Sécurité Wifi
Introduction
Les réseaux sans fil (Wi-Fi) sont omniprésents aujourd'hui, que ce soit à la maison, au bureau, ou dans les lieux publics. Leur commodité s'accompagne cependant de défis spécifiques en matière de sécurité.
Contrairement aux réseaux filaires, les signaux Wi-Fi se propagent dans l'air et peuvent être facilement interceptés par toute personne se trouvant à portée. La sécurité des réseaux Wi-Fi est donc cruciale pour protéger la confidentialité et l'intégrité des données échangées.
Dans cette section, nous allons découvrir :
- Les protocoles de sécurité Wi-Fi (WEP, WPA, WPA2, WPA3) et leurs niveaux de sécurité respectifs.
- Les bonnes pratiques pour sécuriser un réseau Wi-Fi domestique ou d'entreprise.
- Les risques liés à l'utilisation des réseaux Wi-Fi publics.
Commençons par explorer les différents protocoles de sécurité Wi-Fi.
Protocoles de sécurité (WEP, WPA, WPA2, WPA3)
Plusieurs protocoles ont été développés pour sécuriser les réseaux Wi-Fi. Il est crucial de comprendre leurs différences et d'utiliser le protocole le plus sûr disponible.
WEP (Wired Equivalent Privacy)
- Lancé en : 1999.
- Objectif : Fournir une confidentialité équivalente à celle d'un réseau filaire (d'où son nom).
- Algorithme de chiffrement : RC4 (un algorithme de chiffrement par flot).
- Authentification : Système simple basé sur une clé partagée (clé WEP).
- Sécurité : Complètement cassé et obsolète. WEP souffre de nombreuses failles de sécurité graves :
- Clé courte et statique : La clé WEP est souvent courte (64 ou 128 bits) et statique (la même clé est utilisée pour toutes les communications).
- Vecteur d'initialisation (IV) court et mal utilisé : L'IV, utilisé pour varier le chiffrement, est trop court (24 bits) et réutilisé, ce qui permet des attaques.
- Absence d'intégrité robuste : Le contrôle d'intégrité (CRC-32) est faible et peut être facilement contourné.
- Attaques connues : Des outils permettent de casser une clé WEP en quelques minutes, voire quelques secondes.
WEP ne doit jamais être utilisé. C'est comme ne pas avoir de sécurité du tout.
WPA (Wi-Fi Protected Access)
- Lancé en : 2003 (en réponse aux failles de WEP).
- Objectif : Fournir une sécurité améliorée par rapport à WEP, tout en restant compatible avec le matériel existant (conçu pour WEP).
- Algorithme de chiffrement : TKIP (Temporal Key Integrity Protocol). TKIP utilise toujours RC4 (pour la compatibilité matérielle), mais ajoute des mécanismes pour améliorer sa sécurité :
- Clés dynamiques (changent pour chaque paquet).
- Vecteur d'initialisation plus long.
- Contrôle d'intégrité plus robuste (MIC, Message Integrity Check, appelé Michael).
- Authentification :
- WPA-Personal (WPA-PSK) : Utilise une clé pré-partagée (Pre-Shared Key, PSK), c'est-à-dire un mot de passe.
- WPA-Enterprise (WPA-802.1X) : Utilise un serveur d'authentification (RADIUS) pour authentifier chaque utilisateur individuellement (par exemple, avec un nom d'utilisateur et un mot de passe).
- Sécurité : WPA est beaucoup plus sûr que WEP, mais il reste vulnérable. Des failles ont été découvertes dans TKIP.
WPA est déprécié et moins sûr que WPA2 ou WPA3. Il ne devrait être utilisé que si le matériel ne supporte pas de protocoles plus récents.
WPA2 (Wi-Fi Protected Access II)
- Lancé en : 2004 (standard IEEE 802.11i).
- Objectif : Fournir une sécurité robuste pour les réseaux Wi-Fi.
- Algorithme de chiffrement : AES (Advanced Encryption Standard), utilisé avec le mode CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol). AES-CCMP est beaucoup plus sûr que TKIP/RC4.
- Authentification :
- WPA2-Personal (WPA2-PSK) : Utilise une clé pré-partagée (PSK). C'est le mode le plus courant pour les réseaux domestiques.
- WPA2-Enterprise (WPA2-802.1X) : Utilise un serveur d'authentification (RADIUS). C'est le mode recommandé pour les entreprises.
