Sécuriser le Wi-Fi : WPA3, 802.1X, RADIUS et portail captif

Sécuriser un Wi-Fi d'entreprise, c'est chiffrer les échanges radio (WPA3), authentifier chaque utilisateur ou appareil individuellement (802.1X avec un serveur RADIUS relié à l'annuaire), et séparer les invités sur un réseau qui ne mène qu'à Internet, souvent derrière un portail captif. Ce chapitre explique les protocoles de sécurité du Wi-Fi, le fonctionnement de 802.1X et de RADIUS, la mise en place d'un Wi-Fi invité avec portail captif et ses obligations légales. C'est le dossier B du sujet E7 SISR 2025, et un thème qui revient en 2026.

Pourquoi le Wi-Fi est une porte d'entrée

Le signal radio traverse les murs : depuis le parking ou le bureau voisin, n'importe qui peut capter le réseau et tenter de s'y connecter. Un réseau protégé par un mot de passe partagé (mode « personnel », PSK) cumule les faiblesses :

• toute personne qui connaît le nom du réseau (SSID) et le mot de passe se connecte, y compris un ancien salarié, un stagiaire parti ou un visiteur à qui on l'a dicté un jour ;
• le mot de passe circule (post-it, message, affiche dans la salle de réunion) et n'est presque jamais changé, parce qu'il faudrait le reconfigurer sur tous les appareils ;
• impossible de savoir qui est connecté : tous utilisent le même secret (atteinte à la preuve) ;
• si ce Wi-Fi mène au réseau interne, un visiteur atteint les serveurs (atteinte à la confidentialité, et à l'intégrité s'il peut modifier des données ; à la disponibilité s'il sature le réseau ou y introduit un logiciel malveillant).

Les protocoles de sécurité du Wi-Fi

WPA3 apporte trois améliorations majeures :

• en mode personnel, l'échange SAE (Simultaneous Authentication of Equals) remplace la vieille poignée de main de WPA2 : capturer une connexion ne permet plus de tester ensuite des millions de mots de passe hors ligne, et chaque session a sa propre clé ;
• les trames de gestion protégées (PMF, norme 802.11w) sont obligatoires : un attaquant ne peut plus déconnecter les appareils en envoyant de fausses trames de désauthentification, une technique utilisée pour les pousser vers une fausse borne ;
• un mode WPA3-Entreprise 192 bits pour les environnements sensibles.

Depuis 2020, le support de WPA3 est exigé pour la certification « Wi-Fi CERTIFIED » des nouveaux appareils, et la bande des 6 GHz (Wi-Fi 6E et Wi-Fi 7) n'accepte que WPA3 ou Enhanced Open (OWE), qui chiffre un réseau ouvert sans mot de passe. Le mode transition WPA2/WPA3 permet aux vieux appareils de continuer à se connecter, au prix d'une sécurité limitée à celle de WPA2 pour eux : c'est une étape, pas une cible. Les normes et les bandes du Wi-Fi sont présentées dans le chapitre Wi-Fi du cours Réseaux.

802.1X : trois rôles

802.1X est un standard de contrôle d'accès au réseau, le même pour le Wi-Fi et pour les ports filaires d'un switch (chapitre 5). Il fait intervenir trois acteurs :

Entre le client et la borne, les échanges utilisent EAP (Extensible Authentication Protocol) ; entre la borne et le serveur, ils sont transportés par RADIUS (UDP 1812 pour l'authentification, 1813 pour la comptabilisation). RADIUS est un serveur AAA : Authentication (qui es-tu ?), Authorization (à quoi as-tu droit ?), Accounting (journalisation : qui s'est connecté, quand, combien de temps).

Choisir la méthode EAP

L'attribution dynamique de VLAN. Avec un seul SSID, le serveur RADIUS peut placer chaque utilisateur dans son VLAN selon son groupe dans l'annuaire, en renvoyant trois attributs dans sa réponse : Tunnel-Type = VLAN, Tunnel-Medium-Type = 802 et Tunnel-Private-Group-ID = 10. Les salariés arrivent dans le VLAN 10, les alternants dans un autre, avec les droits de filtrage correspondants.

Sécuriser RADIUS. Chaque borne et chaque switch partagent avec le serveur un secret long et différent. Depuis la faille « Blast-RADIUS » de 2024, il faut exiger l'attribut Message-Authenticator dans tous les échanges (option des versions récentes de NPS et de FreeRADIUS), et, quand les équipements le permettent, transporter RADIUS dans TLS (RadSec, TCP 2083).

