Sécurité réseau

WPA3 et la sécurité de votre réseau WiFi en 2019

par Editeur | Août 5, 2019 | Sécurité réseau, Sécurité WiFi

Le WiFi reste une vulnérabilité majeure pour les organisations et les utilisateurs individuels dans notre monde mobile connecté numériquement. Le WiFi non sécurisé présente des faiblesses que les cybercriminels peuvent facilement exploiter, qu’il s’agisse d’un pirate informatique qui attaque le réseau d’une entreprise à partir du parking ou d’un criminel qui capture le trafic sans fil dans un café.

Malgré ces vulnérabilités, il semble étrange que le mécanisme principal du WiFi soit basé sur le protocole de sécurité WPA2, introduit pour la première fois en 2004. De nombreux routeurs certifiés WPA2 restent rétrocompatibles avec le protocole de sécurité WEP, introduit en 1999, qui est facile à pirater avec les outils actuels. Bien que des améliorations aient été apportées à la sécurité WiFi depuis sa création, il est déconcertant de constater qu’il existe tant de faiblesses évidentes que les pirates peuvent exploiter pour attaquer les périphériques connectés.

La bonne nouvelle est que WiFi Alliance, un consortium qui possède la marque WiFi, a lancé le protocole WPA3 plus tôt cette année. À certains égards, le WPA3 représente une amélioration considérable par rapport à son prédécesseur, car il renforce certains des passifs inhérents au protocole WPA2. Mais, comme tous les protocoles de sécurité, il ne traite pas toutes les vulnérabilités et c’est pourquoi les PME doivent continuer à utiliser une approche de sécurité multicouche. Nous avons énuméré les vulnérabilités du réseau WiFi dans son état actuel. Nous allons également expliquer la façon dont WPA3 les traite avec succès ou non.

Zoom sur le protocole WPA3

Plus la solution de sécurité que vous mettez en place pour protéger votre réseau est ancienne, moins elle est efficace. La raison est simple : les différents protocoles de sécurité ont été développés en fonction des menaces de l’époque. Ils peuvent donc devenir obsolètes au fil du temps, notamment lorsque de nouvelles formes de cyberattaques apparaissent. En fait, les pirates informatiques trouvent toujours diverses manières de les contourner et, en cas d’attaque réussie, les dommages que peut subir l’entreprise peuvent être considérables.

Le protocole WPA3 – ou WiFi Protected Access 3 – est une norme de sécurité qui vous permet de régir ce qui se passe lorsque vous vous connectez à un réseau WiFi fermé via un mot de passe. Il a été publié en 2018, après que des chercheurs en sécurité ont découvert une faille importante dans le protocole WPA2 (son prédécesseur). Suite à une attaque nommée KRACK, ou Key Reinstallation Attack, des pirates ont réussi à voler des données, telles que des identifiants de connexion, des informations sur les cartes de crédit, des chats privés, etc., lesquelles ont été transmises sur des réseaux sans fil.

Pour améliorer la cybersécurité des réseaux personnels, les développeurs du protocole WPA ont décidé d’y apporter de nouvelles capacités. Ils ont utilisé un système de chiffrement plus sécurisé des mots de passe ainsi qu’une protection renforcée contre les attaques par force brute. Ces deux mesures se combinent pour protéger davantage le WiFi domestique. Mais le protocole WPA3 possède d’autres caractéristiques encore plus intéressantes.

Autres caractéristiques du nouveau WPA3

Voici quelques-unes des fonctionnalités les plus frappantes que WPA3 apporte. Elles sont disponibles à la fois pour les réseaux WiFi personnels et professionnels ainsi que pour l’Internet des objets :

• La protection contre les attaques par force brute : WPA3 fournit une protection renforcée contre ces menaces qui sont généralement menées lorsque vous êtes hors ligne. Le protocole vise à rendre la tâche beaucoup plus difficile pour un pirate informatique lorsqu’il tente de trouver ou déchiffrer votre mot de passe.
• Le protocole Forward Secrecy : dans ce cas, WPA3 utilise la mesure de sécurité de la poignée de main (handshake) SAE (ou authentification simultanée d’égaux). Il s’agit d’une fonctionnalité de sécurité dédié à empêcher les cybercriminels de déchiffrer le trafic réseau lors de l’échange de clé et vise à résister aux attaques hors-ligne par dictionnaire.
• Protection des réseaux publics ouverts : cette fonctionnalité est importante pour les utilisateurs qui se connectent au réseau WiFi dans les gares, les centres commerciaux, les restaurants, etc. Pour renforcer la sécurité, le protocole WPA3 utilise le chiffrement individualisé des données ; une fonction qui chiffre le trafic sans fil entre votre appareil et le point d’accès WiFi.
• Chiffrement avancé des réseaux sensibles : en utilisant WPA3 Enterprise, les réseaux sans fil qui contrôlent les données confidentielles peuvent protéger les connexions par le biais d’un chiffrement 192 bits.

Vulnérabilité n° 1 — WiFi ouvert non chiffré

De nombreux commerces de détail comme les cafés, les restaurants et les halls d’entrée des hôtels continuent d’utiliser le WiFi ouvert 802.11. Malgré la faiblesse évidente de permettre aux utilisateurs d’envoyer du trafic en texte brut vers le point d’accès local, les petites entreprises continuent cette pratique à cause d’un simple fait : la facilité.

Un point d’accès WiFi (SSID) ouvert n’exige pas que les utilisateurs saisissent une clé pré-partagée lorsqu’ils essaient de se connecter, ce qui signifie que les propriétaires de magasins n’ont pas à se soucier des tracas liés à la distribution de la clé à leurs clients.

Avec WPA3, il n’y a plus de réseaux ouverts.

WPA3 introduit le chiffrement sans fil opportuniste (OWE), qui est peut-être la meilleure fonctionnalité de cette nouvelle norme. OWE permet aux réseaux qui n’offrent pas de mots de passe et de clés de fournir un chiffrement qui ne nécessite aucune configuration ou interférence de la part des utilisateurs.