- Sécurité : WPA2 (avec AES-CCMP) a été considéré comme très sûr pendant de nombreuses années. Cependant, des vulnérabilités ont été découvertes :
- Attaque KRACK (Key Reinstallation Attack, 2017) : Permet à un attaquant de forcer la réinstallation de clés de chiffrement, potentiellement lui permettant de déchiffrer une partie du trafic. Cette vulnérabilité a été corrigée par des mises à jour logicielles.
- Attaques contre WPA2-PSK : Si le mot de passe (PSK) est faible, il peut être découvert par une attaque par dictionnaire hors ligne. Un attaquant capture le "handshake" (la négociation initiale) entre un client et le point d'accès, puis essaie de deviner le mot de passe en utilisant un dictionnaire et des outils de cracking.
WPA2 (avec AES-CCMP) reste une option de sécurité acceptable pour de nombreux réseaux, à condition d'utiliser un mot de passe (PSK) fort et complexe (pour WPA2-Personal) et de maintenir les appareils à jour.
WPA3 (Wi-Fi Protected Access III)
-
Lancé en : 2018.
-
Objectif : Améliorer la sécurité et la simplicité par rapport à WPA2.
-
Algorithme de chiffrement : Toujours AES (généralement AES-128 en mode GCM ou CCM).
-
Authentification :
- WPA3-Personal : Utilise SAE (Simultaneous Authentication of Equals) au lieu de PSK. SAE est basé sur l'échange de clés Diffie-Hellman et est résistant aux attaques par dictionnaire hors ligne, même si le mot de passe est faible. Il offre également la confidentialité persistante (Perfect Forward Secrecy).
- WPA3-Enterprise : Offre un mode de sécurité plus élevé (192 bits) et des mécanismes de protection renforcés pour les réseaux sensibles.
-
Autres améliorations :
- Protection des trames de gestion (Management Frame Protection, MFP) : Obligatoire en WPA3, elle protège contre certaines attaques de désauthentification ou de désassociation.
- Wi-Fi Enhanced Open™ : Permet de chiffrer les connexions sur les réseaux Wi-Fi ouverts (publics) sans nécessiter d'authentification (chiffrement opportuniste).
-
Sécurité : WPA3 est le protocole de sécurité Wi-Fi le plus sûr actuellement disponible.
Si votre point d'accès et vos appareils le supportent, il est fortement recommandé d'utiliser WPA3 (idéalement WPA3-Personal avec SAE) pour une sécurité optimale.
Résumé
| Protocole | Algorithme de chiffrement | Sécurité | Recommandation |
|---|---|---|---|
| WEP | RC4 | Cassé et obsolète | Ne jamais utiliser |
| WPA | TKIP (basé sur RC4) | Déprécié, vulnérable | À éviter si possible |
| WPA2 | AES-CCMP | Acceptable (avec PSK fort et mises à jour) | Bon choix si WPA3 non supporté |
| WPA3 | AES-GCM/CCMP (avec SAE) | Le plus sûr actuellement | Recommandé |
SAE (Simultaneous Authentication of Equals) dans WPA3-Personal
L'une des améliorations majeures de WPA3-Personal par rapport à WPA2-Personal est l'introduction de SAE (Simultaneous Authentication of Equals) pour l'authentification, en remplacement de la simple clé pré-partagée (PSK).
Comment fonctionnait WPA2-PSK (pour comprendre la différence) :
- Avec WPA2-PSK, le client et le point d'accès (PA) utilisent le même mot de passe (la PSK) pour dériver les clés de chiffrement lors d'un "handshake" en 4 étapes (4-way handshake).
- Un attaquant peut capturer ce handshake.
- Si le mot de passe est faible, l'attaquant peut ensuite essayer de deviner le mot de passe hors ligne en utilisant une attaque par dictionnaire ou par force brute sur le handshake capturé. L'attaquant n'a pas besoin d'être à proximité du réseau pour continuer son attaque une fois le handshake capturé.
Comment fonctionne SAE (WPA3-Personal) :
SAE, également connu sous le nom de "Dragonfly Handshake", est basé sur un échange de clés Diffie-Hellman authentifié par mot de passe (Password Authenticated Key Exchange - PAKE).
-
Utilisation du mot de passe : Vous utilisez toujours un mot de passe pour vous connecter à un réseau WPA3-Personal. C'est ce mot de passe qui est utilisé comme "secret partagé" dans le protocole SAE.
