Sécurité sans fil d'entreprise : WPA3, 802.1X et le problème du certificat

La sécurité sans fil a un écart entre ce qui est configuré et ce qui protège réellement quelque chose. Cette page vise à combler cet écart.

Ce que WPA3 corrige

SAE (Simultaneous Authentication of Equals) remplace la poignée de main en quatre temps du WPA2 personnel. La conséquence importante : un attaquant qui capture la poignée de main ne peut pas l'emporter et la casser par force brute hors ligne. Sous WPA2-Personal, il le peut, et avec une phrase de passe faible, il réussira. SAE offre aussi la confidentialité persistante — une phrase de passe compromise ne déchiffre pas le trafic capturé précédemment.

Les Protected Management Frames (PMF) sont obligatoires sous WPA3. Cela tue l'attaque classique de désauthentification, par laquelle commencent la plupart des démonstrations de « piratage Wi-Fi ».

Le mode WPA3-Enterprise 192 bits existe pour les environnements ayant une exigence de conformité à ce sujet. La plupart des organisations n'en ont pas besoin, et il restreint considérablement votre compatibilité client.

Le mode de transition permet aux clients WPA2 et WPA3 de partager un SSID. C'est un outil de migration, et cela signifie qu'un attaquant peut forcer un downgrade vers WPA2. Utilisez-le tant que vous le devez, avec une date de fin documentée.

Le 802.1X, et l'erreur que presque tout le monde commet

Le 802.1X avec EAP-TLS est l'option d'entreprise pratique la plus solide : authentification mutuelle par certificat, aucun mot de passe à phisher, révocation par appareil.

L'échec courant se situe côté client. Si le client n'est pas configuré pour valider le certificat du serveur RADIUS — vérifier la chaîne de certification et le nom du serveur — alors un attaquant peut monter un SSID jumeau malveillant, présenter n'importe quel certificat, et récolter des identifiants. Avec PEAP-MSCHAPv2, cela donne directement des hachages de mot de passe cassables.

Faites ceci :

Poussez le profil sans fil par MDM ou stratégie de groupe. Ne laissez jamais les utilisateurs configurer le Wi-Fi d'entreprise à la main — l'invite « faire confiance à ce certificat ? » sera acceptée à chaque fois.
Configurez explicitement l'AC racine de confiance et le nom du serveur RADIUS attendu dans le profil.
Désactivez l'option permettant aux utilisateurs d'accepter de nouveaux serveurs ou de faire confiance à de nouvelles AC.
Préférez EAP-TLS à PEAP-MSCHAPv2. Si vous devez utiliser PEAP pendant une migration, traitez-le comme un état temporaire et appliquez rigoureusement la validation du certificat.
Surveillez les journaux RADIUS pour les tentatives d'authentification provenant d'adresses NAS inattendues.

L'IoT incapable de faire du 802.1X

C'est la majorité des cas. Une imprimante, un lecteur de badge, un thermostat, une pompe clinique, un scanner de codes-barres de 2014 — aucun d'eux ne fera d'EAP-TLS.

Options, dans l'ordre de préférence :

PSK par appareil (PPSK / iPSK / DPSK selon le fournisseur). Chaque appareil reçoit une phrase de passe unique associée à un VLAN et à une politique. Un appareil compromis ne compromet pas le SSID. C'est la bonne réponse pour la plupart des parcs IoT.
Contournement d'authentification MAC avec segmentation forte. Les adresses MAC sont trivialement usurpables, donc ce n'est pas de l'authentification — c'est de l'inventaire. Acceptable uniquement derrière une segmentation et une surveillance agressives.
Un SSID séparé avec une PSK partagée, fortement segmenté. Acceptable seulement quand le VLAN est réellement isolé et filtré en sortie, et que la clé est tournée selon un calendrier.

Quel que soit votre choix : mettez l'IoT sur son propre VLAN, interdisez-lui tout mouvement latéral, interdisez-lui la sortie internet sauf vers les destinations spécifiques dont il a besoin, et supposez qu'il finira par être compromis. Concevez pour le confinement plutôt que pour la prévention.

Réseaux invités

Utilisez OWE (Enhanced Open) plutôt qu'un BSS réellement ouvert. Cela offre un chiffrement non authentifié, ce qui empêche l'écoute passive du trafic invité — une amélioration significative par rapport au Wi-Fi ouvert, pour zéro friction utilisateur.
Isolez les clients les uns des autres au niveau 2.
Ne placez jamais un réseau invité sur le même VLAN que quoi que ce soit d'autre. Jamais.
Limitez le débit par client, et sachez que les portails captifs interagissent mal avec les clients compatibles 6 GHz et avec la randomisation MAC.

La randomisation MAC

Les iOS, Android et Windows modernes randomisent les adresses MAC par SSID par défaut. Tout contrôle dépendant d'une adresse MAC stable — MAB, listes blanches MAC, politique de bande passante par appareil, suivi des appareils en analytique — est dégradé ou cassé. Prévoyez une identité basée sur des certificats ou une PSK par appareil à la place.

La liste sans éclat

Faites tourner les clés pré-partagées WPA2 que vous avez encore, et notez où elles sont utilisées.
Désactivez le WPS partout. Il reste activé par défaut sur plus d'équipements qu'on ne l'imaginerait.
Changez les identifiants d'administration par défaut sur chaque AP, switch et contrôleur, et vérifiez que l'accès console des AP est désactivé ou protégé par mot de passe.
Activez la détection et le confinement des AP rogues, et vérifiez les alertes chaque semaine plutôt que de découvrir un rogue vieux de dix-huit mois lors d'un audit.
Sécurisez physiquement les AP dans les espaces publics. Un AP dans un endroit accessible est un port console et une prise réseau.