Le filtrage du contenu d’un site web sur un réseau local vous protège contre les attaques de phishing et de malwares. Mais la protection des points d’accès hotspot WiFi est beaucoup plus difficile.
Les administrateurs n’ont aucun contrôle sur les réseaux externes. Pourtant, il n’est pas rare que les employés se connectent à des points d’accès WiFi en utilisant des appareils mobiles et des téléphones intelligents.
Bien que les points d’accès puissent sembler sûr, les attaquants peuvent les cibler dans l’espoir de compromettre des dispositifs et des connexions mal sécurisés, en faisant appel aux attaques de l’homme du milieu (Man in the Middle), de phishing et de malwares.
Menaces WiFi courantes pour les utilisateurs mobiles
Le fait d’avoir un antimalware sur un appareil mobile devrait faire partie de votre politique de sécurité, mais en général, ces applications ne détectent pas les programmes malveillants de type « zero-day ». L’intelligence artificielle et les mises à jour fréquentes ont amélioré l’efficacité de la détection des malwares, mais ce n’est qu’après que l’utilisateur a téléchargé le contenu que ces applications déclenchent les systèmes de défense.
Les attaques de phishing intelligentes, avec des malwares attachés et intelligemment conçus pour éviter la détection, exposent les appareils des employés à un risque.
Les attaquants utilisent leurs propres points d’accès WiFi à proximité du point d’accès officiel pour amener les utilisateurs à s’y connecter. Imaginez un utilisateur de Starbucks qui cherche un hotspot avec un signal fort. Un attaquant pourrait nommer un point d’accès malveillant « starbucks01 » et amener les utilisateurs à s’y connecter. Ceci étant fait, toutes les données non chiffrées et transmises depuis le navigateur de l’utilisateur vers un serveur cible seraient sujettes à une attaque Man in the Middle.
Les attaques de phishing peuvent être bloquées par les filtres de messagerie, mais les attaquants intelligents sont toujours capables de les contourner. Il suffit d’une seule attaque de phishing réussie pour qu’une entreprise perde des millions d’enregistrements de données, que ce soit par le biais des informations d’identification volées ou par des malwares. Les sites malveillants connus peuvent être filtrés de nombreuses façons différentes. Par contre, il est plus difficile de détecter les sites nouvellement enregistrés.
La protection DNS contre les menaces WiFi
L’ajout d’un antimalware sur les périphériques devrait être une procédure standard.
L’ajout d’une protection DNS au réseau et aux connexions mobiles devrait également faire partie des moyens de défense de toute organisation. La protection DNS empêche tout contenu malveillant d’atteindre votre réseau ou vos périphériques utilisateur pendant le processus de recherche DNS.
Pour comprendre le fonctionnement des filtres DNS, vous devez d’abord comprendre comment un navigateur web se connecte à une application web. Pour chaque application web disposant d’une adresse IP accessible au public, un navigateur effectue d’abord une recherche DNS.
Cette recherche correspond au Nom de Domaine Complètement Qualifié (FQDN) avec l’adresse IP. Une fois que le navigateur a reçu l’adresse IP associée à un FQDN, il contacte le serveur et télécharge le contenu sur l’appareil local. Ce n’est qu’après le téléchargement du contenu que l’antimalware peut identifier le fichier malveillant et empêcher l’utilisateur de l’ouvrir.
Avec la protection DNS, une étape supplémentaire est ajoutée lorsque l’adresse IP est croisée avec une liste de sites d’attaques connus. Si une correspondance est trouvée, l’utilisateur ne peut pas accéder au site et aucun fichier n’est téléchargé. En effet, il ne peut pas ouvrir le site dans un navigateur. La machine locale et le réseau sont donc entièrement protégés du contenu téléchargé.
Ainsi, les utilisateurs ne pourront pas se faire voler leurs informations d’identification dans un e-mail de phishing contenant un lien qui pointe vers un site malveillant, car toute application nécessitant une recherche d’adresse IP à partir d’un navigateur sera vérifiée à l’aide de la protection DNS. Et comme cette fonctionnalité fait partie intégrante de la connectivité Internet, les attaques qui utilisent des connexions web ne peuvent pas l’éviter.
Protection de votre réseau WiFi
La protection DNS ne protège pas uniquement les périphériques locaux contre les attaques cybercriminelles. Comme tout ordinateur qui se connecte à un point d’accès WiFi fait partie du réseau local, les entreprises qui offrent ces points d’accès devraient toujours avoir un pare-feu séparant le réseau WiFi public et le réseau interne. Néanmoins, les appareils connectés au sous-réseau WiFi peuvent partager des ressources et stocker des fichiers sur toutes les ressources de ce sous-réseau. Avec la protection DNS, une organisation protège ce réseau local contre les éventuelles attaques.
Lorsque les utilisateurs se connectent à un point d’accès WiFi, ils ne peuvent plus se connecter aux applications web publiques s’ils sont mis sur liste noire par filtrage DNS. Cette implémentation de sécurité protège non seulement les ressources de votre hotspot local, mais aussi les autres périphériques connectés au WiFi public.
Fonctionnement du filtrage DNS
Tout filtre DNS que vous ajoutez à votre réseau ne doit avoir aucune latence, sinon les utilisateurs verront leur navigation internet ralentie. Vous pouvez mettre sur liste blanche tous les faux positifs et mettre manuellement sur liste noire les sites que vous ne voulez pas autoriser sur un réseau WiFi public.
Parce que la protection DNS est évolutive, elle est bénéfique pour les petites comme pour les grandes entreprises. Elle devrait faire partie de tout point d’accès WiFi pour une défense complète contre les contenus malveillants. Qu’il s’agisse de protéger les utilisateurs mobiles ou de se défendre contre le téléchargement de contenus malveillants, votre point d’accès WiFi doit être doté de la cybersécurité adéquate. Autrement, il pourrait constituer un endroit où les attaquants peuvent lancer des malwares, des attaques DDoS ou des attaques Man in the Middle.
Attaques Man in the Middle
Les attaques Man in the Middle sont une forme courante d’attaques contre les personnes utilisant le WiFi public. Un pirate informatique capture les données que vous envoyez.
La plupart d’entre eux utilisent cette méthode pour exploiter des failles dans des applications ou des sites Web qui leur permettent de visualiser les informations transmises, y compris les renseignements bancaires, les mots de passe, les renseignements personnels d’identification et les autres données qui pourraient être utilisées pour le vol d’identité.
Le type d’attaque Man in the Middle le plus courant est celui qui se produit sur des réseaux WiFi non chiffrés et non sécurisés.
Le moyen le plus simple pour un attaquant d’exploiter le WiFi public est de se positionner entre les utilisateurs et le routeur. Une attaque Man in the Middle est comme une écoute clandestine via laquelle un attaquant peut se placer entre deux points A et B et intercepter des données. Parfois, ces données peuvent être modifiées au cours du processus de transmission pour amener la victime à divulguer des informations sensibles, comme les informations d’identification. La victime ne remarquera probablement jamais que quelque chose ne va pas. Une fois que l’utilisateur tombe dans le piège, ses données sont collectées par le pirate.
Pour les utilisateurs utilisant des mots de passe faibles, même si ce mot de passe est chiffré, cela ne prendra pas longtemps avant que l’attaquant parvienne à le déchiffrer. Apprenez à créer un mot de passe solide, ce qui le rendra plus difficile à pirater. La sécurité de votre réseau WiFi dépend de la fiabilité de tous les périphériques qui s’y connectent. Lorsqu’un utilisateur approuve accidentellement une partie malveillante, le réseau dans son ensemble peut donc être compromis.
Prochaines étapes
Si vous souhaitez évaluer les avantages du logiciel de filtrage DNS de TitanHQ dans votre propre environnement, contactez-nous et demandez les détails sur notre essai gratuit. Notre équipe d’ingénieurs expérimentés répondra à toutes vos questions sur les logiciels de filtrage Internet DNS et vous guidera tout au long du processus d’inscription à votre essai gratuit.
Une fois que vous serez inscrit, nous vous guiderons tout au long du processus de redirection de votre DNS afin que vous puissiez bénéficier de notre service. Aucune carte de crédit n’est requise pour essayer WebTitan. Il n’y a aucun contrat à signer ni engagement de votre part à continuer avec notre logiciel de filtrage DNS une fois la période d’essai terminée.
Appelez-nous dès aujourd’hui pour ajouter un niveau de sécurité supplémentaire aux activités sur le web de votre organisation en quelques minutes seulement.
Une faille critique de sécurité WiFi a été découverte par des chercheurs en sécurité en Belgique. La vulnérabilité WiFi WPA2 peut être exploitée en utilisant la méthode KRACK (Key Reinstallation AttaCK), qui permet aux acteurs malveillants d’intercepter et de déchiffrer le trafic entre un utilisateur et le réseau WiFi dans le cadre d’une attaque « man-in-the-middle ». L’ampleur du problème est immense. Presque tous les routeurs WiFi sont susceptibles d’être vulnérables.
L’exploitation de la vulnérabilité WiFi WPA2 permettrait également à un acteur malveillant d’injecter un code ou d’installer un malware ou un ransomware. En théorie, cette méthode d’attaque permettrait même à un attaquant d’insérer un code malveillant ou un malware dans un site Web. En plus d’intercepter les communications, les pirates étaient capables d’accéder et de prendre le contrôle total de l’appareil et du disque de stockage connecté au réseau WiFi vulnérable.
L’attaque WPA-Enterprise
Il faut deux conditions qui caractérisent l’attaque par la méthode KRACK : le réseau WiFi doit utiliser WPA2-PSK (ou WPA-Enterprise) et l’attaquant doit se trouver à portée du signal WiFi.
La première condition est problématique, car la plupart des réseaux WiFi utilisent le protocole WPA2 et la plupart des grandes entreprises utilisent WPA-Enterprise. De plus, puisqu’il s’agit d’une faille dans le protocole WiFi, peu importe quel périphérique est utilisé ou la sécurité sur ce périphérique.
La seconde offre une certaine protection aux entreprises pour leurs réseaux WiFi internes puisqu’une attaque devrait être menée par un initié ou une personne à l’intérieur (ou à proximité) de l’établissement. Cela dit, si un employé devait utiliser son ordinateur portable pour se connecter à un point d’accès WiFi public, par exemple dans un café, ses communications pourraient être interceptées et son appareil infecté.
Dans ce dernier cas, l’attaque peut se produire avant que l’utilisateur n’ait incorporé du sucre dans son café et avant qu’une connexion à Internet n’ait été ouverte. C’est parce que cette attaque se produit dès que l’appareil se connecte au hotspot et subit un « four-way handshake ». Le but du « handshake » est de confirmer que le client et le point d’accès possèdent les informations d’identification correctes. Lors d’une attaque par KRACK, un client vulnérable est souvent amené à utiliser une clé qui a déjà été utilisée.
Les mots des chercheurs
Les chercheurs ont expliqué que « cette attaque est exceptionnellement dévastatrice contre Android 6.0. Elle force le client à utiliser une clé de chiffrement prévisible dénommé all-zero encryption key ».
Les chercheurs ont également déclaré : « Bien que les sites Web ou les applications puissent utiliser HTTPS comme couche de protection supplémentaire, nous avertissons que cette protection supplémentaire peut être contournée dans un nombre inquiétant de situations ».
La divulgation de cette vulnérabilité WiFi WPA2 a poussé de nombreux fournisseurs à développer frénétiquement des correctifs pour bloquer les attaques.
La chercheuse en sécurité qui a découvert la vulnérabilité WiFi WPA2, Mathy Vanhoef, a averti plusieurs mois auparavant les fournisseurs et les développeurs de logiciels pour leur permettre de commencer à travailler sur les correctifs. Mais malgré cet avertissement, très peu d’entreprises ont jusqu’à présent mis à jour leurs logiciels et leurs produits. Celles qui l’ont fait sont Microsoft, Linux, Apple et Cisco/Aruba. Par contre, Google n’a pas encore patché sa plate-forme Android, tout comme Pixel/Nexus. Google travaillerait déjà sur un correctif et devrait le publier prochainement.
