Vous examinez une modification WLAN tard le vendredi. Le contrôleur vous propose trois paramètres pour les trames de gestion protégées : désactivé, optionnel et obligatoire, et chaque appareil présent sur ce SSID en ressentira l'impact dès lundi matin. Si vous le paramétrez de manière trop souple, les déconnexions falsifiées fonctionnent toujours. Si vous le paramétrez de manière trop stricte, les imprimantes, scanners et ordinateurs portables plus anciens du bâtiment ne se connecteront pas du tout. Ce guide traite ce choix pour ce qu'il est réellement : une décision d'application par SSID avec un coût de compatibilité que vous pouvez planifier.
Rôle des Protected Management Frames
Sur un WLAN encombré, un appareil peut perdre sa connexion sans que personne n'ait touché à son mot de passe ou compromis son chiffrement. La cause peut être une trame de gestion falsifiée, un message radio qui ordonne à l'appareil de se déconnecter. Les Protected Management Frames (PMF) permettent d'éviter que ce type de message soit accepté comme authentique.
La vulnérabilité que le PMF est conçu pour combler
Les trames de gestion transportent les instructions qui établissent, maintiennent et mettent fin à une connexion sans fil. Elles ne transportent pas l'e-mail, le dossier médical ou l'appel vidéo lui-même. Avant le PMF, un attaquant situé à portée radio pouvait forger un message de désauthentification ou de désassociation. Un appareil recevant ce message pouvait quitter le réseau, même si son trafic utilisateur chiffré n'avait pas été compromis.
Le PMF provient de l'amendement IEEE 802.11w, publié en 2009, qui traitait de la falsification des trames de gestion, en particulier les messages qui déconnectent de force les utilisateurs légitimes, comme décrit dans la présentation de la Wi-Fi Alliance sur les trames de gestion protégées. Il ajoute des contrôles d'intégrité et une authentification d'origine au trafic de contrôle protégé. Le point d'accès ou le client peut vérifier qui a envoyé un message protégé et rejeter celui qui échoue au contrôle, au lieu d'y donner suite aveuglément.
Les trames de gestion unicast protégées peuvent également être chiffrées, gardant les instructions individuelles privées et vérifiées. Le PMF couvre les trames de désauthentification et de désassociation, ainsi que les trames d'action utilisées pour la mesure radio, l'accusé de réception de bloc, la transition Fast BSS, la gestion du spectre et la qualité de service. Ces messages peuvent mettre fin à une session, signaler des conditions radio, confirmer des blocs de données, prendre en charge le passage à un autre point d'accès ou gérer le trafic voix et vidéo.
Ce que PMF n'est pas
Le PMF protège le trafic de contrôle, pas les données utilisateur. Il fonctionne aux côtés de WPA2 ou WPA3, plutôt que de remplacer l'authentification, le chiffrement ou l'autorisation. La Wi-Fi Alliance décrit le PMF comme un moyen de lutter contre les attaques par déconnexion, honeypot et evil-twin. Il n'établit pas l'identité d'un utilisateur et ne décide pas qui peut accéder au réseau.
Le PMF est un contrôle complémentaire. Votre authentification décide de qui est autorisé à entrer, votre chiffrement protège les données, et le PMF protège les instructions qui maintiennent la session active.
Le point d'accès et le client doivent tous deux prendre en charge le PMF, et le paramètre s'applique séparément à chaque SSID chiffré. Cela fait de l'application une décision réseau par réseau, et non un interrupteur unique pour l'ensemble du site. Les réseaux en mode transition autorisent souvent le PMF sans l'exiger, de sorte que les anciens clients peuvent toujours se connecter. Le compromis est que les clients incapables d'utiliser le PMF ne bénéficient pas de sa protection sur ce SSID. Prenez en compte la diversité des clients et les exigences d'itinérance du réseau avant de choisir le niveau d'obligation à appliquer.
Choisir entre le mode Désactivé, Optionnel ou Requis
Le PMF fonctionne selon l'un des trois modes par WLAN, et ce mode détermine qui reste connecté et qui reste exposé. Utilisez ce tableau comme référence avant de modifier un profil de production.