Le Wi-Fi invité et le portail captif

Les visiteurs, clients et apprenants de passage ont besoin d'Internet, et de rien d'autre. L'architecture type, celle du sujet 2025 :

• un SSID invité distinct, associé à un VLAN dédié (VLAN 40 chez Sorbier) ;
• ce VLAN a sa passerelle sur le pare-feu, jamais sur un équipement interne : dans le sujet 2025, il est même raccordé physiquement au pare-feu ; chez Sorbier, il ne traverse le switch de cœur qu'au niveau 2, par le trunk, sans interface routée (SVI) sur le switch, ce qui revient au même : tout le trafic invité est filtré et journalisé par le pare-feu (chapitre 3) ;
• l'isolation des clients est activée sur les bornes : deux invités ne peuvent pas se joindre ;
• un portail captif sur le pare-feu contrôle l'accès à Internet.

Principe du portail captif. Un appareil qui se connecte au Wi-Fi invité obtient une adresse par DHCP (chez Sorbier, le pare-feu relaie sa demande vers srv-ad), mais le pare-feu bloque tout son trafic vers Internet. Sa première requête web (HTTP) est redirigée vers une page du pare-feu : inscription, code d'accès (ticket ou voucher), compte RADIUS, ou simple acceptation des conditions d'utilisation. Une fois l'utilisateur authentifié, le pare-feu autorise son adresse MAC et son adresse IP pour une durée limitée. Les systèmes récents détectent eux-mêmes le portail (ils testent une adresse HTTP connue au moment de la connexion) et ouvrent la page automatiquement.

Pourquoi un portail captif ? Il permet de savoir qui utilise la connexion de l'organisation et quand (traçabilité, utile en cas d'usage illicite), de faire accepter des conditions d'utilisation (charte, responsabilité de l'utilisateur), de limiter la durée et le débit de chaque accès, et de donner un accès autonome aux visiteurs sans jamais leur communiquer un mot de passe du réseau interne.

Les règles à mettre en place sur l'interface VISITEURS du pare-feu, y compris celles que le portail crée lui-même :

La règle 6 vient avant la règle 7 : sans elle, « 443 vers any » donnerait accès aux serveurs web internes. Une redirection ne peut se faire proprement que sur HTTP : une connexion HTTPS interceptée provoquerait une erreur de certificat, c'est pourquoi le portail redirige les requêtes HTTP et que les systèmes utilisent une adresse de test en HTTP.

Les obligations liées au Wi-Fi invité

• Conservation des journaux de connexion. Un organisme qui fournit un accès à Internet au public peut être soumis aux obligations de conservation des données de connexion des opérateurs (article L34-1 du Code des postes et des communications électroniques) : on conserve les éléments qui permettent d'identifier l'utilisateur d'une connexion (compte, adresse MAC, adresse IP, horaires) pendant un an, et pas davantage.
• RGPD et minimisation. Le formulaire d'inscription ne demande que les données nécessaires à la finalité annoncée (créer un accès et l'attribuer à une personne) ; toute autre utilisation, comme la prospection commerciale, demande une base légale distincte (le consentement, recueilli par une case non cochée par défaut) et une information claire (cours Droit et RGPD). C'est la question B2.1 du sujet 2025.
• Charte et conditions d'utilisation, acceptées sur le portail, qui rappellent les usages interdits.

Les autres bonnes pratiques

• Détection des bornes illégitimes : la plupart des contrôleurs Wi-Fi (UniFi, Aruba, Cisco) signalent les bornes inconnues qui diffusent le SSID de l'entreprise (rogue AP, evil twin).
• Administration des bornes sur le VLAN 99 seulement, mot de passe changé, micrologiciel à jour.
• WPS désactivé : ce mécanisme d'appairage par code PIN est faible.
• Pas de SSID caché « pour la sécurité » : un SSID masqué reste visible dans les échanges et oblige les appareils à le réclamer partout où ils vont.
• Puissance d'émission adaptée, pour ne pas arroser le parking.

Pour aller plus loin. Les rôles de 802.1X et les méthodes EAP sont détaillés dans le chapitre 802.1X, RADIUS et portail captif du cours Authentification.

Exercices

Exercice 1 sur 5 Les problèmes d'un Wi-Fi à mot de passe partagé Réussi À revoir

Chez un centre de formation, tous les employés et tous les apprenants se connectent à un même SSID en WPA2-Personnel, avec un mot de passe affiché dans les salles. Ce Wi-Fi mène au réseau interne, où se trouvent les serveurs. Explique trois problèmes de sécurité posés par cette architecture, avec un exemple chacun, en précisant le critère (disponibilité, intégrité, confidentialité) qui n'est pas respecté.

Voir la réponseMasquer la réponse de l'exercice 1

• Confidentialité : n'importe quel apprenant, ou une personne qui a vu l'affiche, accède au réseau interne et peut consulter les partages ou capturer des échanges non chiffrés (par exemple des fiches de stagiaires sur le serveur de fichiers).
• Intégrité : un apprenant malveillant ou un appareil infecté peut modifier des données ou des configurations accessibles sur le réseau interne (déposer un fichier piégé dans un partage, modifier des notes).
• Disponibilité : un appareil infecté ou un usage abusif (téléchargements massifs) sature le réseau ou propage un logiciel malveillant aux serveurs.
• En plus : aucune traçabilité (tout le monde utilise le même secret), et le mot de passe ne peut pas être retiré à une seule personne sans le changer pour tout le monde.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 5 Justifier le portail captif Réussi À revoir

Propose deux arguments qui justifient un portail captif pour les apprenants de passage, puis explique pourquoi le Wi-Fi invité est raccordé directement au pare-feu.

