Module 5 · 5.3
Français
Wifi, télétravail et déplacements
Module 5: Appareils, logiciels et réseau · Temps de lecture : 11 minutes
Objectif pédagogique : après cette leçon, vous saurez configurer le wifi de votre bureau et de votre domicile en toute sécurité, séparer les objets connectés et les invités de votre réseau professionnel, et travailler en sécurité en déplacement, y compris ce qu'un VPN fait et ne fait pas pour vous.
Notions clés : routeur, mot de passe d'administration, WPA2, WPA3, SAE, mode de transition, WPS, UPnP, réseau invité, wifi public, faux point d'accès, https, VPN, point d'accès de votre téléphone
Le routeur est votre porte d'entrée
Tout ce qui relie votre bureau ou votre poste de télétravail à internet passe par le routeur (souvent dans un même boîtier que le modem de votre fournisseur d'accès). Il fait trois choses : il relie votre réseau à internet, il bloque le trafic venant de l'extérieur que vous n'avez pas demandé (le pare-feu), et il diffuse en général aussi le réseau wifi.
Un routeur est rarement vérifié une fois le technicien parti. C'est pourquoi les réglages d'usine y restent souvent en place. Quatre choses à régler immédiatement :
- Modifiez le mot de passe d'administration. C'est le mot de passe de la page de réglages du routeur, pas le mot de passe wifi. Les mots de passe par défaut sont souvent connus par marque ou par série. Utilisez un mot de passe long et unique issu de votre gestionnaire de mots de passe.
- Désactivez l'administration à distance, sauf si votre fournisseur d'accès en a réellement besoin. La page de réglages n'est alors accessible que depuis votre propre réseau.
- Désactivez l'UPnP si vous n'en avez pas besoin. Avec l'UPnP, n'importe quel appareil de votre réseau peut lui-même ouvrir un port dans le pare-feu, y compris une caméra présentant une faille. L'ANSSI recommande de le désactiver.
- Mettez à jour le micrologiciel (firmware) ou vérifiez que votre fournisseur d'accès le fait automatiquement (leçon 5.1). Si votre routeur ne reçoit plus de mises à jour, remplacez le.
WPA2 et WPA3 : comment votre wifi est chiffré
Le wifi circule dans l'air. Toute personne à proximité peut capter les signaux. C'est pourquoi il est chiffré. La norme correspondante est gérée par la Wi-Fi Alliance.
| Mode | Évaluation | Explication |
|---|---|---|
| Ouvert (sans mot de passe) | À éviter pour votre entreprise | Tout le monde peut s'y connecter et, sans https, lire le trafic. |
| WEP, WPA (la première version), TKIP | Non sécurisé | Obsolète et cassé. Si vous voyez cela, remplacez le routeur ou modifiez le réglage. |
| WPA2-Personal (AES) | Suffisant, avec un mot de passe long | Quiconque capte la connexion d'un appareil peut ensuite, chez lui, sans rester à proximité, continuer indéfiniment à essayer des mots de passe. Un mot de passe wifi court ou prévisible tombe alors rapidement. |
| WPA3-Personal | Meilleur choix | Utilise SAE à la place de l'ancien système à clé partagée. Selon la Wi-Fi Alliance, un attaquant ne peut alors plus essayer des mots de passe hors ligne : chaque tentative demande un nouvel essai auprès du routeur lui même. Et même si quelqu'un connaît le mot de passe plus tard, il ne peut pas déchiffrer le trafic capté auparavant (forward secrecy). |
| Mode de transition WPA2/WPA3 | Bonne étape intermédiaire | Les nouveaux appareils se connectent en WPA3, les plus anciens en WPA2. Pratique tant que vous avez encore des appareils anciens ; ils ne bénéficient alors que de la protection WPA2. |
Selon la Wi-Fi Alliance, le WPA3 est obligatoire pour les appareils portant la certification Wi-Fi CERTIFIED, donc presque tout routeur et téléphone récent le prend en charge. Choisissez le WPA3 si tous vos appareils le prennent en charge, sinon le mode de transition.
Utilisez dans tous les cas un mot de passe wifi long, par exemple une phrase de passe de quatre ou cinq mots distincts (leçon 2.1). Il reste de toute façon enregistré dans vos appareils ; vous aurez rarement à le saisir.
Le WPS (Wi-Fi Protected Setup) est un bouton ou un code PIN permettant de jumeler facilement des appareils. La variante par code PIN présente un défaut de conception connu : à cause de la façon dont le routeur répond, un attaquant n'a pas besoin d'essayer cent millions de combinaisons mais environ onze mille, et trouve ensuite le mot de passe wifi (CERT/CC, 2011). Désactivez le WPS si votre routeur le permet.