| Mode | Ce qui se passe | Impact sur les anciens équipements | Exposition à la falsification de désauthentification | Idéal pour |
|---|---|---|---|---|
| Désactivé | Pas de protection des trames de gestion | Se connecte partout | Exposition totale | Réseaux anciens isolés destinés à être retirés |
| Optionnel | PMF utilisé uniquement lorsque le client et le WLAN le prennent en charge tous les deux | Les anciens équipements continuent de se connecter | Exposé pour les clients non-PMF | SSID de transition WPA2 et WPA3 |
| Obligatoire | Association uniquement avec les clients compatibles PMF | Échec de connexion pour les équipements incompatibles | Protégé pour chaque client associé | SSID WPA3 uniquement et SSID à haute garantie |
Désactivé
L'option Désactivé ne vous offre aucune protection et aucun coût de compatibilité. Chaque client qui pouvait se connecter auparavant peut toujours le faire, et chaque trame de désauthentification falsifiée qui fonctionnait auparavant fonctionne toujours. Ne conservez ce paramètre que pour un réseau hérité isolé que vous avez segmenté, documenté et auquel vous avez attribué une date de retrait. S'il n'y a pas de date, l'état désactivé devient lentement permanent.
Optionnel
En mode optionnel, un client n'utilise le PMF que lorsque le WLAN et le client le prennent tous deux en charge. Les appareils plus anciens conservent ainsi leur connectivité, mais les associations non-PMF restent exposées aux attaques par falsification de trames de gestion. C'est le compromis réaliste durant la transition. Vos téléphones et ordinateurs portables récents sont protégés, vos anciens appareils continuent de fonctionner, et vous ne devez pas présenter le SSID comme totalement protégé sans préciser à quels clients cela s'applique.
Obligatoire
En mode requis, l'association n'est autorisée que lorsque le client négocie le PMF. C'est le paramètre approprié pour les SSIDs WPA3 uniquement et les environnements à haute sécurité, mais les anciens équipements incompatibles ne pourront pas se connecter. Il ne s'agit pas d'un mode dégradé. L'appareil ne se connectera pas à un niveau de sécurité inférieur, il restera hors du SSID jusqu'à ce que vous corrigiez le pilote, mettiez à jour le micrologiciel ou le déplaciez ailleurs.
Deux points techniques piègent souvent les administrateurs. Premièrement, le guide de configuration 802.11w de Cisco indique comme prérequis que la PMF optionnelle ou obligatoire nécessite du WPA avec une configuration appropriée d'authentification et de gestion des clés, en activant l'élément d'information RSN parallèlement à un chiffrement AES. Si vos paramètres de chiffrement ou RSN ne sont pas alignés, le mode ne fonctionnera pas comme indiqué. Deuxièmement, la documentation technique Xerox avertit qu'une incompatibilité entre les paramètres du réseau et de l'appareil peut causer des échecs de communication, et note que WPA3 Personal et WPA3 Enterprise utilisent généralement la PMF comme obligatoire, tandis que les configurations de transition peuvent la laisser optionnelle.
Règle par défaut : Obligatoire sur les SSID WPA3 exclusifs et à haute sécurité, optionnel sur les SSID mixtes WPA2 et WPA3 pendant la transition, désactivé uniquement sur les réseaux hérités isolés ayant une date de fin de vie définie.
Si vous évaluez cela par rapport à l'architecture globale de votre authentification, le choix du modèle d'authentification d'entreprise va de pair avec le mode PMF, et il est judicieux de passer en revue vos options de configuration WPA Enterprise avant de verrouiller l'un ou l'autre paramètre. Traitez ces deux décisions ensemble et vous éviterez d'imposer le PMF sur un SSID dont les clients n'ont jamais été évalués à cet effet.
Pourquoi PMF est important pour l'itinérance et les attaques de désauthentification
Une trame de désauthentification falsifiée peut forcer un client à proximité à se déconnecter d'un point d'accès. Le client tente alors de se reconnecter, et des trames falsifiées répétées peuvent l'empêcher de se stabiliser. Les utilisateurs subissent des coupures WiFi en apparence aléatoires, tandis que le support technique constate un problème de connexion sans défaillance évidente de couverture.
À quoi ressemblent les disruptions en pratique
Une tablette médicale peut perdre sa connexion lorsqu'un praticien se déplace entre les chambres. Des étudiants peuvent perdre leur accès pendant un cours. Dans les deux cas, le chiffrement peut rester intact et les mots de passe confidentiels, mais le service est tout de même perturbé. Le PMF permet à une station ou à un point d'accès de rejeter les instructions falsifiées en vérifiant que les messages de gestion protégés sont authentiques.
L'itinérance rend ces trames importantes pour bien plus que les simples déconnexions. Lorsqu'un téléphone se déplace entre plusieurs points d'accès, les trames d'action Fast BSS Transition aident à coordonner le transfert. Si un attaquant falsifie ou perturbe ces messages, un appel peut saccader ou s'interrompre pendant que l'utilisateur se déplace dans un couloir. Le PMF protège les trames d'action pertinentes, notamment celles utilisées pour les mesures radio, l'accusé de réception de bloc, la gestion du spectre et les opérations de qualité de service. L'appareil récepteur peut ainsi vérifier les instructions de transfert au lieu de les accepter aveuglément.
