exploitables. Cette configuration se déploie de façon centralisée par stratégie de groupe ou par la gestion des appareils mobiles (MDM).
Attribution dynamique de VLAN
Le serveur RADIUS peut renvoyer un VLAN selon le profil de l'utilisateur ou de l'appareil : les employés dans le VLAN utilisateurs, les appareils de l'équipe technique dans un autre, les équipements non conformes dans un VLAN de remédiation.
Segmentation des réseaux sans fil
Un SSID par usage, chacun associé à un VLAN et à une politique de filtrage :
| SSID | Authentification | VLAN | Accès |
|---|---|---|---|
| ENTREPRISE | WPA3-Enterprise / WPA2-Enterprise, 802.1X | Utilisateurs (dynamique) | Selon le profil |
| INVITES | Portail ou clé temporaire, WPA3-Personal ou OWE | Invités | Internet uniquement |
| OBJETS | WPA2/WPA3-Personal avec clé dédiée, ou clés individuelles si le matériel le permet | Objets | Uniquement les serveurs nécessaires |
Limitez le nombre de SSID : chacun consomme du temps d'antenne (trames balises), ce qui dégrade les performances au-delà de quelques réseaux par point d'accès.
Le réseau invités
- Isolation complète du réseau interne : un VLAN dédié, filtré par le pare-feu, n'autorisant que l'accès à Internet (et éventuellement le DNS d'un résolveur dédié).
- Isolation des clients entre eux (client isolation) pour empêcher un invité d'attaquer un autre invité.
- Limitation de débit par client.
- OWE (Opportunistic Wireless Encryption, marketing « Wi-Fi Enhanced Open ») chiffre le trafic d'un réseau ouvert, sans mot de passe : une amélioration nette par rapport à un réseau ouvert classique.
- Journalisation conforme aux obligations applicables : dans certains pays, la fourniture d'un accès Internet au public s'accompagne d'obligations de conservation de données de connexion. Renseignez-vous sur le cadre qui s'applique à votre organisation.
Sécuriser l'infrastructure sans fil
- Gestion des points d'accès sur un VLAN d'administration, jamais depuis les SSID utilisateurs.
- Mises à jour régulières des contrôleurs et points d'accès.
- Trames de gestion protégées (PMF, 802.11w) : obligatoires avec WPA3, à activer avec WPA2 lorsque les clients le permettent.
- Désactivation de WPS, des protocoles obsolètes (WEP, TKIP) et des débits historiques inutiles.
- 802.1X sur les ports filaires des points d'accès et des prises accessibles au public, pour empêcher le branchement d'un point d'accès illégitime.
Détecter : WIDS et WIPS
Les solutions d'entreprise intègrent souvent un système de détection d'intrusion sans fil (WIDS) : les points d'accès écoutent périodiquement les canaux et signalent :
- les points d'accès illégitimes connectés au réseau filaire ;
- les SSID usurpant le nom de l'entreprise ;
- les attaques de désauthentification ;
- les clients de l'entreprise s'associant à des réseaux inconnus.
Certaines solutions proposent des contre-mesures actives (WIPS). Leur usage doit être réfléchi : dans de nombreux pays, perturber volontairement des communications radio est encadré par la réglementation. Privilégiez la détection et la localisation, puis le retrait physique de l'équipement illégitime.
Audit et vérification
- Vérifiez régulièrement la couverture radio : un signal qui déborde largement à l'extérieur augmente l'exposition (sans constituer une protection lorsqu'il est réduit).
- Contrôlez la configuration des clients : validation du certificat RADIUS, absence de profils obsolètes.
- Réalisez des tests d'intrusion autorisés par des prestataires qualifiés, dans un cadre contractuel clair.
Erreurs courantes
- Une clé WPA-Personal partagée par tous les employés, jamais changée.
- PEAP sans validation du certificat serveur.
- Réseau invités qui accède au réseau interne.
- Interfaces d'administration des points d'accès accessibles depuis le Wi-Fi.
- Firmware jamais mis à jour.
Conclusion
Un Wi-Fi d'entreprise sûr combine une authentification individuelle 802.1X (idéalement EAP-TLS), une segmentation par SSID et VLAN, un réseau invités isolé, une infrastructure maintenue et une détection des équipements illégitimes. Pour la conception de l'infrastructure, voir Points d'accès et contrôleurs Wi-Fi.
