Sécurité Wi-Fi : WPA2, WPA3 et configuration
WPA3 corrige plusieurs faiblesses de WPA2 grâce à SAE et aux trames de gestion protégées. Fonctionnement des deux protocoles, différences concrètes et configuration recommandée selon les usages.
La sécurité d'un réseau Wi-Fi repose d'abord sur son protocole de protection. WEP et WPA (TKIP) sont obsolètes et ne doivent plus être utilisés. WPA2, en service depuis 2004, reste très répandu ; WPA3, introduit par la Wi-Fi Alliance en 2018, corrige plusieurs de ses faiblesses et devient obligatoire sur les équipements récents.
Objectif : comprendre le fonctionnement de WPA2 et WPA3, leurs différences concrètes et choisir la configuration adaptée à chaque usage. La sécurité globale d'un réseau sans fil d'entreprise (802.1X, segmentation, détection) est traitée dans Sécurisation d'un réseau Wi-Fi.
Les deux modes : Personal et Enterprise
| Mode | Authentification | Usage |
|---|---|---|
| Personal | Une phrase secrète partagée (PSK pour WPA2, SAE pour WPA3) | Domicile, petites structures, réseaux d'objets ou d'invités |
| Enterprise | Identifiants individuels via 802.1X et un serveur RADIUS | Employés d'une organisation |
En mode Personal, tous les utilisateurs partagent le même secret : son départ d'un collaborateur ou sa divulgation imposent de le changer sur tous les appareils. En mode Enterprise, chaque utilisateur ou appareil a ses propres identifiants et des clés de chiffrement uniques.
WPA2 en bref
WPA2 repose sur la norme IEEE 802.11i et le chiffrement AES-CCMP.
La poignée de main en quatre temps
Après l'authentification (PSK ou 802.1X), le point d'accès et le client dérivent une clé maîtresse par paire (PMK) puis échangent quatre messages (4-way handshake) pour établir les clés de session (PTK) et la clé de groupe (GTK), sans jamais transmettre la clé maîtresse.
Les faiblesses de WPA2-Personal
- Attaques par dictionnaire hors ligne : un attaquant qui capture une poignée de main (ou, sur certains équipements, un identifiant PMKID) peut tester hors ligne des millions de phrases secrètes. Une phrase faible est donc rapidement retrouvée. Une phrase longue et aléatoire (20 caractères ou plus) rend cette attaque impraticable.
- Pas de confidentialité persistante : si la phrase secrète est découverte, le trafic capturé auparavant peut être déchiffré.
- Trames de gestion non protégées par défaut : les trames de désauthentification peuvent être falsifiées pour déconnecter des clients (la protection PMF / 802.11w est optionnelle en WPA2).
- La vulnérabilité KRACK (2017) exploitait la réinstallation de clés lors de la poignée de main ; elle a été corrigée par des mises à jour des systèmes et des équipements, ce qui rappelle l'importance de maintenir les clients et les points d'accès à jour.
WPA3 : ce qui change
SAE remplace la PSK
En mode Personal, WPA3 utilise SAE (Simultaneous Authentication of Equals, fondé sur l'échange Dragonfly). Bénéfices :
- Résistance aux attaques par dictionnaire hors ligne : capturer l'échange ne permet pas de tester des mots de passe hors ligne ; chaque essai nécessite une interaction avec le réseau.
- Confidentialité persistante : la découverte ultérieure du mot de passe ne permet pas de déchiffrer les sessions passées.
Des vulnérabilités d'implémentation (regroupées sous le nom « Dragonblood », 2019) ont été découvertes et corrigées ; la Wi-Fi Alliance a renforcé ses exigences, notamment avec la méthode hash-to-element (H2E), obligatoire en 6 GHz. Une phrase secrète solide reste recommandée.
PMF obligatoire
Avec WPA3, les trames de gestion protégées (PMF, 802.11w) sont obligatoires, ce qui bloque les désauthentifications forgées.
WPA3-Enterprise
WPA3-Enterprise impose PMF et renforce les exigences sur la validation du certificat du serveur. Un mode optionnel à 192 bits (suite CNSA) existe pour les environnements à très haute exigence.
OWE pour les réseaux ouverts
OWE (Opportunistic Wireless Encryption, commercialisé sous le nom « Wi-Fi Certified Enhanced Open ») chiffre individuellement le trafic de chaque client sur un réseau sans mot de passe. Il ne fournit pas d'authentification, mais empêche l'écoute passive : idéal pour un réseau invités ou un lieu public.
Le mode de transition WPA2/WPA3
Le mode WPA3-Personal Transition accepte à la fois les clients WPA3 (SAE) et WPA2 (PSK) sur le même SSID, avec la même phrase secrète. Il facilite la migration, mais :
- les clients WPA2 restent exposés aux attaques hors ligne sur la PSK ;
- certains anciens clients gèrent mal ce mode et refusent de se connecter.
Stratégie fréquente : un SSID en transition pendant la migration, puis passage en WPA3 seul lorsque le parc le permet. En 6 GHz, seul WPA3 (ou OWE) est autorisé.
Configuration recommandée selon les usages
| Usage | Configuration recommandée |
|---|---|
| Employés | WPA3-Enterprise (ou WPA2/WPA3-Enterprise en transition), 802.1X avec EAP-TLS, PMF requis |
| Invités | OWE (Enhanced Open) avec portail d'acceptation, ou WPA3-Personal avec mot de passe renouvelé ; VLAN isolé |
| Objets connectés anciens | WPA2-Personal avec phrase longue et unique, PMF optionnel si pris en charge, VLAN dédié et filtré |
| Domicile / petite structure | WPA3-Personal (ou transition), phrase secrète longue, WPS désactivé |
Réglages à appliquer dans tous les cas :
- désactiver WEP, WPA (TKIP) et le mode mixte TKIP/AES ;
- désactiver WPS, dont la méthode PIN est vulnérable ;
- activer PMF (requis en WPA3, « optionnel/capable » en WPA2 si les clients le supportent) ;
- mettre à jour points d'accès et clients ;
- choisir une phrase secrète forte en mode Personal : longue, aléatoire, propre à ce réseau.
Vérifier la configuration d'un client
Sous Windows :
netsh wlan show interfaces # authentification et chiffrement en cours
netsh wlan show profiles
Sous Linux (NetworkManager) :
nmcli -f IN-USE,SSID,SECURITY device wifi list
nmcli connection show "<nom-du-profil>" | grep -i 802-11-wireless-security
Le champ d'authentification indique par exemple WPA3-Personnel ou WPA2-Entreprise, et le chiffrement CCMP (AES) ou GCMP.
Erreurs courantes
- Phrase secrète courte en WPA2-Personal.
- WPS laissé actif.
- Mode mixte TKIP/AES maintenu pour un vieil appareil, affaiblissant tout le réseau.
- WPA2-Enterprise sans validation du certificat RADIUS côté client.
- Passer brutalement en WPA3 seul sans inventaire des clients, provoquant des déconnexions.
Conclusion
WPA3 apporte des améliorations concrètes : SAE contre les attaques par dictionnaire, confidentialité persistante, PMF obligatoire, OWE pour les réseaux ouverts. Migrez progressivement via le mode de transition, privilégiez le mode Enterprise avec EAP-TLS pour les employés, et appliquez une phrase secrète robuste partout où une clé partagée reste nécessaire.