Le profil standard et ses limites
Le paramètre SSID est une décision propre à chaque réseau. Sur un SSID utilisé pour l'itinérance, évaluez la protection ajoutée par le PMF par rapport à la capacité de chaque client à s'associer et à effectuer des transferts avec ce paramètre. Cela compte également pour Passpoint : la méthode d'authentification n'élimine pas la nécessité de vérifier la compatibilité PMF sur les clients qui rejoindront le réseau.
Pour les détails sur l'algorithme, consultez les instructions de configuration 802.11w PMF de Cisco. La limite pratique est tout aussi importante : la protection des trames de gestion ne prévient pas à elle seule toutes les attaques de désauthentification. Conservez la surveillance radio et la prévention des intrusions sans fil dans la conception de votre sécurité, et planifiez le PMF aux côtés de l'authentification et de la surveillance dans une stratégie de sécurité WiFi d'entreprise.
Les PMF protègent le trafic de gestion sur la liaison sans fil. Les données des visiteurs doivent également être protégées lorsqu'elles circulent au-delà du point d'accès. L'article TLS et IPsec pour les données des visiteurs explique les protocole qui aident à sécuriser ce trafic.
Impacts sur la compatibilité par classe d'appareil
La question que vos utilisateurs poseront est plus simple que la norme. Quels appareils cesseront de fonctionner ? La réponse dépend de l'endroit où le support PMF réside réellement. Il est négocié entre le point d'accès et le pilote WiFi ainsi que le supplicant du client, donc un point d'accès compatible PMF ne garantit rien à lui seul. Un ordinateur portable doté d'un ancien pilote peut échouer sur un SSID auquel un téléphone plus récent se connecte sans problème.
| Classe d'appareil | Prise en charge PMF typique | Risque si défini sur obligatoire | Paramètre suggéré |
|---|---|---|---|
| Téléphones et ordinateurs portables modernes compatibles WPA3 | Généralement prise en charge | Faible | Obligatoire sur les SSID WPA3 |
| Ordinateurs portables et téléphones WiFi 5 avec pilotes de l'ère WPA2 | Souvent prise en charge, dépend du pilote | Moyen | Optionnel sur les SSID mixtes, mettre à jour les pilotes |
| Capteurs IoT et prises connectées plus anciens, WPA2 uniquement | Fréquemment non prise en charge | Élevé | SSID distinct ou PSK d'identité |
| Imprimantes et scanners anciens | Souvent non prise en charge | Élevé | Connexion filaire ou SSID dédié aux équipements anciens |
| Scanners portables avec un ancien firmware | Dépend du firmware | Moyen à élevé | Tester le firmware avant d'appliquer l'obligation |
Considérez ces lignes comme des schémas typiques, et non comme des garanties. Confirmez chaque modèle par rapport à la documentation du fournisseur et à votre propre inventaire, car deux appareils de la même classe peuvent se comporter différemment après une mise à jour de pilote. Le tableau vous indique où chercher en premier. Vos tests d'association vous révèleront la réalité.
La règle d'association enterprise
Pour les réseaux 802.1X, la négociation est explicite. L'organisme britannique de réseaux pour l'éducation Jisc précise que WPA3-Enterprise exige le PMF en mode WPA3-Enterprise exclusif, où le point d'accès annonce la capacité Management Frame Protection Required et où une station compatible doit négocier le PMF lors de l'association, comme indiqué dans la doc orientative WPA3, Wi-Fi 6E et eduroam de Jisc. Si la station ne peut pas le négocier, l'association ne se produit pas.
Cela est particulièrement pertinent si vous exploitez eduroam ou un autre réseau basé sur des certificats, car le WPA3-Enterprise peut évoluer à partir du WPA2-Enterprise tout en conservant l'authentification par certificat. Vos certificats peuvent être parfaits alors qu'un demandeur vieillissant échoue toujours avec le PMF. Validez à la fois les points d'accès et les demandeurs clients avant d'imposer la règle, puis surveillez les échecs d'association et votre inventaire d'équipements existants après le changement.
Soyez attentif au symptôme classique. Un appareil continue de se connecter sans problème à l'ancien SSID mais ne rejoint jamais le nouveau, sans erreur évidente de mot de passe ou de certificat. Ce schéma pointe vers une incompatibilité de fonctionnalités plutôt que vers un problème d'identifiants.
S'il se connecte à l'ancien réseau et refuse silencieusement le nouveau, vérifiez la prise en charge du PMF avant de réémettre le moindre certificat.