On s’inquiète également des dispositifs IoT (Internet des objets) qui, selon Mathy Vanhoef, ne recevront peut-être jamais de correctifs pour la vulnérabilité WiFi WPA2, ce qui les rend très vulnérables aux attaques cybercriminelles. De même, il se peut que les smartphones ne soient pas patchés rapidement. Comme ces appareils se connectent régulièrement aux points d’accès WiFi publics, ils sont les plus vulnérables aux attaques utilisant la méthode KRACK.
La vulnérabilité WiFi WPA2 est sérieuse
Bien que la vulnérabilité WiFi WPA2 soit sérieuse, il n’y a peut-être pas lieu de paniquer. Du moins, c’est l’avis de la WiFi Alliance qui a développé WPA2. Selon cet organisme :
« Rien ne prouve que la vulnérabilité a été exploitée de manière malveillante, et Wi-Fi Alliance a pris des mesures immédiates pour s’assurer que les utilisateurs peuvent continuer à compter sur le Wi-Fi pour offrir des protections de sécurité solides.
L’organisme exige maintenant des tests permettant de détecter cette vulnérabilité au sein de son réseau mondial de laboratoires de certification et a fourni un outil de détection de vulnérabilités à l’usage de tous ses membres ».
Quant au National Cyber Security Center du Royaume-Uni, il a souligné que même avec la vulnérabilité WiFi WPA2, le WPA2 reste plus sûr que le WPA ou le WEP. Le centre a aussi souligné qu’il n’est pas nécessaire de changer les mots de passe WiFi ou les identifiants d’entreprise pour se protéger contre cette vulnérabilité.
Toutefois, les entreprises et les consommateurs devraient s’assurer qu’ils appliquent les correctifs rapidement, et les entreprises devraient envisager d’élaborer des politiques exigeant que tous les travailleurs à distance se connectent aux réseaux WiFi au moyen d’un VPN.
Un exemple de vulnérabilité Wi-Fi
Un chercheur en sécurité a découvert et divulgué une grave vulnérabilité qui a affecté le protocole Wi-Fi Protected Access II — WPA2. Wi-Fi Protected Access 2 (WPA2)
Wi-Fi Protected Access 2 (WPA2) est la version finale de WPA approuvée par la Wi-Fi Alliance. Cette organisation met en œuvre les différents aspects de la norme en termes de sécurité 802.11i qui a été ratifiée et qui est obligatoire dans le processus de certification Wi-Fi. Le WPA2 est rétrocompatible avec le WPA et peut être mis en œuvre en deux versions, à savoir WPA2 personnel et WPA2 entreprise.
Ce logiciel a été utilisé par tous les appareils Wi-Fi protégés et modernes. La vulnérabilité permet à un pirate informatique de modifier un protocole, ce qui peut conduire à l’interception du trafic d’un réseau Wi-Fi.
Selon la configuration de votre réseau, les pirates informatiques peuvent aussi injecter et/ou manipuler vos données, même s’ils ne possèdent ou ne déchiffrent pas votre mot de passe de sécurité.
La vulnérabilité est sérieuse. Elle présente une surface d’attaque très importante pour les escrocs. Cependant, elle a aussi ses limites, c’est-à-dire qu’elle ne peut pas être gérée à distance. Elle ne peut être réalisée que lorsqu’un pirate informatique est physiquement proche de sa victime.
Il existe désormais plusieurs moyens de vous protéger d’une attaque en attendant que des mises à jour de sécurité soient publiées pour vos appareils. En fait, la gravité d’un problème de sécurité ne doit pas être sous-estimée, mais vous ne devez pas non plus paniquer.
Le plus gros problème soulevé par une vulnérabilité – quelle que soit son ampleur — est le fait que la grande majorité des appareils concernés — par exemple, les appareils intelligents comme les routeurs pourraient ne jamais recevoir de correctif pour résoudre le problème. Voici quelques recommandations que vous pouvez suivre pendant que les mises à jour sont déployées par les différents fabricants et fournisseurs de logiciels.
La vulnérabilité et les attaques
Une faiblesse a été identifiée dans la norme Wi-Fi elle-même d’une organisation, et non dans les produits individuels ou les implémentations.
Par conséquent, selon le chercheur, toute mise en œuvre correcte de WPA2 est susceptible d’être affectée (liste des fournisseurs affectés). L’attaque contre la vulnérabilité est baptisée KRACK (Key Reinstallation Attack) et permet à un attaquant d’attaquer la poignée de main quadruple du protocole WPA2, c’est-à-dire l’initiation de la connexion WPA2.
Cette poignée de main a lieu chaque fois qu’un client souhaite rejoindre un réseau Wi-Fi protégé WPA2 afin de confirmer que le client et le point d’accès détiennent les bonnes informations d’identification, c’est-à-dire le mot de passe Wi-Fi, avant que le client ne rejoigne le réseau.
Au cours de cette même poignée de main quadruple, une nouvelle clé de chiffrement, utilisée pour chiffrer le trafic ultérieur, est établie. En manipulant cette poignée de main à quatre voies, un attaquant peut inciter une victime à réinstaller une clé de chiffrement déjà utilisée, alors qu’une clé ne devrait être installée et utilisée qu’une seule fois. La réinstallation d’une clé de chiffrement oblige à réinitialiser deux compteurs (également appelés « nonces ») utilisés par le protocole de chiffrement, ceci permet de lancer une attaque contre le protocole, par exemple pour rejouer, décrypter et/ou falsifier des paquets.
Un pirate informatique potentiel qui se trouve à proximité physique d’un réseau Wi-Fi protégé et qui effectue cette attaque réalise une attaque de type « man-in-the-middle ».
Il peut essentiellement intercepter ou déchiffrer le trafic internet sans posséder les informations d’identification du réseau Wi-Fi protégé, comme le changement de mot de passe Wi-F iC? ette attaque peut aussi être combinée à des attaques de déclassement contre des sites Web SSL/TLS ; ceux qui n’ont pas appliqué de mesures de sécurité contre les attaques de déchiffrement, afin de transformer une connexion HTTPS en HTTP et de voler plus d’informations sensibles. L’attaque par réinstallation de clé est illustrée dans la figure simplifiée ci-dessous :
Comment sécuriser WPA2 avant l’attaque ?
L’attaque fonctionne contre les réseaux Wi-Fi personnels et d’entreprise, contre le WPA original, le WPA2, et même contre les réseaux qui n’utilisent que l’AES, c’est-à-dire à peu près la plupart des configurations de réseaux Wi-Fi. Pour le public intéressé par les aspects techniques, le chercheur qui a découvert la vulnérabilité a noté que la même technique de réinstallation de la clé peut également être utilisée pour attaquer la clé de groupe, PeerKey, TDLS et les poignées de main de transition BSS rapide.
Le chercheur décrit la vulnérabilité dans un article intitulé « Key Reinstallation Attacks : Forcing Nonce Reuse in WPA2 ». Il s’agit d’un document très technique pour ceux qui sont intéressés par les détails de l’attaque. Le chercheur a aussi fourni une vidéo avec une preuve de concept de l’attaque contre un smartphone Android.
Les lignes à suivre
Malgré le fait que la vulnérabilité soit présente dans la norme Wi-Fi et affecte donc un très grand nombre d’appareils, il ne faut pas vous inquiéter !
La vulnérabilité WPA2 est grave et offre une grande surface d’attaque, mais elle ne peut être exploitée qu’à proximité physique du réseau Wi-Fi cible et non à distance via Internet, ce qui réduit son impact.
Le WPA2 n’est qu’une des couches de sécurité qui sont touchées. N’oubliez pas que les sites internet correctement configurés, comme les banques, les médias sociaux, les fournisseurs d’e-mails, etc. qui utilisent TLS (HTTPS), sont toujours protégés contre une telle attaque.
Rien ne prouve que la vulnérabilité a été exploitée dans la nature et on ne sait pas avec quelle facilité elle peut être exploitée.
WPA2 reste une solution plus sûre que l’ancien protocole Wi-Fi WEP, Iilest donc fortement déconseillé de passer à un protocole plus ancien qui serait trivialement exploitable. Il est préférable de continuer à utiliser WPA2 lorsque vous utilisez le Wi-Fi.
Éviter complètement les réseaux Wi-Fi protégés par WPA2 n’est pas réaliste.
La faiblesse identifiée se situe dans la norme Wi-Fi elle-même, et non dans les produits ou les implémentations individuelles.
Par conséquent, selon le chercheur, toute implémentation correcte de WPA2 est susceptible d’être affectée (liste des fournisseurs affectés). L’attaque contre la vulnérabilité est baptisée KRACK (Key Reinstallation Attack) et permet à un attaquant d’attaquer la poignée de main quadruple du protocole WPA2, c’est-à-dire l’initiation de la connexion WPA2.
Cette poignée de main a lieu chaque fois qu’un client souhaite rejoindre un réseau Wi-Fi protégé WPA2 afin de confirmer que le client et le point d’accès détiennent les bonnes informations d’identification, c’est-à-dire le mot de passe Wi-Fi, avant que le client ne rejoigne le réseau. Au cours de cette même poignée de main quadruple, une nouvelle clé de chiffrement, utilisée pour chiffrer le trafic ultérieur, est établie. En manipulant cette poignée de main à quatre voies, un attaquant peut inciter une victime à réinstaller une clé de chiffrement déjà utilisée, alors qu’une clé ne devrait être installée et utilisée qu’une seule fois. La réinstallation d’une clé de chiffrement oblige à réinitialiser deux compteurs (appelés « nonces ») utilisés par le protocole de cryptage, ce qui permet de lancer une attaque contre le protocole, par exemple pour rejouer, décrypter et/ou falsifier des paquets.
Un attaquant potentiel qui se trouve à proximité physique d’un réseau Wi-Fi protégé et qui effectue cette aattaqueréalise une attaque de type « man-in-the-middle ». L’attaquant peut essentiellement intercepter/décrypter le trafic internet sans posséder les informations d’identification du réseau Wi-Fi protégé (changer le mot de passe Wi-Fi ne sert donc à rien). Cette attaque peut en outre être combinée à des attaques de déclassement contre des sites Web SSL/TLS (qui n’ont pas appliqué de mesures de sécurité contre les attaques de déclassement) afin de transformer une connexion HTTPS[1] en HTTP et de voler davantage d’informations sensibles. L’attaque par réinstallation de clé est illustrée dans la figure simplifiée ci-dessous :
Optimiser la sécurité WPA2 avant l’attaque
L’attaque fonctionne contre les réseaux Wi-Fi personnels et d’entreprise, contre le WPA original, le WPA2, et même contre les réseaux qui n’utilisent que l’AES, c’est-à-dire à peu près la plupart des configurations de réseaux Wi-Fi. Pour le public intéressé par les aspects techniques, le chercheur qui a découvert la vulnérabilité a noté que la même technique de réinstallation de la clé peut également être utilisée pour attaquer la clé de groupe, PeerKey, TDLS et les poignées de main de transition BSS rapide.
Le chercheur décrit la vulnérabilité dans un article intitulé « Key Reinstallation Attacks : Forcing Nonce Reuse in WPA2 », qui est un document très technique pour ceux qui sont intéressés par les détails de l’attaque. En outre, le chercheur a fourni une vidéo avec une preuve de concept de l’attaque contre un smartphone Android.
Lignes à suivre
Malgré le fait que la vulnérabilité soit présente dans la norme Wi-Fi et affecte donc un très grand nombre d’appareils, ne paniquez pas !
La vulnérabilité WPA2 est grave et offre une grande surface d’attaque, mais elle ne peut être exploitée qu’à proximité physique du réseau Wi-Fi cible et non à distance via Internet, ce qui réduit son impact.
Le WPA2 n’est qu’une des couches de sécurité disponibles qui sont touchées. N’oubliez pas que les sites web correctement configurés, par exemple les banques, les fournisseurs d’e-mails, les médias sociaux, etc. qui utilisent TLS (HTTPS), sont toujours protégés contre une telle attaque.