Voir la réponseMasquer la réponse de l'exercice 2

Arguments (deux suffisent) :

• Traçabilité : chaque accès est associé à une personne inscrite et horodaté, ce qui permet de répondre à une réquisition ou d'identifier l'auteur d'un usage illicite, sans partager de mot de passe.
• Acceptation des conditions d'utilisation : l'utilisateur accepte la charte avant d'accéder à Internet, ce qui fixe les règles et sa responsabilité.
• Autonomie et maîtrise : l'apprenant s'inscrit seul, son accès est limité dans le temps (et en débit), et il expire automatiquement.

Raccordement au pare-feu : le réseau invité a une confiance nulle. Raccordé directement au pare-feu, tout son trafic passe par un point de filtrage qui applique le portail captif, bloque l'accès au réseau interne et journalise ; il ne traverse jamais le switch de cœur ni les équipements internes, ce qui limite les risques de rebond vers le réseau de l'entreprise.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 5 Choisir la méthode EAP Réussi À revoir

Sorbier veut passer le Wi-Fi des salariés en WPA3-Entreprise. Tous les postes sont des portables Windows 11 du domaine, et l'entreprise a maintenant une AC interne. Quelle méthode EAP recommandes-tu ? Justifie, et dis ce qu'il faut configurer sur les postes.

Voir la réponseMasquer la réponse de l'exercice 3

EAP-TLS avec un certificat machine délivré par l'AC interne à chaque portable (inscription automatique par stratégie de groupe avec Active Directory Certificate Services). Justifications : aucun mot de passe ne circule ni ne peut être volé par une fausse borne ; le certificat est révocable individuellement (perte du portable) ; seuls les postes du domaine se connectent ; PEAP-MSCHAPv2 est déconseillé et ne fonctionne plus de façon transparente avec Credential Guard. Sur les postes, par stratégie de groupe : le profil Wi-Fi (SSID, WPA3-Entreprise, EAP-TLS), l'AC racine de confiance et le nom du serveur RADIUS attendu, pour que le poste refuse tout autre serveur.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 5 Le formulaire d'inscription Réussi À revoir

Le formulaire du portail captif demande : nom, prénom, adresse électronique, téléphone personnel, employeur, poste occupé, formation suivie. Les données servent à créer l'accès Internet (traitement A) et à établir des statistiques de fréquentation par formation (traitement B). Pour chaque donnée, dis si elle est pertinente et pour quel traitement.

Voir la réponseMasquer la réponse de l'exercice 4

Donnée	Pertinente ?	Traitement
Nom, prénom	Oui : identifier la personne à qui l'accès est attribué	A
Adresse électronique	Oui : envoyer les identifiants d'accès ou un code	A
Téléphone personnel	Non, sauf si le code d'accès est envoyé par SMS (dans ce cas, un seul numéro, à préciser)	A éventuellement
Employeur	Non nécessaire à l'accès ; utile seulement si les statistiques sont faites par entreprise cliente, ce qui n'est pas prévu	Aucun
Poste occupé	Non : aucun traitement prévu ne l'utilise	Aucun
Formation suivie	Oui : les statistiques sont établies par formation	B

Les données non pertinentes doivent être retirées du formulaire (principe de minimisation, article 5 du RGPD). Une utilisation commerciale demanderait une information claire et un consentement distinct.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 5 sur 5 WPA2, WPA3 et la fausse borne Réussi À revoir

Un audit détecte une borne inconnue qui diffuse le SSID « Sorbier-Pro » dans le parking, et des déconnexions répétées des portables. Explique ce qui se passe probablement, puis en quoi WPA3-Entreprise et une configuration correcte des postes protègent contre ce scénario.

Voir la réponseMasquer la réponse de l'exercice 5

Une fausse borne (evil twin) imite le réseau de l'entreprise. Les déconnexions répétées sont typiques de fausses trames de désauthentification, envoyées pour pousser les portables à se reconnecter, éventuellement à la fausse borne. Protections : WPA3 rend les trames de gestion protégées (PMF) obligatoires, donc les fausses trames de désauthentification sont ignorées ; avec 802.1X, le poste vérifie le certificat du serveur RADIUS (AC et nom imposés par stratégie de groupe) et refuse de s'authentifier auprès d'une borne qui ne peut pas présenter le bon certificat ; avec EAP-TLS, aucun mot de passe n'est de toute façon transmis. Le contrôleur Wi-Fi doit aussi signaler la borne illégitime, qu'il faut localiser et retirer.

Tu avais trouvé ?

Oui, j'avais bonPas encore