Il peut faire cela par le biais d’un processus appelé « Individualized Data Protection (IDP) », ou littéralement Protection individualisée des données. Avec l’IDP, chaque appareil reçoit sa propre clé du point d’accès réseau (PA) même s’il ne s’est jamais connecté. Ainsi, les pirates ne peuvent pas renifler la clé et le trafic. IDP est également utile pour les réseaux protégés par mot de passe, car même si on connaît le mot de passe, cela ne donne pas accès à la communication chiffrée des autres périphériques.

Vulnérabilité n° 2 — Complexité et fissuration des mots de passe

Bien que le WPA2 soit beaucoup plus sûr que le WEP, il reste vulnérable à la fissuration des mots de passe. C’est ce qu’a démontré l’attaque WPA2 KRACK qui a été découverte l’année dernière et qui a nécessité des mises à jour de l’appareil pour l’éliminer.

WPA2 n’est sécurisé que si un utilisateur est capable de créer un mot de passe sécurisé, car la négociation à 4 voies utilisée par WPA2 est susceptible d’être attaquée hors-ligne à partir de dictionnaires de mots de passe courts. Comme tout le monde n’est pas formé à l’art pour créer un mot de passe sécurisé, la protection offerte par WPA2 n’est pas aussi bonne que la capacité de l’utilisateur à créer un mot de passe infaillible.

Le WPA3 offre une protection robuste des mots de passe courts et longs grâce à l’authentification simultanée d’égal à égal (SAE) qui remplace le protocole d’échange PSK (Pre-Shared Key) utilisé par WPAS2. SAE, également connue sous le nom de Dragonfly Key Exchange, est plus sûre dans la gestion de l’échange de clés initial et résiste aux attaques de déchiffrement hors ligne.

Autres vulnérabilités

Bien qu’OWE et SAE soient les deux améliorations les plus spectaculaires de la nouvelle norme sans fil, d’autres garanties ont également été ajoutées.

La fonction WiFi Protected Setup (WPS) qui permettait de relier facilement de nouveaux appareils — comme un prolongateur WiFi — à un réseau sans fil avait ses limites de sécurité. Ces problèmes ont été résolus grâce au nouveau protocole DPP (WiFi Device Provisioning Protocol) amélioré.

De plus, la nature de WPA2-Enterprise — qui permettait une multitude de paramètres de connexion tels que TLS, SHA, EAP, etc. — a créé des failles de sécurité. Avec le WPA3, les circonstances dans lesquelles les clients négocient la sécurité d’une connexion EAP-TLS ont été éliminées.

Ce que le WPA3 ne traite pas pour la sécurité WiFi

Bien qu’OWE fournisse un chiffrement pour les SSID qui n’incluent pas de phrase de chiffrement, il n’a pas d’élément d’authentification. Cela rend le WPA3 tout aussi acceptable que son prédécesseur pour les attaques Man-in-the-Middle et Evil Twin. En d’autres termes, tant qu’un utilisateur connecte un périphérique au point d’accès approprié, son flux de données est entièrement protégé.

WPA3 assure uniquement la protection entre le périphérique client et le PA. Cela signifie que votre appareil WPA3 reste encore sensible aux codes malveillants provenant de sites de déploiement de malwares connus et de sites web du genre drive-by. Bien que le WPA3 ait apporté quelques améliorations internes précises, votre WiFi a donc besoin d’être toujours protégé par une solution de filtrage web DNS sécurisé.

Des contrôles visant à empêcher les acteurs malveillants d’entreprendre plusieurs tentatives de connexion via des mots de passe couramment utilisés sont attendus, ainsi qu’une configuration plus simplifiée pour les dispositifs de l’internet des objets (IoT) qui n’ont pas d’affichage. Par ailleurs, le nouveau protocole WPA3 utilisera la sécurité 192 bits ou l’algorithme commercial de sécurité nationale pour améliorer la sécurité des réseaux gouvernementaux, de défense et industriels.

Joe Hoffman, Directeur de la recherche sur les technologies de connectivité sans fil chez SAR Insight & Consulting, a déclaré :

« Les technologies pour sécuriser les réseaux sans fil peuvent durer des décennies. Il est donc important qu’elles soient continuellement mises à jour pour répondre aux besoins de l’industrie du WiFi. Le WiFi évolue pour maintenir son haut niveau de sécurité au fur et à mesure que les demandes de l’industrie augmentent. »

Limites de l’utilisation du protocole WPA3

L’une des principales limites du WPA3 réside dans le fait que peu de clients le prennent en charge actuellement. Ce fait n’est pas anodin, car ce nouveau protocole n’a pris effet qu’en 2019. Pour Windows 10, il n’est pris en charge qu’à partir de la version 1903. Les appareils macOS, quant à eux, ne sont compatibles avec le WPA3 qu’à partir de la version 10.15. En ce qui concerne les appareils IoT, comme ceux utilisant les systèmes iOS et iPadOS, ce protocole n’a été introduit qu’à partir de la version 13. Enfin, pour les appareils Android, le WPA3 n’est compatible qu’à partir de la version Android 10. A noter toutefois que la prise en charge peut varier en fonction du Smartphone ou de la tablette que vous utilisez.

Autre élément important : pour utiliser ce protocole, certains périphériques WiFi peuvent requérir la reconfiguration de la connexion WiFi. Les périphériques WiFi plus anciens ne supportent pas les cadres de gestion protégés, ce qui les empêche de se connecter à votre réseau sans fil. Dans ce cas, vous devrez procéder à une mise à jour du micrologiciel.