Rien ne prouve que la vulnérabilité a été exploitée dans la nature et on ne sait pas avec quelle facilité elle peut être exploitée.
WPA2 reste une solution plus sûre que WEP, l’ancien protocole Wi-Fi. Il est donc fortement déconseillé de passer à un protocole plus ancien, trivialement exploitable. Il est préférable de continuer à utiliser WPA2 lorsque vous utilisez le Wi-Fi.
Il n’est pas réaliste d’éviter tous les réseaux Wi-Fi protégés par WPA2. Dans ce cas, il faut donc être pragmatique, appliquer les mesures de sécurité disponibles ou utiliser des connexions Internet mobiles 4G, en attendant que les fabricants préparent et diffusent des correctifs pour leurs appareils.
Le problème peut être résolu par des mises à jour de logiciels/firmware. Vérifiez auprès du fabricant/vendeur de chacun de vos appareils Wi-Fi et appliquez les correctifs dès qu’ils sont disponibles. L’état de préparation des fabricants sur ces questions devrait être un facteur de pondération lors de l’achat de dispositifs technologiques. Les particuliers qui se procurent leurs routeurs auprès de leur fournisseur d’accès à large bande doivent contacter ce dernier pour vérifier si un correctif est disponible pour leur équipement et demander des instructions d’installation.
Dans la mesure du possible, utilisez une connexion Internet mobile 4G plutôt qu’une connexion Wi-Fi.
En attendant les correctifs, vous pouvez traiter tous les réseaux Wi-Fi comme des réseaux publics, ouverts et non sécurisés. Par conséquent, appliquez des mesures de sécurité sur différentes couches. Il s’agit d’une règle essentielle en matière de sécurité et tout à fait efficace dans ce cas également. À savoir :
N’utilisez que des sites Web HTTPS. Évitez d’utiliser de simples sites Web HTTP et de partager des informations personnelles par leur intermédiaire. Envisagez d’utiliser une extension de navigateur telle que HTTPS Everywhere, qui oblige tout site prenant en charge les connexions HTTPS à crypter par défaut vos communications avec ce site.
FAQs
Qu’est ce qui différencie l’attaque KRACK des aux autres attaques contre WPA2 ?
Pour faire simple, c’est la première attaque visant le protocole WPA2 qui ne repose pas sur l’identification du mot de passe.
Le fait de changer le mot de passe de mon réseau Wifi me protège-il d’une telle attaque ?
Vous pouvez changer le mot de passe de votre réseau sans fil, mais cela n’empêche pas (ou n’atténue pas) la menace. Vous devriez plutôt vous assurer que tous vos appareils et le micrologiciel de votre routeur sont mis à jour. Ceci étant fait, ce n’est jamais une mauvaise idée de changer le mot de passe de votre réseau Wifi.
Qu’est ce que les utilisateurs finaux peuvent faire pour se protéger contre cette menace ?
La moindre des choses que les utilisateurs d’une connexion sans fil devraient faire est de mettre à jour leurs appareils compatibles Wifi dès qu’une mise à jour logicielle est disponible.
Dois-je utiliser temporairement d’autres solutions comme le WEP jusqu’à ce que mes appareils soient à jour ?
Non, vous pouvez continuer à utiliser WPA2. N’oubliez pas qu’il peut s’écouler un certain temps avant que le fabricant de vos appareils et du micrologiciel de votre routeur ne propose une nouvelle mise à jour de sécurité. En attendant, vous pouvez prendre des mesures supplémentaires comme l’utilisation d’un VPN pour sécuriser vos appareils et votre réseau.
L’attaquant doit-il toujours être à proximité de votre réseau pour pouvoir l’attaquer ?
En général, le pirate doit se trouver à portée de l’appareil attaqué (Smartphone, ordinateur portable, etc.) et du réseau lui-même. Néanmoins, un pirate informatique peut se trouver relativement loin. Pour mener son attaque, il utilise une antenne spéciale à partir de trois jusqu’à huit kilomètres (si les conditions de connexion sont idéales). Cela signifie qu’il est possible de mener l’attaque KRACK même si la victime est très éloignée.
Selon un récent sondage réalisé auprès de la communauté Spiceworks, 48% des professionnels de l’informatique ont choisi un pare-feu et le système de gestion unifiée des menaces du périmètre réseau (UTM) comme solution de filtrage web pour leurs réseaux WiFi invité.
11% dépendent de leur contrôleur de gestion sans fil ou de leur logiciel de filtrage. Ainsi, seulement 41% des entreprises utilisent un dispositif ou un service de sécurité dédié spécialisé dans le filtrage web pour le WiFi. Ces chiffres semblent surprenants à notre époque où les entreprises migrent un si grand nombre de leurs services vers le cloud.
À cela s’ajoute le fait que seulement 38% des entreprises mondiales déclarent être prêtes à gérer une cyberattaque sophistiquée. On se demande pourquoi le filtrage web semble être sous-estimé !
Vous ne dépendez pas de votre pare-feu pour la sécurité de la messagerie électronique
Il y a dix ans, il était courant pour les entreprises de dépendre de leur pare-feu ou de leur UTM pour filtrer les spams.
Ces « boîtes à tout faire » offraient presque tous les types de services de sécurité disponibles. Aujourd’hui, ce n’est plus le cas, car les entreprises investissent maintenant dans des passerelles de sécurité dédiées ou acheminent leurs emails via une passerelle dans le cloud.
La raison en est simple : la sécurité des emails est beaucoup trop critique pour ne pas acquérir la meilleure solution de sécurité disponible. Le phishing est la principale méthode de distribution de ransomwares et d’autres types de malwares. Une seule attaque BEC (Business Email Compromise) peut également affecter des millions de personnes dans une entreprise, et ce dans un court laps de temps.
Comme les pirates informatiques développent constamment de nouvelles méthodes d’attaque pour cibler les systèmes de messagerie, il est important de s’associer avec un fournisseur de sécurité de messagerie disposant des ressources dédiées pour rester en avance sur ces méthodes d’attaque malveillantes.
La sécurité des emails est très importante pour les entreprises aujourd’hui et c’est pour cette raison que de nombreux clients d’Office 365 choisissent d’utiliser une solution de sécurité des emails d’un tiers, en plus de l’offre de sécurité par défaut d’Office 365.
Sécurisation de votre réseau WiFi invité
Plusieurs répondants à l’enquête ont déclaré qu’ils utilisaient des méthodes de filtrage identiques pour leur réseau local d’entreprise et leurs réseaux WiFi invité. La majorité, cependant, n’a pas donné de détails. Il est donc possible que certaines organisations n’accordent pas la même importance au réseau invité qu’à leur réseau local principal.
Le fait est que la sécurité doit être abordée de la même manière que le reste de votre réseau. Si aucun contrôle approprié n’est mis en place, une connexion WiFi peut devenir une porte dérobée dans le réseau de l’entreprise, affaiblissant ainsi les autres mesures de sécurité du réseau déjà en place. De plus, l’entreprise pourrait potentiellement être tenue responsable du contenu inapproprié ou malveillant consulté par les utilisateurs lors d’une connexion WiFi invité.
Le filtrage DNS basé dans le cloud prend tout son sens dans un monde hybride
Les logiciels de filtrage web traditionnels ne sont plus un moyen viable de bloquer les sites malveillants sur un réseau d’entreprise.
Internet est énorme avec des milliards de pages. Si vous utiliser un logiciel de filtrage web traditionnel, vous devez catégoriser les sites et vous ne pourrez les bloquer qu’une fois que l’utilisateur a effectué une recherche.
Il existe un meilleur moyen pour renforcer votre sécurité réseau : le filtrage DNS. Pourtant, de nombreux administrateurs pensent qu’il est compliqué et trop difficile à mettre en œuvre. Si vous n’utilisez pas le filtrage DNS, votre réseau risque davantage d’être exposé à des sites malveillants.
Depuis plusieurs années, les entreprises du monde entier connaissent un changement révolutionnaire. L’entreprise n’est plus seulement un centre de données. Le centre de données d’aujourd’hui évolue vers une écosphère de conglomérat de ressources dans le cloud et de services numériques sur site, publics, privés et hybrides.
Gartner qualifie cette transformation d’informatique hybride et, selon la firme, celle-ci transforme les architectures informatiques et le rôle de l’informatique lui-même. Selon une autre étude menée par la Harvard Review, 63% des organisations adoptent actuellement une approche informatique hybride.
L’ère de l’informatique hybride
L’informatique hybride n’est pas une « technologie unique », mais une approche ou une stratégie qui permet de trouver la meilleure solution pour le problème ou le besoin en question. Dans cette approche « IT as a Service », le gestionnaire de réseau devient un courtier informatique, recherchant les meilleures solutions possible, qu’elles résident sur site ou dans le cloud.
L’équipement traditionnel d’un centre de données nécessite un investissement à long terme en capital et en personnel. Les migrations coûteuses prennent des mois, voire plus, à planifier et à mettre en œuvre, ce qui peut rendre l’équipement désuet. Avec une solution de filtrage DNS dans le cloud, vous n’aurez plus besoin d’investissements importants pour la migration, les mises à niveau, les mises à jour et les correctifs de vos solutions de sécurité.
Problèmes liés au fait de dépendre de votre pare-feu pour sécuriser tous vos trafics web
L’un des problèmes que pose le fait de s’appuyer sur votre pare-feu pour sécuriser toutes les facettes de votre trafic Web entrant et sortant est qu’il fait tout. Le traitement de toutes ces tâches peut toutefois entraîner des niveaux de latence et de performance indésirables. Parce que votre pare-feu est une application en ligne, il constitue un goulot d’étranglement pour votre entreprise. Cela peut s’avérer coûteux, exiger beaucoup de main-d’œuvre et ne pas convenir à certaines situations.
Que se passe-t-il lorsque votre organisation s’agrandit ou que votre école adopte un programme individualisé pour ordinateurs portables ?
Cela peut se traduire par l’intégration de mécanismes d’équilibrage de charge et d’appareils redondants. Il se peut que vous deviez migrer vers un pare-feu plus robuste. Toutes ces options exigent des capitaux et des heures de travail précieux à déployer.
Agilité et flexibilité du filtrage DNS dans le cloud
Pour la même raison qui a amené les entreprises à reconnaître l’importance d’un fournisseur de sécurité de messagerie dédié, il est également très utile de faire appel à un spécialiste de la sécurité web.
Aujourd’hui, il y a plus d’un milliard de sites web sur Internet. Les cybercriminels lancent continuellement de nouveaux sites de phishing temporaires, des domaines de typosquattage et des sites de déploiement de malwares. Selon HelpNetSecurity, 46 000 nouveaux sites web de phishing sont créés chaque jour. Parmi tant d’autres, les attaques par « Drive-by Download » continuent d’évoluer et de se multiplier, tout comme la menace de ransomwares.
L’immense engagement de protéger votre entreprise par le filtrage web est trop important pour dépendre d’un fournisseur qui ne fait pas de cela son objectif principal. Tout comme la sécurité des emails, la sécurité du filtrage web est primordiale pour la protection de vos utilisateurs, vos appareils et vos données. Si vous vous méfiez de plus en plus des applications de pare-feu matérielles rigides, optez pour l’agilité et la flexibilité d’une solution de filtrage DNS dans le cloud.
Le filtrage DNS augmente la sécurité et la vitesse de votre connexion WiFi
Avec les anciennes techniques de filtrage web, l’utilisateur effectuait une recherche DNS et, avant de télécharger le site web, le système effectuait une recherche dans une base de données distincte de sites. Ce processus est lent en raison du nombre écrasant de sites et de domaines sur le web.
Le filtrage DNS effectue la requête de vérification pendant l’étape de recherche DNS. Autrement dit, une recherche DNS est effectuée avant le téléchargement du contenu du site. C’est beaucoup plus rapide et efficace que le filtrage web avec des fonctionnalités traditionnelles.
Le processus effectue également une recherche sur les adresses IP valides, considérées comme sûres par la base de données de filtrage DNS. Les attaquants ne peuvent ni masquer ni éviter la détection, car chaque recherche de navigateur nécessite une recherche DNS pour une entrée de domaine valide.
