Wi-Fi d’entreprise et sécurité radio
Wi-Fi d’entreprise et sécurité radio
Section intitulée « Wi-Fi d’entreprise et sécurité radio »Le Wi-Fi a l’air d’un câble Ethernet invisible. C’est une illusion confortable et fausse : le support est partagé entre tous les appareils à portée, le signal traverse les murs jusqu’au parking, et n’importe qui peut émettre sous le nom de n’importe qui. Ce chapitre décrit le Wi-Fi tel qu’il est, un réseau radio, mobile et ouvert par nature, puis montre comment une entreprise y contrôle l’accès, sépare les invités et repère les imposteurs.
→ Lire l’explication complète de la marmotte
Le Wi-Fi comme support partagé
Section intitulée « Le Wi-Fi comme support partagé »Bandes, canaux et accès au média
Section intitulée « Bandes, canaux et accès au média »Le Wi-Fi utilise trois bandes principales. La bande des 2,4 GHz porte loin et traverse bien les obstacles, mais n’offre que trois canaux de 20 MHz sans recouvrement en Europe comme aux États-Unis (1, 6 et 11), partagés avec le Bluetooth, les fours à micro-ondes et les réseaux des voisins. La bande des 5 GHz offre bien plus de canaux, dont une partie soumise au DFS (Dynamic Frequency Selection) : un point d’accès qui y détecte un radar doit quitter le canal. La bande des 6 GHz, ouverte au Wi-Fi par Wi-Fi 6E, est propre et large, mais porte moins loin ; son étendue dépend du pays : 480 MHz (5 945 à 6 425 MHz) en Europe, 1 200 MHz aux États-Unis.
Contrairement à un port de commutateur dédié, un canal radio est un média partagé où un seul émetteur parle à la fois dans une zone donnée. L’accès se règle par CSMA/CA (Carrier Sense Multiple Access with Collision Avoidance) : chaque station écoute, attend un délai aléatoire, puis émet. Plus il y a d’appareils sur un canal, plus chacun attend. Un appareil ancien ou éloigné, qui émet à bas débit, monopolise le canal plus longtemps pour le même volume et ralentit tous les autres. D’où la règle qui surprend les débutants : un signal fort ne garantit pas une bonne capacité. Une salle de conférence de 200 personnes couverte par un seul point d’accès puissant a une excellente couverture et une capacité désastreuse ; mieux vaut plusieurs points d’accès à puissance réduite sur des canaux différents. Les murs, le métal, l’eau (corps humains compris) atténuent le signal, et les réseaux voisins sur le même canal ajoutent des interférences.
Les générations, sans catalogue
Section intitulée « Les générations, sans catalogue »Les normes IEEE 802.11 (Institute of Electrical and Electronics Engineers) se succèdent depuis 1997 ; la Wi-Fi Alliance leur a donné en 2018 des noms de génération plus lisibles.
| Norme | Nom commercial | Bandes | Apport principal |
|---|---|---|---|
| 802.11b, a, g | (aucun) | 2,4 / 5 GHz | premières générations, 11 puis 54 Mbit/s |
| 802.11n | Wi-Fi 4 | 2,4 et 5 GHz | MIMO (Multiple Input Multiple Output), canaux de 40 MHz |
| 802.11ac | Wi-Fi 5 | 5 GHz | canaux jusqu’à 160 MHz, MU-MIMO (Multi-User MIMO) descendant |
| 802.11ax | Wi-Fi 6 / 6E | 2,4, 5 (et 6 GHz pour 6E) | OFDMA (Orthogonal Frequency Division Multiple Access), efficacité en forte densité |
| 802.11be | Wi-Fi 7 | 2,4, 5 et 6 GHz | canaux de 320 MHz, fonctionnement multi-liens (MLO, Multi-Link Operation) |
Trois amendements occupent des niches : 802.11ad à 60 GHz pour de très hauts débits à quelques mètres, 802.11af dans les fréquences de télévision inutilisées, et 802.11ah (Wi-Fi HaLow) sous 1 GHz pour les objets connectés à longue portée et faible débit (Réseaux personnels et IoT). Le Wi-Fi 7 est certifié par la Wi-Fi Alliance depuis janvier 2024 ; la génération suivante, 802.11bn, est en cours d’élaboration. Les débits maximaux affichés sur les boîtes sont des sommes théoriques sur tous les flux spatiaux et toutes les bandes : aucun client ne les voit jamais, ce qui n’a jamais freiné aucun service marketing.