Un rapport publié par deux chercheurs de l’Université de Tel Aviv et l’Université de New York a également mis en évidence certains des problèmes qui sont associés à l’utilisation du protocole WPA3. En réalité, WPA3 semble présenter des défauts, notamment au niveau du mécanisme d’authentification SAE. Ils ont présenté une description autonome et complète de WPA3 et ont estimé que les mécanismes anti-congestion du SAE n’empêchent pas les attaques par déni de service. Pour découvrir ces failles, les deux chercheurs ont réalisé un grand nombre d’attaques sur les différents mécanismes composant le WPA3 (attaque par dictionnaire contre le protocole, attaque secondaire de microarchitecture contre SAE, etc.). A la fin des tests, ils ont conclu que le WPA3 n’a pas la sécurité requise pour qu’il puisse être considéré comme une norme de sécurité moderne et que cette norme doit encore être développée davantage avant d’être largement adoptée.

Ces quelques précisions montrent encore une fois que le passage d’un protocole de sécurité à l’autre ne va jamais sans poser certaines difficultés. Mais quelle que soit la décision que vous choisissez, vous pouvez toujours adopter d’autres mesures pour mieux sécuriser votre réseau, comme l’utilisation d’un système de filtrage DNS.

Un filtre DNS basé dans le cloud peut vous fournir la protection dont vos clients et utilisateurs ont besoin

Une fois que les utilisateurs se connectent à votre infrastructure WiFi, un système de filtrage DNS comme WebTitan Cloud for WiFi vous permet de :

• Filtrer les contenus web à travers plusieurs points d’accès WiFi,
• Créer un environnement de navigation plus sûr pour les familles,
• Gérer les points d’accès via une interface unique basé sur le web,
• Déléguer la gestion de vos points d’accès WiFi,
• Utiliser des filtres de contenu par site web, par catégorie de sites web, par mot-clé, par plage horaire, etc.
• Bloquer les URL et contenus offensants et inappropriés pour les employés, les mineurs, etc.
• Utiliser de listes noires et des listes blanches pour protéger votre réseau de nombreuses menaces en ligne comme les attaques de phishing,
• Bloquer les téléchargements de malwares et de ransomwares,
• Inspecter les sites web chiffrés par le biais des certificats SSL,
• Programmer et obtenir des rapports à la demande,
• Avoir une vue en temps réel des activités web des utilisateurs finaux de votre réseau,
• Limiter l’utilisation de la bande passante en cas de besoin,
• Intégrer le filtre web dans vos systèmes existants grâce à une suite d’interfaces de programmation d’application.

Pour plus d’informations sur la sécurité de votre réseau sans fil, y compris les prix de WebTitan for WiFi, et pour réserver une démonstration du produit, contactez l’équipe TitanHQ dès aujourd’hui.

Conclusion

Dans notre monde moderne, il est presque impossible de fonctionner sans accès à l’Internet sans fil. Partout, les gens comptent sur la connexion sans fil pour réaliser d’innombrables activités, du divertissement au travail, en passant par la formation, etc. Toutefois, l’omniprésence d’internet peut représenter un danger sous-jacent, notamment à cause des cybercriminels qui ne cessent d’exploiter les failles de sécurité dans votre réseau pour accéder à vos données et informations sensibles.

En passant à la nouvelle norme WPA3, la sécurité de votre réseau sans fil sera améliorée. Mais il est aussi recommandé d’ajouter une solution tierce pour mieux protéger vos données. Vous pouvez faire cela en choisissant WebTitan Cloud for WiFi. Grâce à cette solution basée dans le cloud, vos employés, invités, etc., seront protégés une fois qu’ils seront connectés à votre réseau.

Si vous voulez protéger et prendre le contrôle de votre réseau, ou si vous êtes un fournisseur de services gérés (MSP) qui cherchez une solution multilocataires pour fournir un service de filtrage web à vos clients, optez pour WebTitan Cloud for WiFi. C’est un moyen rapide, facile à utiliser et peu coûteux qui garantit une excellente protection en ligne pour votre entreprise.

Contactez TitanHQ dès aujourd’hui pour plus d’informations sur nos solutions et nos prix ou pour bénéficier d’une démonstration en direct. Si vous le souhaitez, vous pouvez-même vous inscrire à un essai gratuit pour évaluer l’efficacité de nos produits dans votre propre environnement.

FAQs

En quelques mots, quels sont les avantages du protocole WPA3 ?

WPA3 est la prochaine génération de la sécurité du Wifi. Il s’appuie sur le succès et l’adoption généralisée de WPA2, en ajoutant de nouvelles fonctionnalités afin de simplifier la sécurité Wifi, de permettre une authentification plus robuste et de maintenir la résilience des réseaux critiques.

Un filtre DNS est-il facile à configurer ?

Oui, il est très simple à configurer. Il suffit de transmettre votre DNS à votre fournisseur de services gérés. Cela peut se faire via votre pare-feu, votre routeur ou votre contrôleur de domaine en tant que zone de redirection. Une fois que votre DNS configuré pour envoyer des requêtes à votre prestataire, vous pouvez gérer entièrement votre solution dans un tableau de bord et consulter des rapports en temps quasi réel.

Est-ce qu’un filtre DNS ne ralentit pas ma connexion ?

Lorsque vous choisissez votre fournisseur de services gérés, assurez-vous simplement qu’il possède des serveurs répartis dans plusieurs endroits, de manière à ce que vous puissiez atteindre le serveur le plus proche de vous. Cela vous permet d’avoir un temps de réponse très rapide lors d’une requête.

Puis-je avoir plusieurs politiques sur le même réseau ?

Vous pouvez le faire en mettant en place des sous-réseaux séparés sur votre réseau. Faites en sorte que le DHCP distribue des adresses DNS différentes à chaque sous-réseau (également appelés IP NAT). Sinon, vous pouvez utiliser un logiciel pour spécifier différentes politiques.

Mes données sont-elles en sécurité sur le réseau de mon fournisseur de services gérés ?

La nature du service de votre fournisseur de services gérés est de faire correspondre les noms Internet à des adresses IP. Lorsque ces noms constituent une menace pour la sécurité ou sont bloqués par votre politique d’utilisation de l’Internet, votre filtre n’autorise pas la connexion. En fait, les informations que vous transférez ne passent jamais par les serveurs de votre prestataire. Il ne fait que les traduire.

