Sécurité du Wi-Fi en entreprise : WPA3, réseau invité et 802.1X

Dans la salle d'attente d'une clinique de physiothérapie de Longueuil, le mot de passe du Wi-Fi est écrit au feutre sur un tableau blanc. C'est le même réseau que celui du poste de la réception, de l'imprimante et du serveur de dossiers. Le routeur, installé par le fournisseur Internet il y a six ans, n'a jamais été mis à jour. Et trois anciens employés connaissent encore le mot de passe.

Ce portrait n'a rien de rare. Le Wi-Fi est souvent l'équipement le plus négligé d'une PME : il « marche », alors personne n'y touche. Pourtant, quiconque se trouve à portée du signal, dans le stationnement ou chez le voisin de palier, peut tenter de s'y brancher.

Le Centre canadien pour la cybersécurité fixe une base claire : un chiffrement WPA2 ou mieux, de préférence WPA2-Entreprise, et jamais de lien entre le Wi-Fi public et le réseau de l'entreprise. Voici comment y arriver sans vous noyer dans les sigles.

Un réseau par usage

La première décision n'est pas technique, elle est organisationnelle : qui doit se connecter, et à quoi ? Le Centre canadien pour la cybersécurité recommande de placer les invités et les objets connectés sur un point d'accès distinct, voire sur un abonnement Internet séparé, et de segmenter les appareils qui doivent rester sur le réseau de l'entreprise, comme les imprimantes et les terminaux de paiement.

Le Centre conseille aussi de garder les services essentiels sur un réseau câblé : un simple brouilleur suffit à paralyser une entreprise qui dépend entièrement du sans-fil.

WPA2, WPA3, Personnel, Entreprise : démêler les sigles

Deux questions distinctes se cachent derrière ces sigles : la génération du protocole (WPA2 ou WPA3) et le mode d'authentification (Personnel ou Entreprise).

Quelques précisions utiles :

• WPA3 rend obligatoire la protection des trames de gestion (PMF), selon la Wi-Fi Alliance, ce qui complique certaines attaques de déconnexion forcée.
• Le mode de transition WPA2/WPA3 permet aux vieux appareils de suivre, mais il garde la porte ouverte au protocole le plus faible. Utilisez-le seulement le temps de remplacer ces appareils.
• Sur la bande de 6 GHz (Wi-Fi 6E), WPA3 est obligatoire : le WPA2 n'y est pas permis.
• Le mode Entreprise 192 bits est une option destinée aux environnements très sensibles. La plupart des PME n'en ont pas besoin.

Côté Entreprise, le Centre canadien pour la cybersécurité considère l'utilisation de certificats (EAP-TLS) comme la pratique la plus sûre. Une solution par identifiant et mot de passe (PEAP) est plus simple à mettre en place. Des services RADIUS infonuagiques permettent aussi de relier le Wi-Fi à l'annuaire que vous utilisez déjà.

Le vrai problème du mot de passe partagé

Le Centre est sans détour : il ne recommande à aucune organisation d'utiliser une clé partagée plutôt que le mode Entreprise. La raison est simple : une fois le mot de passe donné, la seule façon de retirer l'accès à quelqu'un est de le changer pour tout le monde.

Prenons une agence immobilière de Repentigny, 18 courtiers et adjoints. Le même mot de passe Wi-Fi depuis quatre ans, connu d'une dizaine d'anciens collaborateurs. Le passage au mode Entreprise, relié à l'annuaire de l'agence, a réglé le problème : quand quelqu'un part, on désactive son compte et son accès au Wi-Fi disparaît avec.

Si vous devez garder une phrase de passe partagée, séparez au moins invités, employés et objets connectés sur des réseaux (SSID) et des réseaux locaux virtuels (VLAN) distincts, chacun avec sa propre phrase. Visez au moins quatre mots et 15 caractères, comme le recommande le Centre.

Durcir les bornes et le routeur

• Mots de passe par défaut du réseau et du compte administrateur changés.
• WPS désactivé : le Centre le juge non sécuritaire pour un usage d'affaires.
• Micrologiciel à jour, et remplacement des appareils qui ne reçoivent plus de mises à jour.
• Interface d'administration inaccessible depuis le réseau invité et depuis Internet.
• Pare-feu entre le Wi-Fi et le réseau interne.
• Isolation des appareils activée sur le réseau invité.
• Phrase de passe des invités changée régulièrement, chaque jour ou chaque semaine selon l'achalandage.
• Inventaire des bornes autorisées, avec leur emplacement.

Si votre routeur grand public arrive au bout de ses capacités, notre comparatif des pare-feu pour PME peut guider le choix d'un équipement qui gère proprement plusieurs réseaux.

Bornes pirates et faux réseaux

Deux menaces passent souvent inaperçues. La première : la borne ajoutée par un employé bien intentionné pour « améliorer le signal » dans l'entrepôt, sans aucune configuration de sécurité. Le Centre souligne que ces points d'accès non autorisés sont souvent mal protégés. La seconde : le faux réseau qui imite le nom du vôtre pour capter les connexions et les identifiants.

Un système de détection d'intrusion sans fil (WIDS ou WIPS), offert par bien des solutions professionnelles, repère ces deux cas. En mode Entreprise, configurez aussi les appareils pour qu'ils vérifient le certificat du serveur avant d'envoyer leurs identifiants.

Pour savoir ce qu'un intrus pourrait réellement faire une fois branché, un test d'intrusion interne peut inclure le volet sans fil. Il exige, comme tout test d'intrusion, une autorisation écrite (Code criminel, art. 342.1).

Hors du bureau : télétravail et Wi-Fi public

Le Wi-Fi de l'entreprise n'est qu'une partie du portrait. Le Centre recommande d'éviter le Wi-Fi public pour le travail et d'utiliser un RPV (VPN) en déplacement, de désactiver la connexion automatique aux réseaux et d'oublier ceux qui ne servent plus. Notre article sur la sécurité du télétravail couvre aussi les routeurs à la maison.

Par où commencer

Un bon diagnostic Wi-Fi se fait sur place : il faut voir les bornes, mesurer la portée du signal et repérer les appareils inconnus. Notre équipe peut se déplacer chez vous dans le Grand Montréal, puis vous accompagner dans la remédiation et le durcissement de votre réseau. Avant la visite, rassemblez ce que vous pouvez : la marque et le modèle du routeur et des bornes, qui les a installés, et la liste des réseaux que vous diffusez.