Vocabulaire et trames
Section intitulée « Vocabulaire et trames »Le SSID (Service Set Identifier) est le nom du réseau, une étiquette annoncée par les points d’accès. Le BSSID (Basic Service Set Identifier) est l’adresse MAC (Media Access Control) d’une radio de point d’accès précise : un même SSID est diffusé par des dizaines de BSSID dans un bâtiment. Les trames 802.11 se répartissent en trois familles : trames de gestion (balises ou beacons, sondes, authentification, association, désauthentification), trames de contrôle (acquittements, réservation du canal) et trames de données. Historiquement, les trames de gestion n’étaient ni chiffrées ni authentifiées ; l’amendement 802.11w (PMF, Protected Management Frames) les protège, et il est obligatoire avec WPA3.
Authentification et accès
Section intitulée « Authentification et accès »Association, authentification, itinérance
Section intitulée « Association, authentification, itinérance »Un appareil découvre les réseaux en écoutant les balises ou en envoyant des sondes, choisit un BSSID, s’y associe, puis s’authentifie selon le mode de sécurité. L’étape d’« authentification » 802.11 d’origine, dite Open System, n’authentifie rien du tout ; la vraie authentification et la dérivation des clés interviennent ensuite, par la poignée de main en quatre temps, précédée de l’échange 802.1X en mode Enterprise.
En se déplaçant, le client passe d’un point d’accès à un autre : c’est l’itinérance (roaming). La décision appartient au client, pas à l’infrastructure, qui peut seulement l’aider : 802.11k fournit la liste des voisins, 802.11v suggère une transition, 802.11r (Fast BSS Transition) évite de refaire toute l’authentification, ce qui compte pour la voix sur Wi-Fi. Le contrôleur, physique ou en nuage, coordonne les points d’accès : configuration centralisée, choix des canaux et des puissances, gestion des clés pour l’itinérance, détection des points d’accès étrangers.
La QoS (Quality of Service) Wi-Fi repose sur WMM (Wi-Fi Multimedia), issu de 802.11e : quatre catégories d’accès (voix, vidéo, meilleur effort, arrière-plan) avec des délais d’attente différents avant émission. La voix gagne statistiquement le canal plus souvent, mais rien n’est réservé : sur un canal saturé, la priorité réduit l’attente sans l’abolir (Performance, QoS et capacité).
Modes de sécurité
Section intitulée « Modes de sécurité »WEP (Wired Equivalent Privacy) est historique et cassé depuis 2001 : sa clé se retrouve en quelques minutes d’écoute. WPA (Wi-Fi Protected Access, 2003) fut un correctif transitoire avec TKIP (Temporal Key Integrity Protocol), désormais déprécié. WPA2 (2004) impose AES (Advanced Encryption Standard) en mode CCMP (Counter Mode with CBC-MAC Protocol) et reste très répandu. WPA3 (2018) apporte deux modes.
En mode Personal, tous les utilisateurs partagent une même clé, la PSK (Pre-Shared Key). En WPA2-Personal, la capture d’une poignée de main suffit à tester des mots de passe hors ligne, à la vitesse d’une carte graphique : une clé faible tombe en heures. WPA3-Personal remplace la PSK brute par SAE (Simultaneous Authentication of Equals), qui résiste à cette attaque par dictionnaire hors ligne et offre la confidentialité persistante. Mais la clé reste partagée : elle circule, ne se révoque pas individuellement, et doit être changée à chaque départ.
En mode Enterprise, chaque utilisateur ou appareil s’authentifie individuellement par 802.1X : le client (supplicant) parle au point d’accès (authenticator), qui relaie l’échange EAP (Extensible Authentication Protocol) vers un serveur RADIUS (Remote Authentication Dial-In User Service). Avec EAP-TLS, l’authentification repose sur des certificats de part et d’autre, ce qui suppose une PKI (Public Key Infrastructure) (PKI expliquée). Avec PEAP (Protected EAP) et un mot de passe, le client doit impérativement vérifier le certificat du serveur RADIUS, faute de quoi un faux point d’accès récolte les identifiants. RADIUS peut aussi renvoyer un VLAN (Virtual Local Area Network) ou une politique par utilisateur. WPA3-Personal et WPA3-Enterprise ne diffèrent donc pas par la robustesse du chiffrement, mais par la nature de l’identité : une clé commune contre une identité par personne ou par appareil.
