Sécurité du Wi-Fi d’entreprise : les arbitrages qui comptent

Le Wi-Fi est le seul point d’accès à votre réseau qui ne demande aucune présence physique dans les locaux. Un attaquant sur le parking, un voisin de palier, quelqu’un dans la rue.

C’est aussi l’un des rares équipements réseau dont la configuration date souvent de l’installation initiale.

Le problème de la clé partagée

Un réseau protégé par une clé unique commune à tous pose quatre difficultés qui se cumulent avec le temps.

Aucune imputabilité. Tous les postes se connectent avec le même secret. En cas d’incident, impossible de savoir qui était connecté.

Une révocation impossible en pratique. Le départ d’un salarié devrait entraîner un changement de clé. Comme cela suppose de reconfigurer tous les équipements, personne ne le fait. La clé de 2019 circule encore.

Une diffusion incontrôlée. La clé est transmise aux visiteurs, aux prestataires, notée sur un tableau en salle de réunion, envoyée par message.

Une interception possible. Selon les mécanismes en place, un attaquant qui capture une connexion peut tenter de retrouver la clé hors ligne, avec d’autant plus de succès qu’elle est courte ou prévisible.

La conclusion pratique : la clé partagée reste acceptable pour un réseau invité isolé, jamais pour un réseau donnant accès aux ressources internes.

L’authentification par identité

Le principe : chaque utilisateur ou chaque équipement s’authentifie individuellement auprès d’un service centralisé, avec ses propres identifiants ou un certificat.

Ce que cela change :

• L’imputabilité : on sait qui s’est connecté, quand, depuis quel équipement.
• La révocation immédiate : la désactivation d’un compte ferme l’accès sans toucher aux autres postes.
• L’attribution dynamique : selon l’identité, l’équipement peut être placé dans un segment plutôt qu’un autre.

Le mode par certificat est nettement plus robuste que le mode par mot de passe, parce qu’il résiste à l’hameçonnage d’identifiants et aux points d’accès frauduleux. Il demande en revanche une gestion de certificats — voir la gestion des secrets.

Point de vigilance souvent négligé : la configuration cliente doit vérifier le certificat du serveur d’authentification. Sans cette vérification, un point d’accès frauduleux peut capturer les identifiants — la mesure ne protège plus.

Le réseau invité

Trois règles suffisent, et elles sont rarement toutes appliquées.

Isolation totale du réseau interne. Le segment invité sort directement vers Internet, sans aucun flux vers l’interne. C’est une application de la segmentation, et c’est le point où l’on trouve le plus de dérogations historiques — une imprimante accessible « pour le confort », un partage de fichiers « le temps d’une réunion ».

Isolation entre clients. Deux appareils sur le réseau invité ne doivent pas se voir.

Portail et durée limitée. Accès nominatif ou par code temporaire, avec expiration. Cela permet aussi de tracer, ce qui est utile en cas d’incident.

Un réseau invité correctement isolé est aussi la bonne réponse aux appareils personnels et aux prestataires de passage : plutôt que de leur donner l’accès interne, on leur donne Internet.

Les équipements sans interface

C’est la difficulté pratique la plus courante. Imprimantes, capteurs, écrans, équipements techniques ne savent pas s’authentifier par identité.

Les traiter en les remettant sur le réseau à clé partagée annule le bénéfice de la démarche. Deux approches praticables :

• Un réseau dédié, avec sa propre clé, fortement cloisonné et n’autorisant que les flux nécessaires. La clé ne donne alors accès qu’à un segment sans valeur.
• Une authentification par certificat d’équipement lorsque le matériel le permet.

Dans les deux cas, ces équipements doivent figurer à l’inventaire avec un propriétaire — ce sont typiquement les actifs que personne ne revendique.

Ce que le Wi-Fi ne doit jamais permettre

• L’accès aux interfaces d’administration. L’administration passe par un chemin dédié, jamais par le réseau sans fil général.
• L’accès aux environnements sensibles — production industrielle, systèmes critiques. Voir les environnements industriels.
• La confiance implicite. Être connecté au Wi-Fi d’entreprise ne devrait pas suffire à accéder aux ressources : c’est le principe de la vérification systématique.

Les points d’accès frauduleux

Deux risques distincts.

Un point d’accès non autorisé branché sur votre réseau — souvent installé de bonne foi par une équipe qui manquait de couverture. Il crée une porte d’entrée non maîtrisée. La détection passe par la surveillance des équipements connectés aux prises réseau.

Un point d’accès imitant le vôtre, monté par un attaquant pour capter les connexions. La parade principale est la vérification du certificat serveur côté client, mentionnée plus haut.

La revue à mener

1. Quelle méthode d’authentification est en place sur chaque réseau sans fil ?
2. Quand la clé du réseau interne a-t-elle changé pour la dernière fois, et qui la connaît ?
3. Le réseau invité peut-il joindre une ressource interne, même une seule ?
4. Les équipements sans interface sont-ils sur un segment dédié et cloisonné ?
5. Les connexions sont-elles journalisées, et les traces conservées ?
6. Existe-t-il des points d’accès non déclarés sur le réseau ?

La troisième question révèle presque toujours une dérogation oubliée, et c’est la plus rapide à corriger.

Le volet juridique

Journaliser les connexions sans fil revient à tracer la présence et l’activité de personnes identifiées. Les obligations d’information, de durée de conservation et de restriction d’accès s’appliquent — voir l’article 32 du RGPD et la politique de conservation.

Pour le réseau invité, la collecte doit rester proportionnée à la finalité de sécurité.

Sources

• ISO/IEC 27002:2022, mesures 8.20 à 8.22 et 5.15 à 5.18
• ANSSI — recommandations relatives à la sécurité des réseaux sans fil
• CNIL — journalisation et proportionnalité

Aller plus loin

La revue et la refonte de ces architectures relèvent de nos missions de sécurité réseau périmétrique, et leur mise à l’épreuve de nos tests d’intrusion internes.