Vous devriez filtrer les sites non seulement pour bloquer les contenus malveillants, mais aussi pour augmenter la productivité de votre entreprise. En effet, les employés peuvent passer des heures sur les médias sociaux, ce qui fait baisser leurs niveaux de productivité. Heureusement, le filtrage DNS permet aux administrateurs informatiques de réaliser des configurations granulaires pour catégoriser les utilisateurs. Ils peuvent donner accès à des sites catégorisés spécifiques (comme les médias sociaux) pour ceux qui en ont besoin et bloquer l’accès des autres employés.
Les sites web utilisent souvent SSL, mais il est maintenant courant pour les attaquants de configurer des sites web avec de faux certificats SSL pour inciter les utilisateurs à leur faire confiance. À noter que le système de filtrage DNS inclut la protection contre les sites chiffrés avec de faux certificats SSL.
Si vous n’êtes pas encore passé au filtrage DNS, c’est peut-être parce que — selon un mythe courant — c’est trop difficile et cela ne vaut pas la peine. Pourtant, un seul changement de configuration vous permet de vous protéger sans avoir besoin de réaliser des travaux administratifs supplémentaires. Le filtrage DNS est beaucoup plus facile à utiliser que les logiciels de filtrage web traditionnels. Il est donc temps de passer à l’étape suivante et de rendre votre filtrage web plus sûr, plus efficace et plus rapide.
TitanHQ établit les normes de sécurité web dans le cloud, en offrant une gamme de services qui garantissent la sécurité de votre messagerie professionnelle, votre infrastructure informatique et la conformité et l’intégrité des données.
Avec l’apparition quasi quotidienne de nouvelles variantes de menaces, les entreprises ont réalisé qu’elles n’avaient ni les compétences informatiques ni le budget nécessaire pour investir en permanence du temps et de l’argent dans la lutte contre ces menaces.
Cependant, vous pouvez vous fier à des fournisseurs de services de sécurité dédiés dans le cloud — tels que WebTitan Cloud — pour le filtrage web. Ainsi, vous bénéficierez du savoir-faire d’un personnel expérimenté et d’une puissance de traitement considérable pour lutter contre les menaces émergentes. Cette solution peut être mise en œuvre de manière transparente et protéger votre réseau WiFi en temps réel.
Le WiFi reste une vulnérabilité majeure pour les organisations et les utilisateurs individuels dans notre monde mobile connecté numériquement. Le WiFi non sécurisé présente des faiblesses que les cybercriminels peuvent facilement exploiter, qu’il s’agisse d’un pirate informatique qui attaque le réseau d’une entreprise à partir du parking ou d’un criminel qui capture le trafic sans fil dans un café.
Malgré ces vulnérabilités, il semble étrange que le mécanisme principal du WiFi soit basé sur le protocole de sécurité WPA2, introduit pour la première fois en 2004. De nombreux routeurs certifiés WPA2 restent rétrocompatibles avec le protocole de sécurité WEP, introduit en 1999, qui est facile à pirater avec les outils actuels. Bien que des améliorations aient été apportées à la sécurité WiFi depuis sa création, il est déconcertant de constater qu’il existe tant de faiblesses évidentes que les pirates peuvent exploiter pour attaquer les périphériques connectés.
La bonne nouvelle est que WiFi Alliance, un consortium qui possède la marque WiFi, a lancé le protocole WPA3 plus tôt cette année. À certains égards, le WPA3 représente une amélioration considérable par rapport à son prédécesseur, car il renforce certains des passifs inhérents au protocole WPA2. Mais, comme tous les protocoles de sécurité, il ne traite pas toutes les vulnérabilités et c’est pourquoi les PME doivent continuer à utiliser une approche de sécurité multicouche. Nous avons énuméré les vulnérabilités du réseau WiFi dans son état actuel. Nous allons également expliquer la façon dont WPA3 les traite avec succès ou non.
Zoom sur le protocole WPA3
Plus la solution de sécurité que vous mettez en place pour protéger votre réseau est ancienne, moins elle est efficace. La raison est simple : les différents protocoles de sécurité ont été développés en fonction des menaces de l’époque. Ils peuvent donc devenir obsolètes au fil du temps, notamment lorsque de nouvelles formes de cyberattaques apparaissent. En fait, les pirates informatiques trouvent toujours diverses manières de les contourner et, en cas d’attaque réussie, les dommages que peut subir l’entreprise peuvent être considérables.
Le protocole WPA3 – ou WiFi Protected Access 3 – est une norme de sécurité qui vous permet de régir ce qui se passe lorsque vous vous connectez à un réseau WiFi fermé via un mot de passe. Il a été publié en 2018, après que des chercheurs en sécurité ont découvert une faille importante dans le protocole WPA2 (son prédécesseur). Suite à une attaque nommée KRACK, ou Key Reinstallation Attack, des pirates ont réussi à voler des données, telles que des identifiants de connexion, des informations sur les cartes de crédit, des chats privés, etc., lesquelles ont été transmises sur des réseaux sans fil.
Pour améliorer la cybersécurité des réseaux personnels, les développeurs du protocole WPA ont décidé d’y apporter de nouvelles capacités. Ils ont utilisé un système de chiffrement plus sécurisé des mots de passe ainsi qu’une protection renforcée contre les attaques par force brute. Ces deux mesures se combinent pour protéger davantage le WiFi domestique. Mais le protocole WPA3 possède d’autres caractéristiques encore plus intéressantes.
Autres caractéristiques du nouveau WPA3
Voici quelques-unes des fonctionnalités les plus frappantes que WPA3 apporte. Elles sont disponibles à la fois pour les réseaux WiFi personnels et professionnels ainsi que pour l’Internet des objets :
La protection contre les attaques par force brute : WPA3 fournit une protection renforcée contre ces menaces qui sont généralement menées lorsque vous êtes hors ligne. Le protocole vise à rendre la tâche beaucoup plus difficile pour un pirate informatique lorsqu’il tente de trouver ou déchiffrer votre mot de passe.
Le protocole Forward Secrecy : dans ce cas, WPA3 utilise la mesure de sécurité de la poignée de main (handshake) SAE (ou authentification simultanée d’égaux). Il s’agit d’une fonctionnalité de sécurité dédié à empêcher les cybercriminels de déchiffrer le trafic réseau lors de l’échange de clé et vise à résister aux attaques hors-ligne par dictionnaire.
Protection des réseaux publics ouverts : cette fonctionnalité est importante pour les utilisateurs qui se connectent au réseau WiFi dans les gares, les centres commerciaux, les restaurants, etc. Pour renforcer la sécurité, le protocole WPA3 utilise le chiffrement individualisé des données ; une fonction qui chiffre le trafic sans fil entre votre appareil et le point d’accès WiFi.
Chiffrement avancé des réseaux sensibles : en utilisant WPA3 Enterprise, les réseaux sans fil qui contrôlent les données confidentielles peuvent protéger les connexions par le biais d’un chiffrement 192 bits.
Vulnérabilité n° 1 — WiFi ouvert non chiffré
De nombreux commerces de détail comme les cafés, les restaurants et les halls d’entrée des hôtels continuent d’utiliser le WiFi ouvert 802.11. Malgré la faiblesse évidente de permettre aux utilisateurs d’envoyer du trafic en texte brut vers le point d’accès local, les petites entreprises continuent cette pratique à cause d’un simple fait : la facilité.
Un point d’accès WiFi (SSID) ouvert n’exige pas que les utilisateurs saisissent une clé pré-partagée lorsqu’ils essaient de se connecter, ce qui signifie que les propriétaires de magasins n’ont pas à se soucier des tracas liés à la distribution de la clé à leurs clients.
Avec WPA3, il n’y a plus de réseaux ouverts.
WPA3 introduit le chiffrement sans fil opportuniste (OWE), qui est peut-être la meilleure fonctionnalité de cette nouvelle norme. OWE permet aux réseaux qui n’offrent pas de mots de passe et de clés de fournir un chiffrement qui ne nécessite aucune configuration ou interférence de la part des utilisateurs.
Il peut faire cela par le biais d’un processus appelé « Individualized Data Protection (IDP) », ou littéralement Protection individualisée des données. Avec l’IDP, chaque appareil reçoit sa propre clé du point d’accès réseau (PA) même s’il ne s’est jamais connecté. Ainsi, les pirates ne peuvent pas renifler la clé et le trafic. IDP est également utile pour les réseaux protégés par mot de passe, car même si on connaît le mot de passe, cela ne donne pas accès à la communication chiffrée des autres périphériques.
Vulnérabilité n° 2 — Complexité et fissuration des mots de passe
Bien que le WPA2 soit beaucoup plus sûr que le WEP, il reste vulnérable à la fissuration des mots de passe. C’est ce qu’a démontré l’attaque WPA2 KRACK qui a été découverte l’année dernière et qui a nécessité des mises à jour de l’appareil pour l’éliminer.
WPA2 n’est sécurisé que si un utilisateur est capable de créer un mot de passe sécurisé, car la négociation à 4 voies utilisée par WPA2 est susceptible d’être attaquée hors-ligne à partir de dictionnaires de mots de passe courts. Comme tout le monde n’est pas formé à l’art pour créer un mot de passe sécurisé, la protection offerte par WPA2 n’est pas aussi bonne que la capacité de l’utilisateur à créer un mot de passe infaillible.
Le WPA3 offre une protection robuste des mots de passe courts et longs grâce à l’authentification simultanée d’égal à égal (SAE) qui remplace le protocole d’échange PSK (Pre-Shared Key) utilisé par WPAS2. SAE, également connue sous le nom de Dragonfly Key Exchange, est plus sûre dans la gestion de l’échange de clés initial et résiste aux attaques de déchiffrement hors ligne.
Autres vulnérabilités
Bien qu’OWE et SAE soient les deux améliorations les plus spectaculaires de la nouvelle norme sans fil, d’autres garanties ont également été ajoutées.
La fonction WiFi Protected Setup (WPS) qui permettait de relier facilement de nouveaux appareils — comme un prolongateur WiFi — à un réseau sans fil avait ses limites de sécurité. Ces problèmes ont été résolus grâce au nouveau protocole DPP (WiFi Device Provisioning Protocol) amélioré.
De plus, la nature de WPA2-Enterprise — qui permettait une multitude de paramètres de connexion tels que TLS, SHA, EAP, etc. — a créé des failles de sécurité. Avec le WPA3, les circonstances dans lesquelles les clients négocient la sécurité d’une connexion EAP-TLS ont été éliminées.
Ce que le WPA3 ne traite pas pour la sécurité WiFi
Bien qu’OWE fournisse un chiffrement pour les SSID qui n’incluent pas de phrase de chiffrement, il n’a pas d’élément d’authentification. Cela rend le WPA3 tout aussi acceptable que son prédécesseur pour les attaques Man-in-the-Middle et Evil Twin. En d’autres termes, tant qu’un utilisateur connecte un périphérique au point d’accès approprié, son flux de données est entièrement protégé.
WPA3 assure uniquement la protection entre le périphérique client et le PA. Cela signifie que votre appareil WPA3 reste encore sensible aux codes malveillants provenant de sites de déploiement de malwares connus et de sites web du genre drive-by. Bien que le WPA3 ait apporté quelques améliorations internes précises, votre WiFi a donc besoin d’être toujours protégé par une solution de filtrage web DNS sécurisé.
Des contrôles visant à empêcher les acteurs malveillants d’entreprendre plusieurs tentatives de connexion via des mots de passe couramment utilisés sont attendus, ainsi qu’une configuration plus simplifiée pour les dispositifs de l’internet des objets (IoT) qui n’ont pas d’affichage. Par ailleurs, le nouveau protocole WPA3 utilisera la sécurité 192 bits ou l’algorithme commercial de sécurité nationale pour améliorer la sécurité des réseaux gouvernementaux, de défense et industriels.