Pourquoi sécuriser le WiFi invité des entreprises ?

par Editeur | Juil 5, 2019 | Sécurité réseau, Sécurité WiFi

Que vous exploitiez un hôtel, un café ou un magasin, les clients s’attendent à avoir accès à Internet dans vos locaux, mais assurez-vous de sécuriser votre réseau WiFi invité.

Fournir un accès internet à vos visiteurs professionnels et vos clients présente de nombreux avantages. Pourtant, si vous ne sécurisez pas votre réseau WiFi invité, ces derniers, tout comme vous, vous exposer à un risque considérable.

Pourquoi l’accès à Internet est-il si important ?

En 2013, une étude a révélé que 80 % des clients des magasins estimaient que la fourniture d’un accès WiFi gratuit influencerait leurs décisions d’achat. Si les détaillants fournissent un accès WiFi invité, ils sont susceptibles d’attirer plus de clients potentiels dans leurs magasins et de générer plus de vente.

Les entreprises de nos jours doivent s’adapter à l’augmentation des solutions d’achats en ligne. Les clients préfèrent mener des recherches sur le web avant de faire un achat ou de s’inscrire à votre service, par exemple en lisant les avis et commentaires des internautes.

Si votre établissement n’offre pas d’accès à Internet, vos clients seront plus susceptibles de ne passer à l’acte d’achat qu’ultérieurement. Il y a donc de fortes chances que la vente se fasse en dehors de votre magasin.

La meilleure solution est de les garder dans votre magasin et leur permettre d’accéder à Internet, ce qui augmentera vos chances de réaliser une vente.

Bien entendu, si vous n’êtes pas en mesure de concurrencer les gros détaillants en ligne, tels qu’Amazon, vous pouvez toujours fournir gratuitement le WiFi et bloquer l’accès à leurs sites web.

Voici quatre avantages concrets de la fourniture du service WiFi pour votre entreprise :

1. La disponibilité du WiFi augmente la satisfaction de vos clients

Quel que soit votre secteur d’activité, sachez que les clients considèrent l’accès au WiFi dans votre entreprise comme indispensable. Si auparavant, le principe consistait tout simplement à répondre aux attentes des clients, de nos jours, il est question de fournir un avantage non-négligeable pour votre enseigne.

Dans l’industrie hôtelière en particulier, l’inexistence d’un accès WiFi dans votre établissement peut emmener vos clients à se tourner vers d’autres concurrents qui offrent un tel service.

Pour les acteurs dans d’autres secteurs qui nécessitent l’attente des clients, comme dans les entreprises qui travaillent sur rendez-vous (cabinets médicaux, salons de beauté, cabinets juridiques, etc.), la disponibilité du WiFi permet de réduire l’aspect négatif des temps d’attente, tout en améliorant le confort de vos clients en cas de retard imprévu.

De même, les clients pourront faire des recherches sur vos produits en magasin et être plus confiants dans leurs décisions d’achat.

Mais le plus important, c’est que le WiFi vous permet de créer de nouvelles opportunités marketing.

En effet, vous pouvez créer un portail en ligne où vous pouvez offrir des coupons, des actualités à propos de vos services, des recommandations personnalisées ou encore des récompenses de fidélité à vos clients.

Bien entendu, lorsque vos clients attendent dans votre hall, la disponibilité du WiFi leur permet de publier des photos ou faire des témoignages sur leur expérience dans votre établissement.

Autrement dit, ils peuvent faire une promotion gratuite pour votre entreprise sur leurs médias sociaux préférés.

2. Promouvoir la productivité grâce au WiFi

Une bonne connexion sans fil, c’est au profit de vos employés, lesquels pourront augmenter leur productivité.

Les applications dans le cloud permettent à vos collaborateurs de travailler de n’importe où, avec des partenaires du monde entier. Le cloud leur permet de sauvegarder les données sensibles sur vos clients et celles de votre entreprise, en toute sécurité, de sorte que vos collaborateurs et invités peuvent y accéder à tout moment, quoi qu’il arrive.

Cela dit, la disponibilité du WiFi permet donc de consolider et de rationaliser le flux de travail de vos employés, sans avoir besoin d’installer un logiciel ou un équipement supplémentaire.

Une autre option consiste à utiliser le WiFi pour l’optimisation de votre système téléphonique. Désormais, la voix sur IP (VoIP) est devenue la norme pour les entreprises, ainsi que d’autres technologies de communication basées sur le web.

L’existence d’une connexion WiFi vous permet, en effet, d’acheminer et de réacheminer sans effort tous les appels entrants et sortants, même si un membre-clé de votre équipe est en déplacement. Vos collaborateurs pourront donc s’adapter facilement à la croissance de votre établissement dans la mesure où ils sont joignables à tout moment, pour un coût réduit.

Cette option est toute aussi importante, car elle permet de résoudre les problèmes ou de prendre des décisions le plus rapidement possible.

3. Un moyen d’augmenter la satisfaction de vos employés

L’un des meilleurs moyens de maintenir la motivation et l’engagement de vos employés est de fournir les meilleurs outils pour qu’ils puissent mener à bien leurs tâches quotidiennes.

Si vous voulez que vos collaborateurs aient l’impression que vous vous occupez d’eux – et si vous avez déjà essayé de regarder comment ils travaillent lorsque le temps de chargement d’une page web est trop long –, vous aurez donc pu constater la différence entre la disponibilité d’une bonne ou d’une mauvaise connexion WiFi.

Si vos employés peinent à ouvrir les pages sur lesquelles ils doivent travailler, cela peut affecter leur productivité et leur humeur. En déployant une connexion WiFi rapide et fiable, vous les aidez à mieux faire leur travail avec moins de frustration.