Réseau invité : séparer ce qui ne va pas ensemble
Un petit bureau compte vite des appareils de fiabilité très différente sur le même réseau : les ordinateurs portables avec la comptabilité, le NAS contenant les dossiers clients, mais aussi les téléphones des visiteurs, une télévision connectée dans la salle d'attente, un thermostat et quelques caméras. S'ils sont tous sur le même réseau, une caméra piratée peut communiquer directement avec le NAS.
C'est pourquoi vous créez un réseau invité : un second réseau wifi avec son propre nom et son propre mot de passe, qui donne accès à internet mais pas aux appareils de votre réseau principal. Presque tous les routeurs le permettent. Placez y :
- les visiteurs et leurs téléphones ;
- les objets connectés : télévision, thermostat, sonnette, enceinte, et dans la mesure du possible les caméras. L'ANSSI le recommande explicitement ;
- les appareils personnels des collaborateurs, s'ils n'ont pas besoin d'accéder aux données de l'entreprise.
Vérifiez après la configuration que cela fonctionne : depuis un téléphone sur le réseau invité, vous ne devez pas pouvoir trouver l'imprimante ou le NAS.
Télétravail
Chez vous, vous travaillez sur un réseau que vous ne gérez pas en tant qu'entreprise, souvent partagé avec les membres de votre famille, une console de jeu et l'enceinte connectée des voisins dans la liste des réseaux. Mettez vous d'accord avec votre équipe sur les points suivants :
- le routeur domestique reçoit le même traitement de base : mot de passe d'administration propre, WPA2 ou WPA3 avec un mot de passe long, micrologiciel à jour ;
- l'ordinateur portable professionnel est réservé au travail : ne pas le faire utiliser par les enfants ou les proches, et le verrouiller lorsque vous vous éloignez (leçon 5.2) ;
- les mises à jour continuent aussi à domicile. Un ordinateur portable qui ne revient pas au bureau pendant des semaines peut manquer des mises à jour gérées de façon centralisée. Vérifiez le ;
- l'accès aux systèmes de l'entreprise passe par une connexion sécurisée : un service cloud avec https et authentification à deux facteurs, ou un VPN vers le bureau. N'ouvrez jamais un port à la légère pour accéder « rapidement » au NAS depuis chez vous.
En déplacement : le wifi public
Dans un hôtel, un train ou un café, vous ne savez pas qui administre le réseau. Le plus grand risque est un faux point d'accès : un attaquant crée un réseau portant le même nom que le vrai, par exemple « Hotel Gasten ». Votre téléphone s'y connecte automatiquement, et tout votre trafic passe par son appareil.
Heureusement, la plupart du trafic passe aujourd'hui par https (leçon 4.2) et les e-mails via des connexions chiffrées. L'attaquant voit alors bien quels sites vous visitez, mais pas ce que vous saisissez. Des risques subsistent toutefois : une page de connexion qui vous redirige vers un faux site, un message « installez ce certificat », ou de vieilles applications qui ne chiffrent pas.
L'ANSSI conseille :
- préférez les données mobiles ou le point d'accès de votre propre téléphone au wifi public ;
- ne laissez pas votre appareil se connecter automatiquement aux réseaux wifi ;
- n'effectuez pas d'opérations bancaires ni de travail confidentiel sur un wifi public, et n'y téléchargez ni n'y installez rien ;
- désactivez le partage de fichiers et déconnectez vous une fois terminé.
Si vous recevez sur un wifi public un avertissement de certificat pour un site que vous connaissez bien, n'allez pas plus loin. C'est exactement le signal que quelqu'un surveille la connexion.
Ce qu'un VPN fait et ne fait pas
Le mot VPN est utilisé pour deux choses différentes. Un VPN professionnel relie votre ordinateur portable de façon chiffrée au réseau de votre bureau, afin que vous puissiez accéder depuis l'extérieur au NAS ou au logiciel de comptabilité. Un service VPN commercial envoie tout votre trafic internet de façon chiffrée vers le serveur d'un fournisseur, qui l'achemine ensuite vers internet.
| Un VPN fait bien | Un VPN ne fait pas |
|---|---|
| Chiffrer votre trafic entre votre appareil et le serveur VPN, de sorte que le réseau (wifi) local ne puisse pas le lire | Vous protéger contre le phishing : un faux site reste tout aussi faux via un VPN |
| Vous donner un accès sécurisé au réseau du bureau (VPN professionnel) | Bloquer les logiciels malveillants ou nettoyer un ordinateur portable infecté |
| Masquer votre adresse IP pour les sites que vous visitez | Vous rendre anonyme : vous connecter à un service révèle encore qui vous êtes |
| Supprimer la nécessité de confiance : le fournisseur VPN peut désormais voir ce que le réseau de l'hôtel pouvait voir auparavant |
Un VPN déplace donc le point où vous devez placer votre confiance. Sur un réseau inconnu, cela peut être utile. Sur votre propre réseau domestique avec des sites en https, un VPN commercial n'apporte que peu de chose en matière de sécurité.