-
Échange de clés "authentifié" :
- Le client et le point d'accès utilisent le mot de passe partagé et des techniques cryptographiques basées sur l'échange de clés Diffie-Hellman sur les courbes elliptiques (ECDH).
- Ils s'engagent dans un échange interactif où ils prouvent mutuellement qu'ils connaissent le mot de passe sans jamais l'échanger directement et sans permettre à un attaquant passif (qui écoute) de le découvrir ou de vérifier une supposition de mot de passe.
- À la fin de cet échange, si les deux parties connaissent le même mot de passe, elles arrivent à dériver une clé de session forte et unique (la PMK - Pairwise Master Key).
-
Pas de handshake capturable pour une attaque hors ligne :
- Contrairement au handshake WPA2-PSK, l'échange SAE ne contient pas d'informations qui permettent à un attaquant de vérifier des suppositions de mot de passe hors ligne après avoir capturé l'échange.
- Pour tester un mot de passe, l'attaquant doit interagir activement avec le point d'accès ou le client à chaque tentative. Cela rend les attaques par dictionnaire et par force brute beaucoup plus lentes et faciles à détecter (car chaque tentative nécessite une interaction réseau).
Avantages de SAE :
- Résistance aux attaques par dictionnaire hors ligne : C'est l'avantage majeur. Même si le mot de passe est faible, il est beaucoup plus difficile pour un attaquant de le découvrir.
- Confidentialité persistante (Perfect Forward Secrecy - PFS) : SAE utilise des clés éphémères lors de l'échange Diffie-Hellman. Cela signifie que même si la clé privée à long terme d'un appareil était compromise ultérieurement, les communications passées ne pourraient pas être déchiffrées.
- Protection contre les attaques par devinette de mot de passe actif : Le protocole intègre des mécanismes pour ralentir les attaquants qui essaient de deviner le mot de passe en interagissant activement avec le réseau.
En résumé :
- Utilisation d'un mot de passe pour vous connecter à un réseau WPA3-Personal.
- SAE utilise ce mot de passe dans un protocole d'échange de clés cryptographique (basé sur Diffie-Hellman) pour établir une clé de session sécurisée.
- SAE est beaucoup plus résistant aux attaques par dictionnaire hors ligne que le WPA2-PSK, ce qui le rend plus sûr, même avec des mots de passe moins complexes (bien qu'un mot de passe fort reste recommandé !).
SAE est une avancée significative pour la sécurité des réseaux Wi-Fi domestiques, car il protège mieux contre la principale faiblesse de WPA2-PSK : la possibilité de cracker les mots de passe faibles hors ligne.
Les risques liés à l'utilisation des réseaux Wi-Fi publics
Les réseaux Wi-Fi publics (ceux que l'on trouve dans les cafés, les hôtels, les aéroports, les gares, etc.) sont pratiques, mais ils présentent des risques de sécurité importants. Contrairement à votre réseau domestique, vous n'avez aucun contrôle sur la configuration et la sécurité de ces réseaux, et vous ne savez pas qui d'autre y est connecté.
Considérez tout réseau Wi-Fi public comme potentiellement hostile et non sécurisé.
Voici les principaux risques :
-
Écoute clandestine (Eavesdropping / Sniffing) :
- Principe : Étant donné que les signaux Wi-Fi se propagent dans l'air, un attaquant à portée peut "écouter" le trafic réseau à l'aide d'outils spécialisés (comme Wireshark).
- Risque : Si le trafic n'est pas chiffré (par exemple, si vous visitez un site web en HTTP simple, ou si vous utilisez des applications qui ne chiffrent pas leurs communications), l'attaquant peut lire vos données en clair : identifiants, mots de passe, emails, messages, etc.
-
Attaques de l'homme du milieu (Man-in-the-Middle - MitM) :
- Principe : Comme nous l'avons vu, un attaquant peut s'interposer entre votre appareil et le point d'accès Wi-Fi (ou entre votre appareil et Internet). Sur un réseau public, ces attaques sont plus faciles à réaliser (par exemple, via ARP poisoning ou DNS spoofing sur le réseau local).
- Risque : L'attaquant peut intercepter, lire, et même modifier vos communications, même si elles sont chiffrées (par exemple, en utilisant des techniques comme SSL stripping pour vous forcer à utiliser HTTP au lieu de HTTPS, ou en présentant de faux certificats).