Mieux encore, un réseau sans fil permet à vos collaborateurs de se déplacer d’un bureau à l’autre pour trouver le meilleur espace pour se concentrer. Grâce à cela, ils peuvent travailler dans un endroit plus calme, au bout du couloir, dans leur bureau personnel, etc.

Lorsque vos employés arrivent à trouver l’environnement qui leur convient à un moment donné, vous augmenterez leur productivité et leur satisfaction.

4. Optimisez vos bénéfices grâce au WiFi invité

Tous les avantages commerciaux susmentionnés vont de pair avec le WiFi.

Mais ce qui rend ce service très intéressant, c’est que vous n’avez pas besoin d’équipements coûteux ou de passer des heures à installer un logiciel qui sera difficile à utiliser pour fournir un réseau Internet fiable dans vos locaux.

En effet, le WiFi professionnel offre un retour sur investissement important, à condition que vous choisissiez un bon fournisseur de connexion sans fil. Oui, contrairement à ce que l’on peut souvent imaginer, toutes les offres d’accès à Internet sans fil ne se ressemblent pas.

La plupart des fournisseurs proposent un très haut débit de connexion.

Mais ce n’est pas forcément le critère de choix le plus important à prendre en considération. C’est nécessaire pour échanger régulièrement des fichiers lourds ou lorsque plusieurs ordinateurs doivent se partager une même connexion. Mais un bon fournisseur d’accès WiFi doit également être en mesure de renforcer la sécurité de votre réseau sans fil.

Pourquoi le fait de sécuriser le WiFi invité est-il si important pour les entreprises ?

Il y a des avantages considérables à offrir un accès Internet gratuit à vos clients. C’est un service qu’ils souhaitent bénéficier, mais que vous pouvez aussi utiliser pour communiquer avec eux.

En outre, l’internet sans fil est une occasion pour vous de recueillir des informations précieuses sur vos clients (coordonnées, intérêts, etc.) dans le but de mener une future campagne marketing ciblée.

Vous devez toutefois noter que le Règlement général sur la protection des données (RGPD) exige l’obtention d’un consentement de vos clients avant toute collecte et utilisation de leurs données personnelles.

L’enjeu est que, lorsque vous donnez à vos clients et invités l’accès à Internet, cela expose votre entreprise à certains risques en matière de cybercriminalité. Si ces risques ne sont pas atténués, les dommages qui en découlent peuvent vous coûter très cher.

Vous avez peut-être formé vos employés pour qu’ils soient plus vigilants quant à la sécurité informatique et mis en place des politiques couvrant l’utilisation autorisée d’Internet.

Mais vos invités, vos clients et bien d’autres visiteurs sont susceptibles d’avoir des opinions différentes sur le contenu accessible via votre réseau WiFi. Ils pourraient profiter de l’absence de restrictions pour accéder à des contenus inappropriés comme la pornographie.

Ils peuvent aussi se livrer à des activités douteuses sur le plan moral ou éthique via votre réseau, voire procéder à des activités illégales comme les téléchargements qui violent le droit d’auteur.

Pire encore, vous devez réaliser que votre réseau WiFi ne s’arrête pas aux murs de votre bureau. Il peut s’étendre sur plus de 300 mètres dans les airs. Si vous n’arrivez pas à sécuriser correctement votre point d’accès, des personnes aux intentions malveillantes ou non peuvent y accéder.

Ceci peut réduire considérablement le débit de votre connexion.

En outre, des pirates peuvent installer délibérément ou accidentellement des malwares, des ransomwares ou mener des attaques de phishing.

En sécurisant votre connexion WiFi invité, vous allez vous protéger, mais vous protégez aussi vos clients et autres utilisateurs lorsqu’ils se connectent à votre réseau.

Vous pourrez par exemple bloquer les attaques du genre « man-in-the-middle », les téléchargements de malwares et les attaques de phishing. Vous serez aussi en mesure de réduire la responsabilité légale si vous contrôlez soigneusement les sites web qui peuvent être consultés par les utilisateurs.

Un exemple d’une attaque du type Man-In-The-Middle

Une attaque du type « Man-In-The-Middle » nécessite trois intervenants.

D’un côté, il y a la victime. De l’autre côté, il y a l’entité ou la personne avec laquelle la victime essaie de communiquer. Enfin, il y a l’« homme du milieu ».

Le « Man-In-The-Middle – MiTM » tente d’intercepter les communications entre la victime et la personne avec laquelle elle souhaite s’adresser. L’élément critique du scénario est que les deux premiers acteurs ne sont pas conscients de l’existence du MiTM qui est généralement un pirate informatique.

Le pirate peut établir des connexions WiFi avec des noms SSID à consonance très légitime, comme celui de l’entreprise avec laquelle elle veut communiquer.

Une fois qu’un utilisateur se connecte au WiFi du pirate, l’attaquant pourra surveiller ses activités en ligne et intercepter ses informations de connexion. Il peut également voler des informations relatives à des cartes de paiement, etc.

Bien que le nombre d’attaques du type MiTM ait diminué ces dernières années, celles-ci se produisent toujours.

Prenons l’exemple d’une attaque contre le groupe russe APT 29 – également connu sous le nom de Fancy Bear – à travers laquelle les pirates ont piraté l’OIAC (Organisation pour l’interdiction des armes chimiques en Hollande) en 2018.

La police néerlandaise avait trouvé quatre agents russes dans une voiture garée à l’extérieur de l’organisation. Ces derniers tentaient de pirater le réseau sans fil de l’OIAC et de mettre en place un point d’accès MiTM pour voler les références des employés.

En avril 2018, les centres de cybersécurité britanniques et américains ont également émis des avertissements selon lesquels « Des cybercriminels Russes, parrainés par un État-nation ciblaient activement les routeurs des entreprises et des foyers ».

Les cybercriminels russes voulaient mener des attaques du type MiTM dans le cadre d’un espionnage. Ils tentaient d’extraire la propriété intellectuelle des organisations et de permettre l’accès à des réseaux d’entreprises.

