Ce qu’il faut retenir
Le Wi-Fi est une porte d’entrée régulière vers le réseau de l’entreprise. Un chiffrement correct, une séparation des usages, des bornes à jour et une administration protégée réduisent fortement les risques.
Pourquoi sécuriser le Wi-Fi ?
Un réseau sans fil dépasse souvent les murs du bâtiment. Une clé partagée trop largement, une borne jamais mise à jour ou un réseau invité non isolé peuvent permettre à un tiers d’accéder aux ressources internes. Les fabricants publient régulièrement des correctifs pour leurs bornes et contrôleurs Wi-Fi : les appliquer fait partie des bonnes pratiques.
Les bonnes pratiques essentielles
- Chiffrement moderne : privilégier WPA3 lorsque les équipements le permettent, sinon WPA2 avec AES (CCMP). Abandonner WEP et WPA/TKIP.
- Authentification individuelle : pour le réseau interne, utiliser WPA2/WPA3-Enterprise (802.1X) afin que chaque utilisateur ait son propre accès. Sinon, utiliser une phrase de passe longue et la renouveler lors des départs.
- Réseau invité séparé : un SSID dédié, isolé du réseau interne (VLAN distinct, isolation des clients, règles de pare-feu).
- Segmentation des usages : séparer postes de travail, invités, objets connectés et équipements sensibles sur des VLAN différents.
- Mises à jour du firmware : maintenir bornes, contrôleurs et passerelles à jour, et suivre les avis de sécurité des constructeurs.
- Administration protégée : mots de passe administrateur uniques et robustes, accès à l’interface de gestion limité à un réseau d’administration, authentification multifacteur si disponible.
- Désactiver ce qui est inutile : WPS, SSID de test, services de gestion non utilisés.
- Plan de fréquences et puissance : régler la puissance d’émission pour couvrir les locaux sans déborder inutilement.
- Supervision : conserver les journaux, surveiller les connexions inhabituelles et la présence de bornes non autorisées.
Un point de vigilance : les failles des équipements Wi-Fi
Les bornes et contrôleurs Wi-Fi, quelle que soit la marque, font l’objet de vulnérabilités publiées régulièrement. Dans certains cas, un attaquant déjà connecté au réseau peut contourner l’isolation entre clients ou intercepter des échanges d’administration. Il est donc utile de savoir quels modèles et quelles versions sont installés, et de consulter les bulletins des constructeurs.
Détails techniques
- WPA3 : remplace l’échange de clé de WPA2 par SAE, qui limite les attaques par dictionnaire hors ligne.
- 802.1X : authentification par serveur RADIUS, avec certificats ou identifiants individuels.
- Isolation des clients : empêche deux appareils du même SSID de communiquer directement ; elle doit être complétée par la segmentation réseau, car elle ne suffit pas seule.
- WPS : mécanisme d’appairage simplifié connu pour ses faiblesses.
En résumé
Un Wi-Fi sûr repose sur un bon chiffrement, une authentification adaptée, des réseaux séparés, des mises à jour suivies et une administration protégée. Chrysalead accompagne les entreprises dans l’audit, la conception et le maintien de leurs réseaux sans fil.
Ces bonnes pratiques sont données à titre général et doivent être adaptées à chaque environnement.
Besoin de sécuriser votre Wi-Fi ?
Chrysalead vous accompagne dans l’audit, la conception et la sécurisation de vos réseaux sans fil.