Joe Hoffman, Directeur de la recherche sur les technologies de connectivité sans fil chez SAR Insight & Consulting, a déclaré :
« Les technologies pour sécuriser les réseaux sans fil peuvent durer des décennies. Il est donc important qu’elles soient continuellement mises à jour pour répondre aux besoins de l’industrie du WiFi. Le WiFi évolue pour maintenir son haut niveau de sécurité au fur et à mesure que les demandes de l’industrie augmentent. »
Limites de l’utilisation du protocole WPA3
L’une des principales limites du WPA3 réside dans le fait que peu de clients le prennent en charge actuellement. Ce fait n’est pas anodin, car ce nouveau protocole n’a pris effet qu’en 2019. Pour Windows 10, il n’est pris en charge qu’à partir de la version 1903. Les appareils macOS, quant à eux, ne sont compatibles avec le WPA3 qu’à partir de la version 10.15. En ce qui concerne les appareils IoT, comme ceux utilisant les systèmes iOS et iPadOS, ce protocole n’a été introduit qu’à partir de la version 13. Enfin, pour les appareils Android, le WPA3 n’est compatible qu’à partir de la version Android 10. A noter toutefois que la prise en charge peut varier en fonction du Smartphone ou de la tablette que vous utilisez.
Autre élément important : pour utiliser ce protocole, certains périphériques WiFi peuvent requérir la reconfiguration de la connexion WiFi. Les périphériques WiFi plus anciens ne supportent pas les cadres de gestion protégés, ce qui les empêche de se connecter à votre réseau sans fil. Dans ce cas, vous devrez procéder à une mise à jour du micrologiciel.
Un rapport publié par deux chercheurs de l’Université de Tel Aviv et l’Université de New York a également mis en évidence certains des problèmes qui sont associés à l’utilisation du protocole WPA3. En réalité, WPA3 semble présenter des défauts, notamment au niveau du mécanisme d’authentification SAE. Ils ont présenté une description autonome et complète de WPA3 et ont estimé que les mécanismes anti-congestion du SAE n’empêchent pas les attaques par déni de service. Pour découvrir ces failles, les deux chercheurs ont réalisé un grand nombre d’attaques sur les différents mécanismes composant le WPA3 (attaque par dictionnaire contre le protocole, attaque secondaire de microarchitecture contre SAE, etc.). A la fin des tests, ils ont conclu que le WPA3 n’a pas la sécurité requise pour qu’il puisse être considéré comme une norme de sécurité moderne et que cette norme doit encore être développée davantage avant d’être largement adoptée.
Ces quelques précisions montrent encore une fois que le passage d’un protocole de sécurité à l’autre ne va jamais sans poser certaines difficultés. Mais quelle que soit la décision que vous choisissez, vous pouvez toujours adopter d’autres mesures pour mieux sécuriser votre réseau, comme l’utilisation d’un système de filtrage DNS.
Un filtre DNS basé dans le cloud peut vous fournir la protection dont vos clients et utilisateurs ont besoin
Une fois que les utilisateurs se connectent à votre infrastructure WiFi, un système de filtrage DNS comme WebTitan Cloud for WiFi vous permet de :
Filtrer les contenus web à travers plusieurs points d’accès WiFi,
Créer un environnement de navigation plus sûr pour les familles,
Gérer les points d’accès via une interface unique basé sur le web,
Déléguer la gestion de vos points d’accès WiFi,
Utiliser des filtres de contenu par site web, par catégorie de sites web, par mot-clé, par plage horaire, etc.
Bloquer les URL et contenus offensants et inappropriés pour les employés, les mineurs, etc.
Utiliser de listes noires et des listes blanches pour protéger votre réseau de nombreuses menaces en ligne comme les attaques de phishing,
Bloquer les téléchargements de malwares et de ransomwares,
Inspecter les sites web chiffrés par le biais des certificats SSL,
Programmer et obtenir des rapports à la demande,
Avoir une vue en temps réel des activités web des utilisateurs finaux de votre réseau,
Limiter l’utilisation de la bande passante en cas de besoin,
Intégrer le filtre web dans vos systèmes existants grâce à une suite d’interfaces de programmation d’application.
Pour plus d’informations sur la sécurité de votre réseau sans fil, y compris les prix de WebTitan for WiFi, et pour réserver une démonstration du produit, contactez l’équipe TitanHQ dès aujourd’hui.
Conclusion
Dans notre monde moderne, il est presque impossible de fonctionner sans accès à l’Internet sans fil. Partout, les gens comptent sur la connexion sans fil pour réaliser d’innombrables activités, du divertissement au travail, en passant par la formation, etc. Toutefois, l’omniprésence d’internet peut représenter un danger sous-jacent, notamment à cause des cybercriminels qui ne cessent d’exploiter les failles de sécurité dans votre réseau pour accéder à vos données et informations sensibles.
En passant à la nouvelle norme WPA3, la sécurité de votre réseau sans fil sera améliorée. Mais il est aussi recommandé d’ajouter une solution tierce pour mieux protéger vos données. Vous pouvez faire cela en choisissant WebTitan Cloud for WiFi. Grâce à cette solution basée dans le cloud, vos employés, invités, etc., seront protégés une fois qu’ils seront connectés à votre réseau.
Si vous voulez protéger et prendre le contrôle de votre réseau, ou si vous êtes un fournisseur de services gérés (MSP) qui cherchez une solution multilocataires pour fournir un service de filtrage web à vos clients, optez pour WebTitan Cloud for WiFi. C’est un moyen rapide, facile à utiliser et peu coûteux qui garantit une excellente protection en ligne pour votre entreprise.
Contactez TitanHQ dès aujourd’hui pour plus d’informations sur nos solutions et nos prix ou pour bénéficier d’une démonstration en direct. Si vous le souhaitez, vous pouvez-même vous inscrire à un essai gratuit pour évaluer l’efficacité de nos produits dans votre propre environnement.
FAQs
En quelques mots, quels sont les avantages du protocole WPA3 ?
WPA3 est la prochaine génération de la sécurité du Wifi. Il s’appuie sur le succès et l’adoption généralisée de WPA2, en ajoutant de nouvelles fonctionnalités afin de simplifier la sécurité Wifi, de permettre une authentification plus robuste et de maintenir la résilience des réseaux critiques.
Un filtre DNS est-il facile à configurer ?
Oui, il est très simple à configurer. Il suffit de transmettre votre DNS à votre fournisseur de services gérés. Cela peut se faire via votre pare-feu, votre routeur ou votre contrôleur de domaine en tant que zone de redirection. Une fois que votre DNS configuré pour envoyer des requêtes à votre prestataire, vous pouvez gérer entièrement votre solution dans un tableau de bord et consulter des rapports en temps quasi réel.
Est-ce qu’un filtre DNS ne ralentit pas ma connexion ?
Lorsque vous choisissez votre fournisseur de services gérés, assurez-vous simplement qu’il possède des serveurs répartis dans plusieurs endroits, de manière à ce que vous puissiez atteindre le serveur le plus proche de vous. Cela vous permet d’avoir un temps de réponse très rapide lors d’une requête.
Puis-je avoir plusieurs politiques sur le même réseau ?
Vous pouvez le faire en mettant en place des sous-réseaux séparés sur votre réseau. Faites en sorte que le DHCP distribue des adresses DNS différentes à chaque sous-réseau (également appelés IP NAT). Sinon, vous pouvez utiliser un logiciel pour spécifier différentes politiques.
Mes données sont-elles en sécurité sur le réseau de mon fournisseur de services gérés ?
La nature du service de votre fournisseur de services gérés est de faire correspondre les noms Internet à des adresses IP. Lorsque ces noms constituent une menace pour la sécurité ou sont bloqués par votre politique d’utilisation de l’Internet, votre filtre n’autorise pas la connexion. En fait, les informations que vous transférez ne passent jamais par les serveurs de votre prestataire. Il ne fait que les traduire.
Que vous exploitiez un hôtel, un café ou un magasin, les clients s’attendent à avoir accès à Internet dans vos locaux, mais assurez-vous de sécuriser votre réseau WiFi invité.
Fournir un accès internet à vos visiteurs professionnels et vos clients présente de nombreux avantages. Pourtant, si vous ne sécurisez pas votre réseau WiFi invité, ces derniers, tout comme vous, vous exposer à un risque considérable.
Pourquoi l’accès à Internet est-il si important ?
En 2013, une étude a révélé que 80 % des clients des magasins estimaient que la fourniture d’un accès WiFi gratuit influencerait leurs décisions d’achat. Si les détaillants fournissent un accès WiFi invité, ils sont susceptibles d’attirer plus de clients potentiels dans leurs magasins et de générer plus de vente.
Les entreprises de nos jours doivent s’adapter à l’augmentation des solutions d’achats en ligne. Les clients préfèrent mener des recherches sur le web avant de faire un achat ou de s’inscrire à votre service, par exemple en lisant les avis et commentaires des internautes.
Si votre établissement n’offre pas d’accès à Internet, vos clients seront plus susceptibles de ne passer à l’acte d’achat qu’ultérieurement. Il y a donc de fortes chances que la vente se fasse en dehors de votre magasin.
La meilleure solution est de les garder dans votre magasin et leur permettre d’accéder à Internet, ce qui augmentera vos chances de réaliser une vente.
Bien entendu, si vous n’êtes pas en mesure de concurrencer les gros détaillants en ligne, tels qu’Amazon, vous pouvez toujours fournir gratuitement le WiFi et bloquer l’accès à leurs sites web.
Voici quatre avantages concrets de la fourniture du service WiFi pour votre entreprise :
La disponibilité du WiFi augmente la satisfaction de vos clients
Quel que soit votre secteur d’activité, sachez que les clients considèrent l’accès au WiFi dans votre entreprise comme indispensable. Si auparavant, le principe consistait tout simplement à répondre aux attentes des clients, de nos jours, il est question de fournir un avantage non-négligeable pour votre enseigne.
Dans l’industrie hôtelière en particulier, l’inexistence d’un accès WiFi dans votre établissement peut emmener vos clients à se tourner vers d’autres concurrents qui offrent un tel service.
Pour les acteurs dans d’autres secteurs qui nécessitent l’attente des clients, comme dans les entreprises qui travaillent sur rendez-vous (cabinets médicaux, salons de beauté, cabinets juridiques, etc.), la disponibilité du WiFi permet de réduire l’aspect négatif des temps d’attente, tout en améliorant le confort de vos clients en cas de retard imprévu.
De même, les clients pourront faire des recherches sur vos produits en magasin et être plus confiants dans leurs décisions d’achat.
Mais le plus important, c’est que le WiFi vous permet de créer de nouvelles opportunités marketing.
En effet, vous pouvez créer un portail en ligne où vous pouvez offrir des coupons, des actualités à propos de vos services, des recommandations personnalisées ou encore des récompenses de fidélité à vos clients.
Bien entendu, lorsque vos clients attendent dans votre hall, la disponibilité du WiFi leur permet de publier des photos ou faire des témoignages sur leur expérience dans votre établissement.
Autrement dit, ils peuvent faire une promotion gratuite pour votre entreprise sur leurs médias sociaux préférés.
Promouvoir la productivité grâce au WiFi
Une bonne connexion sans fil, c’est au profit de vos employés, lesquels pourront augmenter leur productivité.
Les applications dans le cloud permettent à vos collaborateurs de travailler de n’importe où, avec des partenaires du monde entier. Le cloud leur permet de sauvegarder les données sensibles sur vos clients et celles de votre entreprise, en toute sécurité, de sorte que vos collaborateurs et invités peuvent y accéder à tout moment, quoi qu’il arrive.
Cela dit, la disponibilité du WiFi permet donc de consolider et de rationaliser le flux de travail de vos employés, sans avoir besoin d’installer un logiciel ou un équipement supplémentaire.
Une autre option consiste à utiliser le WiFi pour l’optimisation de votre système téléphonique. Désormais, la voix sur IP (VoIP) est devenue la norme pour les entreprises, ainsi que d’autres technologies de communication basées sur le web.