Aujourd’hui, les attaques du type MiTM sont le plus souvent couronnées de succès lorsque les utilisateurs se connectent à un routeur WiFi compromis.

Ces routeurs représentent un point faible en termes de sécurité, car ils ne sont pas souvent mis à jour ou parce qu’ils ont des protocoles non chiffrés hérités ou des paramètres par défaut faibles.

Méfiez-vous également des attaques de phishing lancées via le WiFi

Dans les hôtels et autres espaces publics, un autre type d’attaque pourrait être utilisé par les pirates : il s’agit de l’attaque « evil twin phishing ».

Dans le cadre de cette arnaque, les utilisateurs sont incités à saisir à nouveau leur mot de passe WiFi sur un réseau crée par un pirate, en usurpant le nom du réseau légitime.

Les utilisateurs innocents peuvent être amenés à taper leurs identifiants et leurs mots de passe sur le site compromis, plutôt qu’avec celui du fournisseur légitime du réseau WiFi.

En octobre dernier, la chaîne hôtelière Marriott International a dû payer 530 000 euros pour régler une plainte déposée auprès de la Commission fédérale des communications, selon laquelle elle utilisait la technologie de blocage du WiFi dans l’un de ses établissements pour obliger les clients à payer pour accéder au réseau WiFi de l’hôtel.

Marriott International a ensuite déposé une pétition, demandant à l’agence de déclarer que les opérateurs WiFi ont le droit de gérer leurs réseaux en utilisant des équipements approuvés par la Commission fédérale des communications.

Dans une récente déclaration sur son site, la chaîne hôtelière a déclaré que cette affaire découle de la nécessité de bloquer les points d’accès WiFi malveillants via lesquels les pirates pourraient mener des attaques depuis les salles de réunion et de conférence de l’hôtel et que cette réglementation ne s’appliquait pas à l’accès WiFi dans les espaces du hall et dans les chambres d’hôtel.

Qu’il s’agisse d’une bonne décision ou non, la question n’est pas là.

En réalité, il suffit de regarder les statistiques pour avoir une idée de l’importance de la menace du phishing. Selon un rapport publié en 2018 par la société de sécurité FireEye, le nombre d’arnaques de phishing a augmenté de 65 % au cours de l’année 2017.

En se basant sur les attaques les plus récentes, le montant des sommes volées par les pirates via le phishing varie de 270 000 à 9,8 millions d’euros. Selon IBM, si les pirates parviennent à exploiter une « méga brèche », le montant des dommages pourrait aller de 315 millions jusqu’à plusieurs milliards d’euros.

Cela ne veut pas pour autant dire que vous ne devez jamais offrir une connexion WiFi au grand public, mais il vaut la peine d’être prudent et de suivre quelques précautions de base.

L’attaque karma

Chaque fois que le WiFi d’un appareil utilisateur est allumé, mais non connecté à un réseau, il diffuse ouvertement les SSID des réseaux qui y ont été précédemment associés afin de tenter de se connecter à l’un d’entre eux. Ces petits paquets peuvent être consultés par toute personne se trouvant dans la zone concernée.

Les informations recueillies à partir des demandes d’exploration peuvent être combinées avec des bases de données de réseaux sans fil géolocalisées comme Wigle.net afin de cartographier l’emplacement physique de ces réseaux.

Si l’une des demandes contient un SSID de réseau WiFi ouvert, la génération du même point d’accès pour lequel l’appareil de l’utilisateur envoie des requêtes entraînera la connexion automatique de l’ordinateur portable, du téléphone ou d’un autre appareil de l’utilisateur au faux point d’accès de l’agresseur. Il est très facile de forcer un appareil connecté à envoyer des demandes de requête grâce cette technique pour que le pirate puisse ensuite accéder à votre réseau.

15 choses à considérer au sujet de la sécurisation du WiFi invité pour les clients d’affaires

Si vous voulez ouvrir votre réseau aux invités, la sécurisation du WiFi invité est un must.

Avant de le faire, assurez-vous de tenir compte des points ci-dessous !

1. Segmentez votre réseau

La segmentation de votre réseau est importante pour deux raisons. La sécurisation du WiFi invité consiste à empêcher vos employés et les utilisateurs d’accéder à une partie de votre réseau. Autrement dit, votre réseau interne doit donc être totalement séparé du réseau utilisé par les invités.

Autre élément important : les invités ne devraient pas aussi voir les actifs de votre réseau ainsi que vos fichiers et ressources confidentiels. Utilisez un pare-feu réseau ou créez un VLAN séparé dédié aux invités.

Installez un pare-feu logiciel pour protéger vos serveurs et les postes de travail liés au trafic du réseau invité. Cette opération limitera considérablement les dommages en cas d’infection par un malware ou par un logiciel de phishing.

2. Assurez-vous que votre routeur est physiquement sécurisé

Il est important de s’assurer que seul le personnel autorisé peut accéder à votre routeur Wifi. Un pirate informatique qui parvient à y accéder, il peut facilement appuyer sur le bouton de réinitialisation de votre routeur et accéder à celui-ci et à d’autres parties de votre réseau. Verrouillez-le dans un bureau ou un placard sécurisé et assurez-vous que seul le personnel autorisé a la clé.

3. Changez toujours les mots de passe et les SSID par défaut

C’est l’une des pratiques de sécurité les plus élémentaires, mais à cause de cela, il est facile de l’oublier. L’Internet est jonché de rapports faisant état d’atteintes à la protection des données qui se sont produites à cause de l’omission de modifier les mots de passe par défaut. Tous les périphériques réseau doivent avoir des mots de passe forts et uniques.

Il est également important de changer votre SSID (Service Set Identifier), c’est-à-dire le nom de votre réseau sans fil. Le SSID doit refléter le nom de votre entreprise et il doit être très clair pour vos clients pour qu’ils puissent identifier votre réseau. Si vous ne le faites pas, les pirates peuvent facilement établir des points d’accès malveillants pour mener des attaques « man-in-the-middle » à grande l’échelle.