-
Faux points d'accès (Evil Twin Hotspots) :
- Principe : Un attaquant crée un faux point d'accès Wi-Fi avec un nom (SSID) qui ressemble à celui d'un réseau légitime (par exemple, "Café_Wifi_Gratuit" au lieu de "Cafe_Wifi"). Ce faux réseau est souvent ouvert (sans mot de passe) pour attirer les victimes.
- Risque : Si vous vous connectez à ce faux point d'accès, tout votre trafic passe par l'ordinateur de l'attaquant. Il peut alors facilement intercepter vos données, vous rediriger vers de faux sites web (phishing), ou injecter des malwares.
-
Distribution de logiciels malveillants (Malware Distribution) :
- Principe : Les attaquants peuvent utiliser les réseaux Wi-Fi publics pour distribuer des malwares.
- Risque : Par exemple, un faux point d'accès peut vous rediriger vers une page web qui vous propose de télécharger une fausse mise à jour logicielle (contenant un malware), ou un attaquant sur le même réseau peut tenter d'exploiter des vulnérabilités sur votre appareil si le partage de fichiers ou d'imprimantes est activé.
-
Vol de session (Session Hijacking) :
- Principe : Lorsque vous vous connectez à un site web, celui-ci vous attribue souvent un "cookie de session" pour vous maintenir connecté.
- Risque : Si ce cookie est transmis en clair sur un réseau Wi-Fi public non sécurisé, un attaquant peut le voler et l'utiliser pour usurper votre session et accéder à votre compte sans avoir besoin de votre mot de passe.
-
Phishing via les portails captifs :
- Principe : De nombreux réseaux Wi-Fi publics utilisent un portail captif (une page web sur laquelle vous devez vous connecter ou accepter des conditions avant d'accéder à Internet).
- Risque : Un attaquant peut créer un faux portail captif (via un Evil Twin, par exemple) qui ressemble au portail légitime, mais qui est conçu pour voler vos identifiants (email, mot de passe, informations de carte de crédit si un paiement est demandé, etc.).
Comment se protéger sur les réseaux Wi-Fi publics ?
- Évitez les activités sensibles : N'effectuez pas d'opérations bancaires, d'achats en ligne, ou ne vous connectez pas à des comptes sensibles sur un réseau Wi-Fi public.
- Utilisez un VPN (Virtual Private Network) : C'est la mesure de protection la plus efficace. Un VPN crée un tunnel chiffré entre votre appareil et un serveur distant. Tout votre trafic Internet passe par ce tunnel, le rendant illisible pour quiconque écoute sur le réseau Wi-Fi public.
- Vérifiez que vous utilisez HTTPS : Assurez-vous que les sites web que vous visitez utilisent HTTPS (cadenas dans la barre d'adresse). Utilisez des extensions de navigateur comme HTTPS Everywhere pour forcer l'utilisation de HTTPS lorsque c'est possible.
- Désactivez la connexion automatique aux réseaux Wi-Fi : Empêchez votre appareil de se connecter automatiquement à des réseaux ouverts ou connus sans votre autorisation explicite.
- Désactivez le partage de fichiers et d'imprimantes : Assurez-vous que le partage de fichiers, d'imprimantes ou la découverte de réseau sont désactivés lorsque vous êtes connecté à un réseau public. (Windows vous demande généralement de choisir entre "Réseau public" et "Réseau privé" lors de la première connexion).
- Maintenez votre système et vos logiciels à jour : Appliquez les mises à jour de sécurité pour corriger les vulnérabilités qui pourraient être exploitées.
- Utilisez un pare-feu personnel : Assurez-vous que le pare-feu de votre système d'exploitation est activé.
- Soyez méfiant envers les noms de réseaux : Vérifiez le nom exact du réseau Wi-Fi auprès du personnel de l'établissement avant de vous connecter. Méfiez-vous des réseaux ouverts ou portant des noms suspects.
- Ne faites pas confiance aux portails captifs : Ne saisissez jamais d'informations sensibles sur un portail captif. Si une connexion est requise, utilisez des identifiants non critiques ou demandez au personnel.
- Privilégiez votre connexion de données mobiles (4G/5G) : Si vous avez un forfait de données suffisant, utiliser votre connexion mobile est souvent plus sûr que de se connecter à un réseau Wi-Fi public inconnu.
La commodité des réseaux Wi-Fi publics ne doit pas faire oublier les risques. En adoptant des habitudes de sécurité simples et en utilisant un VPN, vous pouvez réduire considérablement les dangers.