L’existence d’une connexion WiFi vous permet, en effet, d’acheminer et de réacheminer sans effort tous les appels entrants et sortants, même si un membre-clé de votre équipe est en déplacement. Vos collaborateurs pourront donc s’adapter facilement à la croissance de votre établissement dans la mesure où ils sont joignables à tout moment, pour un coût réduit.
Cette option est toute aussi importante, car elle permet de résoudre les problèmes ou de prendre des décisions le plus rapidement possible.
Un moyen d’augmenter la satisfaction de vos employés
L’un des meilleurs moyens de maintenir la motivation et l’engagement de vos employés est de fournir les meilleurs outils pour qu’ils puissent mener à bien leurs tâches quotidiennes.
Si vous voulez que vos collaborateurs aient l’impression que vous vous occupez d’eux – et si vous avez déjà essayé de regarder comment ils travaillent lorsque le temps de chargement d’une page web est trop long –, vous aurez donc pu constater la différence entre la disponibilité d’une bonne ou d’une mauvaise connexion WiFi.
Si vos employés peinent à ouvrir les pages sur lesquelles ils doivent travailler, cela peut affecter leur productivité et leur humeur. En déployant une connexion WiFi rapide et fiable, vous les aidez à mieux faire leur travail avec moins de frustration.
Mieux encore, un réseau sans fil permet à vos collaborateurs de se déplacer d’un bureau à l’autre pour trouver le meilleur espace pour se concentrer. Grâce à cela, ils peuvent travailler dans un endroit plus calme, au bout du couloir, dans leur bureau personnel, etc.
Lorsque vos employés arrivent à trouver l’environnement qui leur convient à un moment donné, vous augmenterez leur productivité et leur satisfaction.
Optimisez vos bénéfices grâce au WiFi invité
Tous les avantages commerciaux susmentionnés vont de pair avec le WiFi.
Mais ce qui rend ce service très intéressant, c’est que vous n’avez pas besoin d’équipements coûteux ou de passer des heures à installer un logiciel qui sera difficile à utiliser pour fournir un réseau Internet fiable dans vos locaux.
En effet, le WiFi professionnel offre un retour sur investissement important, à condition que vous choisissiez un bon fournisseur de connexion sans fil. Oui, contrairement à ce que l’on peut souvent imaginer, toutes les offres d’accès à Internet sans fil ne se ressemblent pas.
La plupart des fournisseurs proposent un très haut débit de connexion.
Mais ce n’est pas forcément le critère de choix le plus important à prendre en considération. C’est nécessaire pour échanger régulièrement des fichiers lourds ou lorsque plusieurs ordinateurs doivent se partager une même connexion. Mais un bon fournisseur d’accès WiFi doit également être en mesure de renforcer la sécurité de votre réseau sans fil.
Pourquoi le fait de sécuriser le WiFi invité est-il si important pour les entreprises ?
Il y a des avantages considérables à offrir un accès Internet gratuit à vos clients. C’est un service qu’ils souhaitent bénéficier, mais que vous pouvez aussi utiliser pour communiquer avec eux.
En outre, l’internet sans fil est une occasion pour vous de recueillir des informations précieuses sur vos clients (coordonnées, intérêts, etc.) dans le but de mener une future campagne marketing ciblée.
Vous devez toutefois noter que le Règlement général sur la protection des données (RGPD) exige l’obtention d’un consentement de vos clients avant toute collecte et utilisation de leurs données personnelles.
L’enjeu est que, lorsque vous donnez à vos clients et invités l’accès à Internet, cela expose votre entreprise à certains risques en matière de cybercriminalité. Si ces risques ne sont pas atténués, les dommages qui en découlent peuvent vous coûter très cher.
Vous avez peut-être formé vos employés pour qu’ils soient plus vigilants quant à la sécurité informatique et mis en place des politiques couvrant l’utilisation autorisée d’Internet.
Mais vos invités, vos clients et bien d’autres visiteurs sont susceptibles d’avoir des opinions différentes sur le contenu accessible via votre réseau WiFi. Ils pourraient profiter de l’absence de restrictions pour accéder à des contenus inappropriés comme la pornographie.
Ils peuvent aussi se livrer à des activités douteuses sur le plan moral ou éthique via votre réseau, voire procéder à des activités illégales comme les téléchargements qui violent le droit d’auteur.
Pire encore, vous devez réaliser que votre réseau WiFi ne s’arrête pas aux murs de votre bureau. Il peut s’étendre sur plus de 300 mètres dans les airs. Si vous n’arrivez pas à sécuriser correctement votre point d’accès, des personnes aux intentions malveillantes ou non peuvent y accéder.
Ceci peut réduire considérablement le débit de votre connexion.
En outre, des pirates peuvent installer délibérément ou accidentellement des malwares, des ransomwares ou mener des attaques de phishing.
En sécurisant votre connexion WiFi invité, vous allez vous protéger, mais vous protégez aussi vos clients et autres utilisateurs lorsqu’ils se connectent à votre réseau.
Vous pourrez par exemple bloquer les attaques du genre « man-in-the-middle », les téléchargements de malwares et les attaques de phishing. Vous serez aussi en mesure de réduire la responsabilité légale si vous contrôlez soigneusement les sites web qui peuvent être consultés par les utilisateurs.
Un exemple d’une attaque du type Man-In-The-Middle
Une attaque du type « Man-In-The-Middle » nécessite trois intervenants.
D’un côté, il y a la victime. De l’autre côté, il y a l’entité ou la personne avec laquelle la victime essaie de communiquer. Enfin, il y a l’« homme du milieu ».
Le « Man-In-The-Middle – MiTM » tente d’intercepter les communications entre la victime et la personne avec laquelle elle souhaite s’adresser. L’élément critique du scénario est que les deux premiers acteurs ne sont pas conscients de l’existence du MiTM qui est généralement un pirate informatique.
Le pirate peut établir des connexions WiFi avec des noms SSID à consonance très légitime, comme celui de l’entreprise avec laquelle elle veut communiquer.
Une fois qu’un utilisateur se connecte au WiFi du pirate, l’attaquant pourra surveiller ses activités en ligne et intercepter ses informations de connexion. Il peut également voler des informations relatives à des cartes de paiement, etc.
Bien que le nombre d’attaques du type MiTM ait diminué ces dernières années, celles-ci se produisent toujours.
Prenons l’exemple d’une attaque contre le groupe russe APT 29 – également connu sous le nom de Fancy Bear – à travers laquelle les pirates ont piraté l’OIAC (Organisation pour l’interdiction des armes chimiques en Hollande) en 2018.
La police néerlandaise avait trouvé quatre agents russes dans une voiture garée à l’extérieur de l’organisation. Ces derniers tentaient de pirater le réseau sans fil de l’OIAC et de mettre en place un point d’accès MiTM pour voler les références des employés.
En avril 2018, les centres de cybersécurité britanniques et américains ont également émis des avertissements selon lesquels « Des cybercriminels Russes, parrainés par un État-nation ciblaient activement les routeurs des entreprises et des foyers ».
Les cybercriminels russes voulaient mener des attaques du type MiTM dans le cadre d’un espionnage. Ils tentaient d’extraire la propriété intellectuelle des organisations et de permettre l’accès à des réseaux d’entreprises.
Aujourd’hui, les attaques du type MiTM sont le plus souvent couronnées de succès lorsque les utilisateurs se connectent à un routeur WiFi compromis.
Ces routeurs représentent un point faible en termes de sécurité, car ils ne sont pas souvent mis à jour ou parce qu’ils ont des protocoles non chiffrés hérités ou des paramètres par défaut faibles.
Méfiez-vous également des attaques de phishing lancées via le WiFi
Dans les hôtels et autres espaces publics, un autre type d’attaque pourrait être utilisé par les pirates : il s’agit de l’attaque « evil twin phishing ».
Dans le cadre de cette arnaque, les utilisateurs sont incités à saisir à nouveau leur mot de passe WiFi sur un réseau crée par un pirate, en usurpant le nom du réseau légitime.
Les utilisateurs innocents peuvent être amenés à taper leurs identifiants et leurs mots de passe sur le site compromis, plutôt qu’avec celui du fournisseur légitime du réseau WiFi.
En octobre dernier, la chaîne hôtelière Marriott International a dû payer 530 000 euros pour régler une plainte déposée auprès de la Commission fédérale des communications, selon laquelle elle utilisait la technologie de blocage du WiFi dans l’un de ses établissements pour obliger les clients à payer pour accéder au réseau WiFi de l’hôtel.
Marriott International a ensuite déposé une pétition, demandant à l’agence de déclarer que les opérateurs WiFi ont le droit de gérer leurs réseaux en utilisant des équipements approuvés par la Commission fédérale des communications.
Dans une récente déclaration sur son site, la chaîne hôtelière a déclaré que cette affaire découle de la nécessité de bloquer les points d’accès WiFi malveillants via lesquels les pirates pourraient mener des attaques depuis les salles de réunion et de conférence de l’hôtel et que cette réglementation ne s’appliquait pas à l’accès WiFi dans les espaces du hall et dans les chambres d’hôtel.
Qu’il s’agisse d’une bonne décision ou non, la question n’est pas là.
En réalité, il suffit de regarder les statistiques pour avoir une idée de l’importance de la menace du phishing. Selon un rapport publié en 2018 par la société de sécurité FireEye, le nombre d’arnaques de phishing a augmenté de 65 % au cours de l’année 2017.
En se basant sur les attaques les plus récentes, le montant des sommes volées par les pirates via le phishing varie de 270 000 à 9,8 millions d’euros. Selon IBM, si les pirates parviennent à exploiter une « méga brèche », le montant des dommages pourrait aller de 315 millions jusqu’à plusieurs milliards d’euros.
Cela ne veut pas pour autant dire que vous ne devez jamais offrir une connexion WiFi au grand public, mais il vaut la peine d’être prudent et de suivre quelques précautions de base.
L’attaque karma
Chaque fois que le WiFi d’un appareil utilisateur est allumé, mais non connecté à un réseau, il diffuse ouvertement les SSID des réseaux qui y ont été précédemment associés afin de tenter de se connecter à l’un d’entre eux. Ces petits paquets peuvent être consultés par toute personne se trouvant dans la zone concernée.
Les informations recueillies à partir des demandes d’exploration peuvent être combinées avec des bases de données de réseaux sans fil géolocalisées comme Wigle.net afin de cartographier l’emplacement physique de ces réseaux.
Si l’une des demandes contient un SSID de réseau WiFi ouvert, la génération du même point d’accès pour lequel l’appareil de l’utilisateur envoie des requêtes entraînera la connexion automatique de l’ordinateur portable, du téléphone ou d’un autre appareil de l’utilisateur au faux point d’accès de l’agresseur. Il est très facile de forcer un appareil connecté à envoyer des demandes de requête grâce cette technique pour que le pirate puisse ensuite accéder à votre réseau.
15 choses à considérer au sujet de la sécurisation du WiFi invité pour les clients d’affaires
Si vous voulez ouvrir votre réseau aux invités, la sécurisation du WiFi invité est un must.
Avant de le faire, assurez-vous de tenir compte des points ci-dessous !
Segmentez votre réseau
La segmentation de votre réseau est importante pour deux raisons. La sécurisation du WiFi invité consiste à empêcher vos employés et les utilisateurs d’accéder à une partie de votre réseau. Autrement dit, votre réseau interne doit donc être totalement séparé du réseau utilisé par les invités.
Autre élément important : les invités ne devraient pas aussi voir les actifs de votre réseau ainsi que vos fichiers et ressources confidentiels. Utilisez un pare-feu réseau ou créez un VLAN séparé dédié aux invités.
Installez un pare-feu logiciel pour protéger vos serveurs et les postes de travail liés au trafic du réseau invité. Cette opération limitera considérablement les dommages en cas d’infection par un malware ou par un logiciel de phishing.
Assurez-vous que votre routeur est physiquement sécurisé
Il est important de s’assurer que seul le personnel autorisé peut accéder à votre routeur Wifi. Un pirate informatique qui parvient à y accéder, il peut facilement appuyer sur le bouton de réinitialisation de votre routeur et accéder à celui-ci et à d’autres parties de votre réseau. Verrouillez-le dans un bureau ou un placard sécurisé et assurez-vous que seul le personnel autorisé a la clé.