Vous pouvez ensuite afficher le SSID et le mot de passe en interne pour faciliter l’accès des utilisateurs légitimes à votre réseau. Assurez-vous toutefois de changer régulièrement votre mot de passe.

4. Mettez à jour vos logiciels et microprogrammes

Les pirates informatiques adorent quand vous ne voyez pas s’il existe des mises à jour logicielles pour votre routeur WiFi. Ces correctifs sont généralement un correctif de sécurité et ne pas mettre à jour votre micrologiciel est comme une invitation spéciale pour les pirates.

Une récente publication du FBI a parlé d’une vulnérabilité dans les routeurs et si vous aviez changé votre mot de passe et gardé votre microprogramme à jour, vous n’auriez probablement pas été touché.

5. Utilisez WPA2 au lieu de WEP

Ce genre de chose ressemble plus à du charabia si vous n’êtes pas un geek de la sécurité informatique. En termes simples, c’est le moyen de s’assurer que les données que vous transmettez et recevez sont chiffrées. Le WEP (ou « Wired Equivalent Privacy ») est plus ancien et beaucoup plus facile à pirater. Le WPA (ou « WiFi Protected Access ») est un bien meilleur protocole de chiffrement. Si votre routeur n’en dispose pas, nous vous suggérons d’investir dans un routeur plus récent et plus sûr.

6. Utilisez un pare-feu de qualité professionnelle

Un pare-feu est un élément de sécurité indispensable pour toute entreprise qui opère dans notre monde moderne. Vous devriez avoir un pare-feu capable de s’assurer que votre propre logiciel n’envoie pas de données sur Internet sans votre autorisation ou de détecter des problèmes, ou même des sites web malveillants.

Il existe des pare-feu intelligents qui permettent spécifiquement d’offrir aux petites et moyennes entreprises une sécurité de niveau entreprise sans coûter une fortune.

7. Configurer un accès privé et public séparé

Votre WiFi doit avoir un accès séparé pour vos employés et pour le public, afin de ne pas donner à un pirate informatique un accès involontaire aux ordinateurs et réseaux internes de votre entreprise. Vous devrez créer deux identifiants de service (SSID) différents avec deux points d’accès distincts à votre réseau. L’un doit être un point d’accès sécurisé de niveau professionnel pour vos employés, et un point d’accès public pour vos clients.

8. Connaître tous vos points d’accès

Parfois, quelqu’un installe un point d’accès inconnu à votre réseau. Ces points sont souvent créés par un employé qui pourrait avoir une mauvaise connexion réseau dans son bureau. Ces points d’accès ne sont généralement pas configurés pour la sécurité et ouvrent certaines vulnérabilités. Vous devriez occasionnellement effectuer un balayage des points d’accès si vous avez un grand bureau ou un réseau important.

9. Éteindre les WPS

À moins que vous n’en ayez besoin pour quelque chose de spécifique, vous devez désactiver le WiFi Protected Setup, ou WPS. Il est conçu pour faciliter le couplage d’un appareil avec votre réseau chiffré, en appuyant sur un bouton. Le problème est qu’il peut ouvrir la porte à quelqu’un ayant de mauvaises intentions.

10. Remplacez votre routeur tous les deux ans

Même si votre routeur semble toujours fonctionner correctement, l’appareil est arrivé en fin de vie lorsque les fabricants cessent de le prendre en charge avec des mises à jour de micrologiciels, le rendant ainsi vulnérable aux futures cyber-menaces. Vous pouvez vous attendre à ce que cela se produise tous les trois à cinq ans. À ce moment-là, il est crucial de passer à un nouveau matériel. La meilleure façon de le vérifier est de consulter le site web du fabricant de votre routeur et de lire des notes sur les versions de son microprogramme. S’il n’y a pas eu de mise à jour du microprogramme au cours de l’année écoulée, le routeur a probablement été abandonné.

11. Mise en garde du DHCP

L’internet des objets (IoT) signifie que de plus en plus d’appareils recherchent une connexion sans fil pour fonctionner. Le DHCP (ou « Dynamic Host Configuration Protocol ») est l’adresse internet attribuée à ces appareils. Bien que le DHCP soit peu pratique, le plus sûr est de l’éteindre et d’attribuer manuellement une adresse internet à chaque appareil utilisé dans votre entreprise.

12. Utilisez un VPN pour maintenir votre trafic local crypté

L’un des défauts fondamentaux de la WPA2 qui est corrigé dans la WPA3 est le concept de secret avancé. Cela signifie que dans la nouvelle norme WPA3, le trafic WiFi enregistré ne peut pas être espionné même si le pirate informatique prend connaissance du mot de passe WiFi plus tard. Avec la norme WPA2 actuelle, ce n’est pas le cas. Le trafic sur un réseau local peut être espionné à la fois par d’autres utilisateurs et par un attaquant qui enregistre le trafic et le déchiffre après avoir appris le mot de passe.

Alors que le HTTPS a rendu l’internet beaucoup plus sûr et plus privé pour les utilisateurs de WiFi sur des connexions non fiables, les VPN prennent le relais pour décourager l’espionnage du trafic. En chiffrant les requêtes DNS et d’autres informations qui peuvent ouvrir la porte à une attaque de phishing, les VPN rendent plus difficile pour un cybercriminel de voir ce que leurs victimes font en ligne, ou de les rediriger vers un site web malveillant.

Afin de chiffrer votre trafic local, la plupart des VPN populaires offrent une couche de protection qui vous permet d’éviter d’être une proie facile. Le VPN rendra votre trafic local indéchiffrable par un pirate et assurera le secret des transmissions en rendant les enregistrements de votre trafic WiFi inutiles, même si l’attaquant parvient à collecter votre mot de passe WiFi.

