Le Wi-Fi est le seul point d’accès à votre réseau qui ne demande aucune présence physique dans les locaux. Un attaquant sur le parking, un voisin de palier, quelqu’un dans la rue.
C’est aussi l’un des rares équipements réseau dont la configuration date souvent de l’installation initiale.
Un réseau protégé par une clé unique commune à tous pose quatre difficultés qui se cumulent avec le temps.
Aucune imputabilité. Tous les postes se connectent avec le même secret. En cas d’incident, impossible de savoir qui était connecté.
Une révocation impossible en pratique. Le départ d’un salarié devrait entraîner un changement de clé. Comme cela suppose de reconfigurer tous les équipements, personne ne le fait. La clé de 2019 circule encore.
Une diffusion incontrôlée. La clé est transmise aux visiteurs, aux prestataires, notée sur un tableau en salle de réunion, envoyée par message.
Une interception possible. Selon les mécanismes en place, un attaquant qui capture une connexion peut tenter de retrouver la clé hors ligne, avec d’autant plus de succès qu’elle est courte ou prévisible.
La conclusion pratique : la clé partagée reste acceptable pour un réseau invité isolé, jamais pour un réseau donnant accès aux ressources internes.
Le principe : chaque utilisateur ou chaque équipement s’authentifie individuellement auprès d’un service centralisé, avec ses propres identifiants ou un certificat.
Ce que cela change :
Le mode par certificat est nettement plus robuste que le mode par mot de passe, parce qu’il résiste à l’hameçonnage d’identifiants et aux points d’accès frauduleux. Il demande en revanche une gestion de certificats — voir la gestion des secrets.
Point de vigilance souvent négligé : la configuration cliente doit vérifier le certificat du serveur d’authentification. Sans cette vérification, un point d’accès frauduleux peut capturer les identifiants — la mesure ne protège plus.
Trois règles suffisent, et elles sont rarement toutes appliquées.
Isolation totale du réseau interne. Le segment invité sort directement vers Internet, sans aucun flux vers l’interne. C’est une application de la segmentation, et c’est le point où l’on trouve le plus de dérogations historiques — une imprimante accessible « pour le confort », un partage de fichiers « le temps d’une réunion ».
Isolation entre clients. Deux appareils sur le réseau invité ne doivent pas se voir.
Portail et durée limitée. Accès nominatif ou par code temporaire, avec expiration. Cela permet aussi de tracer, ce qui est utile en cas d’incident.
Un réseau invité correctement isolé est aussi la bonne réponse aux appareils personnels et aux prestataires de passage : plutôt que de leur donner l’accès interne, on leur donne Internet.
C’est la difficulté pratique la plus courante. Imprimantes, capteurs, écrans, équipements techniques ne savent pas s’authentifier par identité.
Les traiter en les remettant sur le réseau à clé partagée annule le bénéfice de la démarche. Deux approches praticables :
Dans les deux cas, ces équipements doivent figurer à l’inventaire avec un propriétaire — ce sont typiquement les actifs que personne ne revendique.
Deux risques distincts.
Un point d’accès non autorisé branché sur votre réseau — souvent installé de bonne foi par une équipe qui manquait de couverture. Il crée une porte d’entrée non maîtrisée. La détection passe par la surveillance des équipements connectés aux prises réseau.
Un point d’accès imitant le vôtre, monté par un attaquant pour capter les connexions. La parade principale est la vérification du certificat serveur côté client, mentionnée plus haut.
La troisième question révèle presque toujours une dérogation oubliée, et c’est la plus rapide à corriger.
Journaliser les connexions sans fil revient à tracer la présence et l’activité de personnes identifiées. Les obligations d’information, de durée de conservation et de restriction d’accès s’appliquent — voir l’article 32 du RGPD et la politique de conservation.
Pour le réseau invité, la collecte doit rester proportionnée à la finalité de sécurité.
La revue et la refonte de ces architectures relèvent de nos missions de sécurité réseau périmétrique, et leur mise à l’épreuve de nos tests d’intrusion internes.
La revue de direction est l’une des rares exigences d’ISO 27001 qui ne peut pas être déléguée. Elle est aussi celle qui se transforme le plus vite en formalité : ...
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
