Wi-Fi: sécurité et modes

Définition

Sécuriser un réseau sans fil signifie authentifier les clients, chiffrer l'air et protéger la gestion des clés. Les familles se suivent: WEP (802.11, 2003, cassé), WPA, WPA2 (802.11i) en deux modes (PSK partagé ou Enterprise 802.1X par RADIUS), et WPA3 (certification Wi-Fi Alliance 2018, obligatoire en Wi-Fi 7). Le mode ouvert avec portail captif reste un choix pour les invités publics.

Pourquoi WEP est mort

WEP utilise RC4 avec un IV de 24 bits: après environ 5 à 10 minutes de capture, les collisions d'IV permettent de reconstruire la clé (outils: Aircrack-ng). Il faut le considérer comme absent: aucun équipement certifié 200-301 ne doit l'exhiber en production.

PSK vs Enterprise

Critère	WPA2/WPA3-Personal (PSK)	WPA2/WPA3-Enterprise (802.1X)
Clé	une passphrase partagée	identité par utilisateur
Serveur	aucun	RADIUS (ISE, FreeRADIUS) + certificats
Mécanisme	SAE (WPA3) ou 4-way handshake (WPA2)	EAP: PEAP-MSCHAPv2, EAP-TLS
Révocation	changer la phrase, reconfigurer tout le monde	désactiver le compte
Usage	maison, petit bureau	entreprise, campus

En entreprise, EAP-TLS avec certificats clients est la méthode la plus forte (pas de mot de passe volable); PEAP-MSCHAPv2 reste le compromis courant avec AD. Sans fil + 802.1X en filaire se recouvrent: le thème aaa_et_802_1x complète ce sujet.

Les attaques classiques et les parades

• Evil twin: un faux AP avec le SSID de l'entreprise; parade: EAP-TLS, le client vérifie le certificat du serveur RADIUS.
• Handshake capture / KRACK: parade: WPA3-SAE résiste à l'offline dictionary (l'équivalent Dragonfly impose un échange par tentative); patches clients pour KRACK.
• WPA3 transition mode: un SSID accepte encore WPA2; le downgrade reste possible. En Wi-Fi 7, la certification exige WPA3: transition mode à proscrire en production sensible.
• PMF (Protected Management Frames, 802.11w): chiffre/authentifie déauth et désassociation: fin des aireplay-ng --deauth qui déconnectent toute une salle. WPA3 l'impose, WPA2 le propose (sae require / PMF required sur le WLAN).
• Rogue AP: un AP non autorisé dans l'ESS; parade: WLC mode monitor + wIPS qui alerte sur le BSSID inconnu.

WPA3 en détail

• SAE (Simultaneous Authentication of Equals) remplace le 4-way handshake PSK: protection contre dictionary offline, forward secrecy.
• WPA3-Enterprise 192-bit: suite CNSA (AES-GCM-256, ECDSA P-384) pour les gouvernements.
• OWE (Opportunistic Wireless Encryption, RFC 8110): chiffrement sans mot de passe dans un open network (Wi-Fi Enhanced Open): l'air n'est plus en clair, l'authentification reste au portail.

Configuration type d'un WLAN sécurisé (WLC Catalyst 9800)

wlan CAMPUS-ENT 10 CAMPUS-ENT
 security wpa wpa2                ! WPA2 Enterprise
 security akm suite dot1x         ! 802.1X
 security authentication open ?   ! non: authentification par RADIUS
 radius server 10.1.5.20 key 7 0822455D0A16
! c'est sur ISE que vivent les policy sets (EAP-PEAP, AD, posture)

Côté invité, un SSID séparé en PSK ou OWE, VLAN dédié hors du réseau interne, et portail captif: la séparation par SSID/VLAN empêche un invité de toucher la data employé.

Exemple concret

Un cabinet comptable passe son unique SSID de WPA2-PSK "Cabinet2024!" à WPA3-Personal avec PMF requis. Bénéfices mesurables: plus aucune capture de handshake exploitable hors-ligne, les déauths en masse (voisin malveillant, outil d'audit) disparaissent car les frames de gestion sont protégées. Effet de bord: deux anciens lecteurs de badges radio en 802.11g ne s'associent plus; ils sont isolés sur un SSID legacy bridgé vers un VLAN IoT.

Pièges d'examen

• WPA ≠ WPA2: WPA utilisait TKIP; TKIP est interdit, AES-CCMP minimum.
• WPA2-PSK "fort" avec passphrase courte (moins de 12 caractères) est quand même cassable par dictionnaire hors-ligne: les 4-way handshakes capturés se testent sans être connecté.
• Le mode "open" sans chiffrement existe toujours pour les portails: répondre "chiffré" sur un hotspot public est faux, la sécurité vient du HTTPS côté applicatif.