13. Gardez votre firmware à jour

La raison pour laquelle vous devez faire des mises à jour de votre firmware est qu’il peut corriger les vulnérabilités pouvant facilement être exploitées par les cybercriminels pour accéder à vos appareils et à votre réseau. Si ces vulnérabilités sont exploitées, les configurations peuvent être modifiées et utilisées à diverses fins.

Adoptez des politiques qui exigent l’installation rapide et les vérifications mensuelles des mises à jour du firmware. Ceci vous permet de vous assurer que tous les dispositifs soient sécurisés et qu’aucune mise à jour du firmware n’a été omise.

14. Chiffrez vos signaux sans fil

Vous pouvez rendre l’accès à votre réseau WiFi invité aussi facile que possible pour vos clients et visiteurs, mais ne le rendez pas trop facile, car les pirates risquent d’espionner les individus qui se connectent au réseau. Assurez-vous de chiffrer votre réseau sans fil en utilisant la méthode de chiffrement WPA2/WPA3.

Si votre routeur ne prend pas en charge WPA2, il est peut-être temps de mettre à jour le firmware de votre routeur. Si ce n’est pas encore possible, alors vous devriez acheter un routeur moderne qui prend en charge la méthode de chiffrement WPA3.

N’oubliez pas que, si vous ne parvenez pas à chiffrer votre WiFi, il est trop facile de vous faire voler votre bande passante.

15. Sécurisez le WiFi invité en filtrant les contenus

Sécuriser le réseau WiFi invité signifie ajouter des contrôles pour limiter le contenu qui peut être consulté via votre réseau WiFi.

Vous devriez bloquer l’accès au contenu pour adultes, y compris la pornographie, les sites de jeux d’argent, les sites de rencontres, ainsi que les contenus Web illégaux ou douteux sur le plan éthique ou moral.

Une solution de filtrage web protégera vos clients contre les téléchargements accidentels de malwares et les attaques de phishing. Optez pour un filtre Web basé dans le cloud si vous ne voulez pas acheter du matériel supplémentaire.

D’ailleurs, cette solution peut être configurée et maintenue à distance, sans avoir besoin d’une mise à jour logicielle ou du firmware.

Contrairement aux filtres Web basés sur des applications, les filtres web basés dans le cloud sont plus évolutifs et s’adaptent mieux aux besoins changeants de votre entreprise.

WebTitan Cloud for WiFi – Une solution de sécurisation du WiFi invité pour les utilisateurs professionnels

TitanHQ a facilité la sécurisation du WiFi invité pour les utilisateurs professionnels. WebTitan Cloud for WiFi est un filtre Web 100 % dans le cloud et permet aux entreprises de contrôler soigneusement les catégories de contenu Web accessibles aux utilisateurs invités.

WebTitan Cloud for WiFi permet aux entreprises de bloquer l’accès à 53 catégories prédéfinies différentes de contenus web tels que la pornographie, les jeux d’argent, les sites de rencontres, les actualités et les sites de médias sociaux. Dans ces 53 catégories se trouvent plus de 500 millions de sites web dans 200 langues, dont les contenus ont été évalués et catégorisés. L’utilisation de la recherche dans le cloud garantit un filtrage précis et flexible des contenus des pages.

La sécurisation du WiFi invité est essentielle pour mettre en place une protection efficace contre les malwares, les ransomwares et le phishing. En déployant WebTitan Cloud, vous pourrez empêcher les utilisateurs d’accéder à des sites web compromis, aux sites de phishing et à d’autres sites malveillants.

Vous devez également créer des stratégies souples qui vous permettront de déléguer le contrôle du filtre à différents services et d’appliquer des contrôles à différents types d’utilisateurs. Par ailleurs, des clés de chiffrement dans le cloud peuvent être créées pour permettre à des utilisateurs spécifiques de contourner les règles mises en place.

À ceux-ci devrait s’ajouter une suite complète de rapports qui garantit la disponibilité permanente d’informations détaillées, avec des possibilités de notifications par e-mail pour alerter les administrateurs des tentatives de violation des règles et leur fournir l’historique de navigation et la liste chronologique des sites visités par les utilisateurs, et ce, en temps réel.

Conclusion

Le WiFi est devenu un outil de marketing essentiel pour la plupart des entreprises et une attente des clients. Malheureusement, de nombreuses entreprises ne disposent pas encore des compétences nécessaires pour protéger leur réseau contre les attaques cybercriminelles. De plus, les attaques lancées via le WiFi sont faciles à déployer et la plupart des pirates peuvent accéder à vos précieuses données sensibles en moins quelques minutes. La cybersécurité dans tous les aspects – quelle que soit la taille de votre entreprise – devient rapidement indispensable si vous ne voulez pas être la prochaine victime d’une attaque réussie à cause de la négligence d’une vulnérabilité que vous auriez pu corriger.

Avec les progrès de la technologie ainsi que la dépendance des utilisateurs et de vos clients au réseau WiFi, TitanHQ – en tant qu’acteur clé du marché – devrait être au sommet de son art en termes de sécurisation des informations sensibles concernant votre entreprise et vos clients.

Bien entendu, il est très important de créer et de maintenir un système sophistiqué de prévention des intrusions contre les brèches dans votre réseau WiFi.

Mais, même avec toutes les mises à jour modernes, le fait de fournir un accès internet sans fil représente toujours des risques en matière de piratage.

Vous devriez donc mettre en place une stratégie et un système de contre-attaque efficaces comme celui de TitanHQ.

Vous voulez prendre le contrôle de votre réseau WiFi ? Vous êtes un fournisseur de services gérés à la recherche d’une solution multilocataires et facile à utiliser pour vous permettre de fournir un service de filtrage Web à vos clients ? Alors, optez pour notre solution WebTitan Cloud for WiFi. Il s’agit d’un moyen rapide, facile à utiliser, peu coûteux et qui fournit un haut niveau de sécurité WiFi invité aux utilisateurs professionnels.

Contactez TitanHQ dès aujourd’hui pour plus d’informations sur nos produits, nos tarifs ou pour vous inscrire à un essai gratuit !