Invités, BYOD et appareils non maîtrisés
Section intitulée « Invités, BYOD et appareils non maîtrisés »Les invités passent par un SSID séparé, souvent avec un portail captif qui recueille une acceptation des conditions ou un code. Le portail n’apporte aucun chiffrement ; le mode OWE (Opportunistic Wireless Encryption, commercialisé sous le nom Wi-Fi Enhanced Open) chiffre les échanges d’un réseau ouvert sans mot de passe. Passpoint (Hotspot 2.0, fondé sur 802.11u) permet à un appareil de rejoindre automatiquement et de façon authentifiée un réseau partenaire, comme le fait un téléphone en itinérance mobile (Accès hertziens et mobiles). Les appareils personnels (BYOD, Bring Your Own Device) et les objets incapables de faire du 802.1X (imprimantes, capteurs, téléviseurs) relèvent de SSID ou de VLAN dédiés, avec un filtrage qui ne leur ouvre que ce dont ils ont besoin.
Atelier : cartographier SSID, VLAN et politique
Section intitulée « Atelier : cartographier SSID, VLAN et politique »| SSID | Authentification | VLAN | Politique d’accès |
|---|---|---|---|
| CORP | WPA3-Enterprise, EAP-TLS | attribué par RADIUS selon le groupe | réseau interne selon le rôle |
| CORP-IOT | WPA2/WPA3-Personal, clé par équipement si possible | 40 | serveurs de gestion des objets uniquement |
| INVITES | OWE + portail captif | 90 | Internet uniquement, isolation entre clients |
Le SSID n’est pas un VLAN : le premier est un nom radio, le second une séparation de niveau 2 sur le réseau filaire. Le lien entre eux est une configuration, et un même SSID peut déposer différents utilisateurs dans différents VLAN (VLAN, trunks et boucles).
Atelier : concevoir un Wi-Fi invité isolé
Section intitulée « Atelier : concevoir un Wi-Fi invité isolé »Le VLAN invité ne doit avoir aucune route vers le réseau interne : il sort directement vers Internet, idéalement par une connexion ou un pare-feu dédié, avec une règle explicite qui interdit les plages privées internes. L’isolation entre clients empêche les invités de se joindre entre eux. Le DNS fourni est un résolveur public ou dédié, pas l’annuaire interne. Un débit plafonné par client évite qu’un visiteur ne télécharge sa bibliothèque de films sur le lien de l’entreprise. Enfin, le test de validation consiste à se connecter comme invité et à tenter de joindre un serveur interne : l’échec doit être total.
Atelier : checklist de migration PSK vers 802.1X
Section intitulée « Atelier : checklist de migration PSK vers 802.1X »Inventorier les appareils et leur compatibilité 802.1X ; déployer RADIUS redondant et, pour EAP-TLS, la PKI et l’enrôlement automatique des certificats machines ; pousser par politique de gestion des postes le profil Wi-Fi qui impose la validation du certificat serveur ; ouvrir le nouveau SSID en parallèle de l’ancien, migrer par groupes, surveiller les échecs dans les journaux RADIUS ; basculer les appareils incompatibles vers un SSID dédié ; puis éteindre l’ancien SSID à une date annoncée, et changer sa clé entre-temps, puisqu’elle était connue de tous.
Attaques et défense radio
Section intitulée « Attaques et défense radio »Le faux point d’accès (evil twin) diffuse le même SSID qu’un réseau légitime, souvent avec un signal plus fort. Sur un réseau ouvert ou à clé connue, il attire les clients et se place au milieu de leurs échanges ; en mode Enterprise, il échoue si les clients valident le certificat RADIUS, et réussit s’ils ne le font pas. La désauthentification forgée exploite les trames de gestion non protégées pour expulser un client et le forcer à se reconnecter, au faux point d’accès ou en exposant une poignée de main à capturer ; PMF y met fin là où il est actif. Le brouillage sature la fréquence : aucune cryptographie n’y résiste, puisqu’il s’attaque à la disponibilité même du support. La capture passive de tout le trafic à portée est triviale ; elle ne livre que du chiffré, sauf sur les réseaux ouverts. Enfin, la mauvaise isolation, un SSID invité relié au VLAN interne ou des clients qui se voient entre eux, transforme la radio en porte d’entrée sur le réseau filaire.
La défense combine plusieurs couches. Authentification individuelle 802.1X avec validation du certificat serveur ; PMF activé ; WIPS (Wireless Intrusion Prevention System) intégré au contrôleur pour détecter les BSSID étrangers qui annoncent les SSID de l’entreprise et les rafales de désauthentification ; et surtout raccordement du Wi-Fi au NAC (Network Access Control) et à la segmentation, pour qu’une identité authentifiée n’obtienne que le segment correspondant à son rôle (Filtrage, segmentation et NAC).