Et attention : un serveur VPN installé dans votre bureau est lui même un équipement périphérique accessible depuis internet. Les serveurs VPN obsolètes sont une porte d'entrée connue pour les rançongiciels (leçon 1.3). Mettez le à jour, activez l'authentification à deux facteurs, et désactivez le si vous ne l'utilisez pas.
En pratique : voici à quoi cela ressemble
Vos e-mails aussi transitent par le réseau en déplacement. Configurez donc votre logiciel de messagerie avec des connexions chiffrées. Chez WebOké, il s'agit par exemple de l'IMAP sur le port 993 avec SSL/TLS et du SMTP sur le port 587 avec STARTTLS (ou 465 avec SSL/TLS) ; chez d'autres fournisseurs, les ports sont généralement les mêmes. Si votre logiciel de messagerie indique « aucune sécurité » ou le port 143 ou 25 sans chiffrement, corrigez le réglage.
Résumé
- Donnez à votre routeur un mot de passe d'administration propre, désactivez l'administration à distance, l'UPnP et le WPS, et mettez à jour le micrologiciel.
- Choisissez le WPA3, ou le mode de transition WPA2/WPA3, avec un mot de passe wifi long. Jamais de WEP, WPA ou TKIP.
- Placez les visiteurs et les objets connectés sur un réseau invité, séparé de vos appareils de travail.
- En déplacement : préférez les données mobiles ou votre propre point d'accès, pas de connexion automatique, et arrêtez vous dès un avertissement de certificat.
- Un VPN chiffre le trajet jusqu'au serveur VPN, mais ne protège ni contre le phishing ni contre les logiciels malveillants et ne vous rend pas anonyme.
Quiz
Exercice
Exercice D5.3 : Vérifier votre routeur et votre wifi. Connectez vous à la page de réglages de votre routeur (à domicile ou au bureau). Vérifiez le mot de passe d'administration, le chiffrement, le WPS, l'UPnP, l'administration à distance, le micrologiciel et le réseau invité. Cochez la liste de contrôle, testez le réseau invité et répondez aux questions de réflexion.
Exercice D5.3: Vérifier votre routeur et votre wifi
Voici comment procéder : (1) Connectez-vous à la page de configuration de votre routeur (l'adresse et le premier mot de passe figurent dans le manuel ou sur l'étiquette) ou dans l'application de votre fournisseur. S'il s'agit d'un routeur fourni par votre fournisseur d'accès, vérifiez quels réglages vous pouvez modifier. (2) Remplacez le mot de passe d'administration par un mot de passe long et unique issu de votre gestionnaire de mots de passe. (3) Vérifiez le chiffrement du wifi : WPA3, ou mode transitoire WPA2/WPA3 si vous avez des appareils plus anciens ; jamais WEP, WPA ou TKIP. Définissez un mot de passe wifi long (phrase de passe). (4) Désactivez WPS, UPnP et l'administration à distance si vous n'en avez pas besoin. (5) Vérifiez que le micrologiciel (firmware) est à jour et se met à jour automatiquement. (6) Créez un réseau invité et placez-y les visiteurs et les appareils connectés (télévision, thermostat, enceinte, caméras si possible). (7) Testez le réseau invité : connectez un téléphone au réseau invité et essayez de trouver l'imprimante, le NAS ou un dossier partagé. Cela ne doit pas fonctionner. (8) Vérifiez la liste des appareils connectés dans votre routeur. Si vous ne reconnaissez pas un appareil, identifiez-le. (9) Vérifiez votre application de messagerie sur ordinateur portable et téléphone : réception et envoi avec SSL/TLS ou STARTTLS (par exemple IMAP 993, SMTP 587 ou 465).
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans les articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.
- Guide DirectAdmin 8.1: Tous les paramètres en un coup d'œil : serveurs, ports et sécurité
- Cybermalveillance.gouv.fr, ressources pour les entreprises : https://www.cybermalveillance.gouv.fr/
- ANSSI, bonnes pratiques de sécurité pour les objets connectés : https://cyber.gouv.fr/
- ANSSI, recommandations pour le télétravail : https://cyber.gouv.fr/
- Wi-Fi Alliance, sécurité du wifi (en anglais) : https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, la faille du WPS (en anglais) : https://www.kb.cert.org/vuls/id/723755