Changez toujours les mots de passe et les SSID par défaut
C’est l’une des pratiques de sécurité les plus élémentaires, mais à cause de cela, il est facile de l’oublier. L’Internet est jonché de rapports faisant état d’atteintes à la protection des données qui se sont produites à cause de l’omission de modifier les mots de passe par défaut. Tous les périphériques réseau doivent avoir des mots de passe forts et uniques.
Il est également important de changer votre SSID (Service Set Identifier), c’est-à-dire le nom de votre réseau sans fil. Le SSID doit refléter le nom de votre entreprise et il doit être très clair pour vos clients pour qu’ils puissent identifier votre réseau. Si vous ne le faites pas, les pirates peuvent facilement établir des points d’accès malveillants pour mener des attaques « man-in-the-middle » à grande l’échelle.
Vous pouvez ensuite afficher le SSID et le mot de passe en interne pour faciliter l’accès des utilisateurs légitimes à votre réseau. Assurez-vous toutefois de changer régulièrement votre mot de passe.
Mettez à jour vos logiciels et microprogrammes
Les pirates informatiques adorent quand vous ne voyez pas s’il existe des mises à jour logicielles pour votre routeur WiFi. Ces correctifs sont généralement un correctif de sécurité et ne pas mettre à jour votre micrologiciel est comme une invitation spéciale pour les pirates.
Une récente publication du FBI a parlé d’une vulnérabilité dans les routeurs et si vous aviez changé votre mot de passe et gardé votre microprogramme à jour, vous n’auriez probablement pas été touché.
Utilisez WPA2 au lieu de WEP
Ce genre de chose ressemble plus à du charabia si vous n’êtes pas un geek de la sécurité informatique. En termes simples, c’est le moyen de s’assurer que les données que vous transmettez et recevez sont chiffrées. Le WEP (ou « Wired Equivalent Privacy ») est plus ancien et beaucoup plus facile à pirater. Le WPA (ou « WiFi Protected Access ») est un bien meilleur protocole de chiffrement. Si votre routeur n’en dispose pas, nous vous suggérons d’investir dans un routeur plus récent et plus sûr.
Utilisez un pare-feu de qualité professionnelle
Un pare-feu est un élément de sécurité indispensable pour toute entreprise qui opère dans notre monde moderne. Vous devriez avoir un pare-feu capable de s’assurer que votre propre logiciel n’envoie pas de données sur Internet sans votre autorisation ou de détecter des problèmes, ou même des sites web malveillants.
Il existe des pare-feu intelligents qui permettent spécifiquement d’offrir aux petites et moyennes entreprises une sécurité de niveau entreprise sans coûter une fortune.
Configurer un accès privé et public séparé
Votre WiFi doit avoir un accès séparé pour vos employés et pour le public, afin de ne pas donner à un pirate informatique un accès involontaire aux ordinateurs et réseaux internes de votre entreprise. Vous devrez créer deux identifiants de service (SSID) différents avec deux points d’accès distincts à votre réseau. L’un doit être un point d’accès sécurisé de niveau professionnel pour vos employés, et un point d’accès public pour vos clients.
Connaître tous vos points d’accès
Parfois, quelqu’un installe un point d’accès inconnu à votre réseau. Ces points sont souvent créés par un employé qui pourrait avoir une mauvaise connexion réseau dans son bureau. Ces points d’accès ne sont généralement pas configurés pour la sécurité et ouvrent certaines vulnérabilités. Vous devriez occasionnellement effectuer un balayage des points d’accès si vous avez un grand bureau ou un réseau important.
Éteindre les WPS
À moins que vous n’en ayez besoin pour quelque chose de spécifique, vous devez désactiver le WiFi Protected Setup, ou WPS. Il est conçu pour faciliter le couplage d’un appareil avec votre réseau chiffré, en appuyant sur un bouton. Le problème est qu’il peut ouvrir la porte à quelqu’un ayant de mauvaises intentions.
Remplacez votre routeur tous les deux ans
Même si votre routeur semble toujours fonctionner correctement, l’appareil est arrivé en fin de vie lorsque les fabricants cessent de le prendre en charge avec des mises à jour de micrologiciels, le rendant ainsi vulnérable aux futures cyber-menaces. Vous pouvez vous attendre à ce que cela se produise tous les trois à cinq ans. À ce moment-là, il est crucial de passer à un nouveau matériel. La meilleure façon de le vérifier est de consulter le site web du fabricant de votre routeur et de lire des notes sur les versions de son microprogramme. S’il n’y a pas eu de mise à jour du microprogramme au cours de l’année écoulée, le routeur a probablement été abandonné.
Mise en garde du DHCP
L’internet des objets (IoT) signifie que de plus en plus d’appareils recherchent une connexion sans fil pour fonctionner. Le DHCP (ou « Dynamic Host Configuration Protocol ») est l’adresse internet attribuée à ces appareils. Bien que le DHCP soit peu pratique, le plus sûr est de l’éteindre et d’attribuer manuellement une adresse internet à chaque appareil utilisé dans votre entreprise.
Utilisez un VPN pour maintenir votre trafic local crypté
L’un des défauts fondamentaux de la WPA2 qui est corrigé dans la WPA3 est le concept de secret avancé. Cela signifie que dans la nouvelle norme WPA3, le trafic WiFi enregistré ne peut pas être espionné même si le pirate informatique prend connaissance du mot de passe WiFi plus tard. Avec la norme WPA2 actuelle, ce n’est pas le cas. Le trafic sur un réseau local peut être espionné à la fois par d’autres utilisateurs et par un attaquant qui enregistre le trafic et le déchiffre après avoir appris le mot de passe.
Alors que le HTTPS a rendu l’internet beaucoup plus sûr et plus privé pour les utilisateurs de WiFi sur des connexions non fiables, les VPN prennent le relais pour décourager l’espionnage du trafic. En chiffrant les requêtes DNS et d’autres informations qui peuvent ouvrir la porte à une attaque de phishing, les VPN rendent plus difficile pour un cybercriminel de voir ce que leurs victimes font en ligne, ou de les rediriger vers un site web malveillant.
Afin de chiffrer votre trafic local, la plupart des VPN populaires offrent une couche de protection qui vous permet d’éviter d’être une proie facile. Le VPN rendra votre trafic local indéchiffrable par un pirate et assurera le secret des transmissions en rendant les enregistrements de votre trafic WiFi inutiles, même si l’attaquant parvient à collecter votre mot de passe WiFi.
Gardez votre firmware à jour
La raison pour laquelle vous devez faire des mises à jour de votre firmware est qu’il peut corriger les vulnérabilités pouvant facilement être exploitées par les cybercriminels pour accéder à vos appareils et à votre réseau. Si ces vulnérabilités sont exploitées, les configurations peuvent être modifiées et utilisées à diverses fins.
Adoptez des politiques qui exigent l’installation rapide et les vérifications mensuelles des mises à jour du firmware. Ceci vous permet de vous assurer que tous les dispositifs soient sécurisés et qu’aucune mise à jour du firmware n’a été omise.
Chiffrez vos signaux sans fil
Vous pouvez rendre l’accès à votre réseau WiFi invité aussi facile que possible pour vos clients et visiteurs, mais ne le rendez pas trop facile, car les pirates risquent d’espionner les individus qui se connectent au réseau. Assurez-vous de chiffrer votre réseau sans fil en utilisant la méthode de chiffrement WPA2/WPA3.
Si votre routeur ne prend pas en charge WPA2, il est peut-être temps de mettre à jour le firmware de votre routeur. Si ce n’est pas encore possible, alors vous devriez acheter un routeur moderne qui prend en charge la méthode de chiffrement WPA3.
N’oubliez pas que, si vous ne parvenez pas à chiffrer votre WiFi, il est trop facile de vous faire voler votre bande passante.
Sécurisez le WiFi invité en filtrant les contenus
Sécuriser le réseau WiFi invité signifie ajouter des contrôles pour limiter le contenu qui peut être consulté via votre réseau WiFi.
Vous devriez bloquer l’accès au contenu pour adultes, y compris la pornographie, les sites de jeux d’argent, les sites de rencontres, ainsi que les contenus Web illégaux ou douteux sur le plan éthique ou moral.
Une solution de filtrage web protégera vos clients contre les téléchargements accidentels de malwares et les attaques de phishing. Optez pour un filtre Web basé dans le cloud si vous ne voulez pas acheter du matériel supplémentaire.
D’ailleurs, cette solution peut être configurée et maintenue à distance, sans avoir besoin d’une mise à jour logicielle ou du firmware.
Contrairement aux filtres Web basés sur des applications, les filtres web basés dans le cloud sont plus évolutifs et s’adaptent mieux aux besoins changeants de votre entreprise.
WebTitan Cloud for WiFi – Une solution de sécurisation du WiFi invité pour les utilisateurs professionnels
TitanHQ a facilité la sécurisation du WiFi invité pour les utilisateurs professionnels. WebTitan Cloud for WiFi est un filtre Web 100 % dans le cloud et permet aux entreprises de contrôler soigneusement les catégories de contenu Web accessibles aux utilisateurs invités.
WebTitan Cloud for WiFi permet aux entreprises de bloquer l’accès à 53 catégories prédéfinies différentes de contenus web tels que la pornographie, les jeux d’argent, les sites de rencontres, les actualités et les sites de médias sociaux. Dans ces 53 catégories se trouvent plus de 500 millions de sites web dans 200 langues, dont les contenus ont été évalués et catégorisés. L’utilisation de la recherche dans le cloud garantit un filtrage précis et flexible des contenus des pages.
La sécurisation du WiFi invité est essentielle pour mettre en place une protection efficace contre les malwares, les ransomwares et le phishing. En déployant WebTitan Cloud, vous pourrez empêcher les utilisateurs d’accéder à des sites web compromis, aux sites de phishing et à d’autres sites malveillants.
Vous devez également créer des stratégies souples qui vous permettront de déléguer le contrôle du filtre à différents services et d’appliquer des contrôles à différents types d’utilisateurs. Par ailleurs, des clés de chiffrement dans le cloud peuvent être créées pour permettre à des utilisateurs spécifiques de contourner les règles mises en place.
À ceux-ci devrait s’ajouter une suite complète de rapports qui garantit la disponibilité permanente d’informations détaillées, avec des possibilités de notifications par e-mail pour alerter les administrateurs des tentatives de violation des règles et leur fournir l’historique de navigation et la liste chronologique des sites visités par les utilisateurs, et ce, en temps réel.
Conclusion
Le WiFi est devenu un outil de marketing essentiel pour la plupart des entreprises et une attente des clients. Malheureusement, de nombreuses entreprises ne disposent pas encore des compétences nécessaires pour protéger leur réseau contre les attaques cybercriminelles. De plus, les attaques lancées via le WiFi sont faciles à déployer et la plupart des pirates peuvent accéder à vos précieuses données sensibles en moins quelques minutes. La cybersécurité dans tous les aspects – quelle que soit la taille de votre entreprise – devient rapidement indispensable si vous ne voulez pas être la prochaine victime d’une attaque réussie à cause de la négligence d’une vulnérabilité que vous auriez pu corriger.
Avec les progrès de la technologie ainsi que la dépendance des utilisateurs et de vos clients au réseau WiFi, TitanHQ – en tant qu’acteur clé du marché – devrait être au sommet de son art en termes de sécurisation des informations sensibles concernant votre entreprise et vos clients.
Bien entendu, il est très important de créer et de maintenir un système sophistiqué de prévention des intrusions contre les brèches dans votre réseau WiFi.
Mais, même avec toutes les mises à jour modernes, le fait de fournir un accès internet sans fil représente toujours des risques en matière de piratage.
Vous devriez donc mettre en place une stratégie et un système de contre-attaque efficaces comme celui de TitanHQ.