Le SSID masqué ne protège rien. Le point d’accès cesse d’annoncer le nom dans ses balises, mais les clients le révèlent en clair dans leurs sondes et leurs associations, et un appareil configuré pour un réseau masqué l’appelle partout où il passe, ce qui facilite le travail d’un faux point d’accès. C’est de la discrétion de façade, sans sécurité derrière.
Pièges classiques
Section intitulée « Pièges classiques »Réutiliser la même clé pendant des années laisse le réseau ouvert à tous ceux qui l’ont connue un jour : anciens salariés, prestataires, visiteurs qui l’ont lue sur le tableau blanc.
Relier le Wi-Fi invité au LAN (Local Area Network) interne fait de chaque visiteur un poste interne non inventorié.
Confondre couverture forte et capacité conduit à monter la puissance quand il faudrait ajouter des points d’accès, ce qui aggrave les interférences entre cellules.
À ne pas confondre
Section intitulée « À ne pas confondre »SSID et VLAN : un nom diffusé par radio d’un côté, une séparation logique du réseau filaire de l’autre.
WPA3-Personal et WPA3-Enterprise : une clé commune protégée par SAE, contre une identité individuelle vérifiée par 802.1X et RADIUS.
Couverture et capacité : la première dit si le signal arrive, la seconde combien d’appareils peuvent réellement travailler en même temps.
🐝 Ce qui arrive si on s’en passe
Section intitulée « 🐝 Ce qui arrive si on s’en passe »Un réseau sans fil protégé par une clé unique et ancienne reste ouvert à toute personne qui l’a connue un jour, anciens salariés et prestataires compris, et depuis le parking si la couverture déborde. Aucun accès ne peut être révoqué individuellement, et les journaux ne distinguent pas un poste légitime d’un appareil introduit avec la même clé. Un réseau invité relié au réseau interne transforme chaque visiteur en poste d’entreprise non inventorié. Sans surveillance radio, un faux point d’accès portant le bon nom et une rafale de trames de déconnexion suffisent à faire basculer les appareils vers l’imposteur, sans qu’aucune alerte ne sonne sur le réseau câblé.
🦫 Explication de la marmotte 🍫
Section intitulée « 🦫 Explication de la marmotte 🍫 »Un réseau sans fil transmet les données par ondes radio, sur des bandes de fréquences découpées en canaux. Contrairement à un câble, la radio est partagée : tous les appareils d’une même zone se disputent le même canal, les murs et les autres réseaux créent des interférences, et n’importe qui à portée peut capter les trames émises. Une couverture forte ne garantit donc pas une capacité suffisante quand beaucoup d’appareils sont présents. Des points d’accès émettent le nom du réseau ; un appareil s’y associe, puis s’authentifie. Avec une clé partagée, tout le monde utilise le même mot de passe, qui finit par circuler et doit être changé dès qu’une seule personne quitte l’organisation. Dans le mode entreprise, chaque utilisateur ou appareil s’identifie individuellement auprès d’un serveur central, qui peut refuser ou révoquer un accès précis. Un contrôleur coordonne les points d’accès, ce qui permet de passer de l’un à l’autre sans coupure. Les invités passent par un réseau séparé, sans accès au réseau interne. Les attaques connues sont nombreuses : un faux point d’accès peut reprendre le nom du réseau pour attirer les appareils et intercepter leurs échanges, des trames de déconnexion forgées expulsent un appareil pour le forcer à se reconnecter, et le brouillage empêche toute communication. Masquer le nom du réseau ne cache rien, car les appareils le révèlent en le cherchant. La défense combine authentification individuelle, séparation des réseaux et surveillance radio.
À lire aussi
- Google Street View Wi-Spy 2010 : trames Wi-Fi en clair et droitL'affaire Google Street View dite « Wi-Spy » (2010), où des communications Wi-Fi non chiffrées ont été enregistrées depuis la rue, et ce que régulateurs et juges en ont retenu.
- Topologies, composants d’interconnexion et LAN sécuriséChoisir et documenter une topologie locale en comprenant modes de communication, méthodes d’accès au support et rôle des composants d’interconnexion.
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLSOù se place l'intercepteur sur un chemin réseau (ARP, DHCP, DNS, Wi-Fi, proxy TLS d'entreprise), ce que l'authentification des extrémités arrête et ce qu'elle laisse passer.
- Ethernet, trames et commutation localeExpliquer Ethernet comme base des réseaux locaux modernes : trame, adressage MAC, apprentissage, diffusion, commutation et limites d’un réseau plat.