Vous voulez prendre le contrôle de votre réseau WiFi ? Vous êtes un fournisseur de services gérés à la recherche d’une solution multilocataires et facile à utiliser pour vous permettre de fournir un service de filtrage Web à vos clients ? Alors, optez pour notre solution WebTitan Cloud for WiFi. Il s’agit d’un moyen rapide, facile à utiliser, peu coûteux et qui fournit un haut niveau de sécurité WiFi invité aux utilisateurs professionnels.
Contactez TitanHQ dès aujourd’hui pour plus d’informations sur nos produits, nos tarifs ou pour vous inscrire à un essai gratuit !
Une récente attaque menée par des pirates informatiques russes a été signalée par des experts américains et britanniques en matière de cybersécurité. Le rapport indique qu’une armée de scripts et de robots a été déployée pour détecter les vulnérabilités des routeurs des petits commerces de détail.
Les routeurs sont installés dans presque n’importe quel établissement en tant que connexion à un fournisseur d’accès à Internet (FAI) ou au réseau WiFi public dans les magasins, les restaurants ou les cybercafés. Ces routeurs offrent une sécurité de base, mais les particuliers et les petites entreprises prennent rarement des précautions pour mettre à niveau leur firmware, en particulier les correctifs de vulnérabilité.
Le département de la Sécurité intérieure des États-Unis (DHS), le Federal Bureau of Investigation (FBI) et le National Cyber Security Centre (NCSC) du Royaume-Uni ont signalé des incidents au cours desquels ils ont constaté une augmentation des attaques liées à la Russie contre des routeurs plus anciens, notamment les pare-feu et les commutateurs des principaux FAI situés principalement aux États-Unis.
Attaques contre les vulnérabilités des anciens firmwares et des mots de passe de routeur inchangés
Ces types d’attaques automatisées ciblent deux vulnérabilités : les firmwares de routeur qui n’ont pas été mis à jour et les routeurs qui utilisent encore les mots de passe par défaut qui sont fournis par les fabricants. Ces deux menaces sont courantes dans les petites entreprises et les résidences individuelles où la cybersécurité est faible. Les utilisateurs laissent souvent le mot de passe par défaut sur la console du routeur sans le savoir. Ce qui permet à toute personne pouvant consulter la liste de mots de passe du fabricant d’accéder à vos réseaux informatiques.
Les systèmes d’exploitation et les logiciels peuvent facilement être mis à jour, mais les routeurs sont souvent oubliés, même dans l’entreprise. Les fabricants de routeurs publient des correctifs sur leur site, mais il est rare que les utilisateurs les téléchargent et les installent. Soit ils ne savent pas que la mise à jour existe, soit ils ne savent pas comment mettre à jour le firmware de leur routeur, car il faut plus de connaissances en réseau informatique pour le faire.
Le 19 avril 2018, l’Équipe d’intervention d’urgence informatique des États-Unis (US-CERT) a émis une alerte (TA18-106A) concernant les cyberacteurs russes parrainés par l’État russe et qui analysent des millions de routeurs à la recherche de failles aux États-Unis et au Royaume-Uni. Un partenaire industriel a découvert l’activité malveillante et l’a signalée au National Cybersecurity & Communications Integration Center (NCCIC) et au FBI. Des scans ont donné aux attaquants la marque et le modèle des routeurs découverts. Ainsi, ils ont pu réaliser un inventaire des dispositifs vulnérables qui pourront ensuite être utilisés à des fins malveillantes.
Parmi ces dispositifs ciblés, on compte :
Les dispositifs d’encapsulation de routage générique (GRE) activés.
Les dispositifs bénéficiant de la fonctionnalité Cisco Smart Install (CMI)
Les périphériques réseau avec des SNMP (Simple Network Management Protocol) activés
Certains dispositifs et périphériques intègrent des pare-feu et des commutateurs des FAI des infrastructures critiques et des grandes entreprises.
Mais la majorité d’entre eux comprennent les routeurs grand public, y compris les dispositifs d’Internet des Objets (IdO – IoT) basés sur le consommateur.
Selon le coordonnateur de la cybersécurité du Conseil national de sécurité, Rob Joyce, il y a une forte probabilité que la Russie ait mené une campagne bien coordonnée pour avoir accès à une entreprise ; à des petits routeurs de bureau ; à des bureaux à domicile (connus sous le nom de SOHO) et à des routeurs résidentiels à travers le monde.
Les routeurs piratés utilisés pour les attaques « Man-in-the-Middle »
Une fois que le routeur est piraté, les cybercriminels peuvent l’utiliser pour mener des attaques Man-in-the-Middle (MitM) qui soutiennent l’espionnage d’entreprise. Ils peuvent accéder aux informations d’identité ou intercepter des données telles que la propriété intellectuelle, car des utilisateurs non avertis peuvent continuer à utiliser les appareils compromis.
Les attaques MitM peuvent être difficiles à détecter pour l’utilisateur final parce qu’il n’y a pas de virus ou de malwares qui interrompent l’activité. Par ailleurs, le trafic peut fonctionner naturellement lorsque l’attaquant se fait voler les données à son insu.
Les experts rapportent que des millions d’appareils ont déjà été piratés et cela pourrait conduire à de futures attaques qui exploiteraient des appareils compromis. Les FAI et toutes les entreprises utilisant encore des routeurs achetés au détail devraient mettre à jour leurs firmwares et s’assurer que les mots de passe par défaut sont changés.
Les attaques parrainées par l’État russe se sont multipliées au fil des ans. Les vulnérabilités constatées par ces attaquants ont été utilisées pour influer sur les élections, réduire les réseaux électriques et arrêter la productivité des entreprises dans le monde entier. Les années précédentes, ils visaient principalement l’Ukraine. Pourtant, l’attaque susmentionnée se concentrait essentiellement sur les entreprises et les FAI basés aux États-Unis.
Ce n’est pas la première fois que des agents russes ciblent les SOHO et les appareils résidentiels. Au cours des deux dernières années, le Département de la sécurité intérieure a été témoin de l’activité russe en matière d’analyse des vulnérabilités des routeurs. Comme de nombreux pirates informatiques, ces auteurs parrainés par la Russie tirent parti des dispositifs obsolètes et des configurations de sécurité faibles.
Souvent, les routeurs et autres dispositifs similaires ne sont pas entretenus ou gérés avec la même vigilance et le même souci de sécurité que les serveurs et les ordinateurs. Un nombre important de ces routeurs et périphériques continuent d’utiliser leurs mots de passe administrateur par défaut, tandis que d’autres ne sont plus supportés par les correctifs de sécurité ou de firmware.
L’alerte TA18-106A conseille à tous les propriétaires de routeurs de modifier toutes les informations d’identification par défaut et d’utiliser des mots de passe différents sur plusieurs périphériques. Des mots de passe simples tels que « 12345678 » ne doivent plus être utilisés, car les attaquants peuvent utiliser la force brute pour spammer différentes combinaisons de noms d’utilisateur et de mots de passe jusqu’à ce que l’appareil soit accessible. Le DHS recommande également de « retraiter et remplacer les anciens dispositifs » qui ne peuvent pas être mis à jour.
Attaques DDoS contre des sites gouvernementaux
L’alerte technique s’adresse également aux fabricants, les encourageant à commencer à concevoir des types d’appareils qui mettent en avant la sécurité dès le départ. Cela signifierait que les protocoles obsolètes et non chiffrés ne seraient plus supportés.
D’autres mesures pourraient inclure des changements forcés de mot de passe lorsque les dispositifs comme les routeurs sont démarrés pour la première fois, y compris les nombreux ordinateurs au niveau de l’entreprise.
Quant à la multitude d’appareils IoT dans utilisés dans les foyers aujourd’hui, ils sont souvent dépourvus de tout système de sécurité pour les rendre économiques et abordables.
C’est la première fois que des représentants du gouvernement s’adressent au public et aux fabricants pour leur donner des conseils sur la façon d’améliorer la sécurité des dispositifs pouvant être remis en cause.
Les représentants du gouvernement estiment que cet effort de balayage à grande échelle fait partie du grand plan de Poutine visant à perturber l’Occident. La question est de savoir à quelle fin. Les routeurs exploités par les FAI peuvent être utilisés à des fins d’espionnage pour voler la propriété intellectuelle ou pour saisir les informations des clients des FAI. Les pirates peuvent les utiliser au moment le plus opportun.
Des routeurs domestiques et des dispositifs IoT compromis peuvent aussi être utilisés pour coordonner des DDoS ou attaques par déni de service massives contre les sites gouvernementaux et l’infrastructure Internet. Ce qui les rend intéressantes, c’est que les Russes peuvent plaider la négation de telles attaques en cas de besoin.
« Une fois que vous possédez le routeur, vous possédez le trafic », déclare un haut responsable de la cybersécurité du DHS.
En réalité, les cyberattaques parrainées par l’État russe constituent une préoccupation de sécurité nationale pour les États-Unis et le Royaume-Uni. Ils peuvent utiliser les vulnérabilités pour affecter les élections, les réseaux électriques et le commerce. Les États-Unis ont déjà combattu contre les attaques de la Russie, celles menées en Iran et en Corée du Nord.
En publiant cette récente alerte, les deux pays envoient un message clair à Poutine et à son gouvernement, en affirmant que « ces actes malveillants sont inacceptables et ne seront pas tolérés. Un responsable britannique a déclaré : « L’attribution de cette activité malveillante envoie un message clair à la Russie : nous savons ce que vous faites et vous n’y parviendrez pas. ».
Bien entendu, les Russes ont répondu à ces accusations. Dans un commentaire envoyé par e-mail à l’ambassade de Russie à Londres, un porte-parole russe a déclaré que les accusations et les spéculations étaient imprudentes, provocatrices et sans fondement. La déclaration demandait également aux deux pays occidentaux d’apporter des preuves à l’appui de ces affirmations farfelues.
Pendant de nombreuses années, on a dit que les pays qui pouvaient contrôler les océans par leurs forces marines ou dominer le ciel par leur présence aérienne pouvaient contrôler la guerre. À l’avenir, ceux qui contrôlent l’infrastructure mondiale de l’Internet auront également un avantage significatif.
Les périphériques piratés peuvent être utilisés lors de futures attaques
L’espionnage d’entreprise n’est pas la seule conséquence des attaques cybercriminelles.
Les pirates peuvent aussi laisser un code de porte dérobée (backdoor) qui reste inactif en attendant qu’ils décident plus tard d’attaquer les entreprises. Les DDoS ont été à l’origine de certaines des plus grandes cyberattaques sur Internet et qui ont détruit les grandes entreprises, notamment les protocoles Internet critiques tels que DNS.
Étude de cas
En tant que fournisseur de services de filtrage Web, Family-Guard croît à un rythme effarant, ajoutant quotidiennement des clients à son service. WebTitan pour Wi-Fi permet à Family-Guard d’offrir facilement à ses clients des contrôles de contenus Web. Déployée en tant que service cloud, cette solution est basée sur le DNS et ne requiert qu’une simple redirection DNS vers les serveurs WebTitan. Découvrez ici l’étude de cas complet de ce fournisseur de services de filtrage Web.
Forte couche de protection pour les routeurs et la configuration Wi-Fi
De nos jours, Internet est devenu indispensable pour la majorité des gens. Malheureusement, les sites Web malveillants, les spywares et les virus présentent de réelles menaces ses utilisateurs et celles-ci ne doivent tout simplement pas être ignorées.
Si vous offrez le Wi-Fi public ou possédez un routeur Wi-Fi pour la connectivité Internet publique, vous pourrez réduire le risque d’attaques en ligne et vous pourrez contrôler la navigation Web en utilisant WebTitan Cloud for Wi-Fi.
WebTitan Cloud for Wi-Fi ajoute une forte couche de protection au routeur et à la configuration Wi-Fi de vos clients. Il est impératif que le Wi-Fi public ait toujours des règles strictes de cybersécurité, et tout firmware de routeur doit être régulièrement mis à jour. WebTItan vous aide dans ce cas à fournir une excellente sécurité informatique. Enfin, grâce à cette solution, les MSP qui vendent des routeurs utilisant le Wi-Fi WebTitan peuvent garantir un accès Wi-Fi sécurisé et filtré à leurs clients.