Ce signal doit vous inciter à inventorier correctement l'ensemble du parc avant de modifier quoi que ce soit d'autre. Procéder par devinettes à ce stade ne fait que déplacer le problème de votre groupe pilote à l'ensemble du bâtiment.
Comment déployer le PMF requis étape par étape
Suivez ces étapes dans l'ordre, car chacune d'elles protège la suivante. Ignorer l'inventaire pour gagner une journée se traduit généralement par une semaine de tickets inexpliqués par la suite.
Inventoriez chaque équipement sur le SSID cible. Enregistrez le modèle, le système d'exploitation, la version du pilote WiFi et le micrologiciel de chacun, car le prend en charge PMF dépend souvent du pilote plutôt que du badge matériel. Signalez tout ce que vous ne pouvez pas identifier, car ce sont les équipements inconnus qui vous surprennent lors de l'application.
Confirmez les prérequis du contrôleur. Vérifiez que le WLAN prend en charge PMF avec un chiffrement AES et l'élément d'information RSN activé, car les modes optionnel et obligatoire dépendent des deux. Faites cela avant le pilote afin de tester le comportement du client et non de chercher une erreur de profil.
Créez un SSID pilote défini sur optionnel. Alignez exactement son authentification sur celle de la production, de sorte que la seule variable testée soit PMF. Les utilisateurs ne doivent encore rien remarquer, et c'est tout l'intérêt. Vous rassemblez des preuves, vous n'annoncez pas un changement.
Déplacez un groupe de test sur le pilote pendant au moins une semaine de travail. Choisissez des ordinateurs portables et des téléphones d'entreprise qui itinèrent réellement dans le bâtiment, puis enregistrez quotidiennement les échecs d'association et les pertes d'itinérance. Un équipement qui reste sur un seul bureau toute la semaine ne prouve pas grand-chose sur le comportement de Fast BSS Transition.
Corriger, séparer, puis appliquer
Réglez ce que vous pouvez et séparez ce que vous ne pouvez pas. Appliquez d'abord les mises à jour de pilotes et de micrologiciels, retestez chaque équipement et placez le matériel hérité véritablement irremplaçable sur un SSID segmenté distinct avec des contrôles réseau plus stricts. Ne faiblissez pas le SSID principal pour accommoder une seule imprimante.
Passez le SSID de production en obligatoire. Appliquez-le à votre SSID WPA3 ou à haute assurance, conservez les SSID mixtes en optionnel, et vérifiez chaque groupe de points d'accès par rapport au même profil. Un groupe laissé sur l'ancien paramètre crée la panne exaspérante où un équipement fonctionne à la réception et échoue à l'étage.
Surveillez pendant deux semaines après l'application. Observez les échecs d'association et les pertes d'itinérance, et comparez-les avec vos journaux pilotes. Si un groupe d'équipements critiques échoue, faites marche arrière en modifiant le paramètre PMF unique plutôt qu'en reconstruisant le WLAN.
Pourquoi procéder à un seul changement à la fois est essentiel : Lorsque le PMF est le seul paramètre modifié, le retour en arrière se limite à un réglage sur un seul profil. Si vous modifiez le chiffrement, l'authentification et le PMF simultanément, vous ne saurez jamais lequel a bloqué les lecteurs d'imagerie.
Conservez le SSID pilote actif après le lancement officiel. Il deviendra votre banc d'essai pour le prochain renouvellement d'équipements, la prochaine version de firmware et le prochain SSID que vous prévoyez de faire passer d'optionnel à obligatoire. Un déploiement que vous pouvez répéter sereinement a bien plus de valeur qu'une modification héroïque le temps d'un week-end auquel plus personne ne veut toucher.
Dépannage des connexions échouées après l'activation du PMF
La plupart des échecs après l'activation des PMF ne sont pas dus à une sécurité défaillante. Ce sont des problèmes d'incompatibilité : un client ne prenant pas en charge les PMF, un profil WLAN qui diffère entre des groupes de points d'accès, des paramètres d'itinérance en désaccord ou une mise à jour de firmware qui a modifié une valeur par défaut sans préavis. Commencez par le symptôme le plus visible.
| Symptôme | Cause probable | Solution |
|---|---|---|
| L'appareil me refuse la connexion à un SSID obligatoire | Le client n'a pas de prise en charge PMF ou son pilote l'a désactivée | Mettre à jour le pilote ou déplacer l'appareil vers un SSID optionnel |
| L'appareil se connecte sur un point d'accès mais pas sur les autres | Paramètres PMF différents selon les profils de contrôleur ou les groupes d'AP | Aligner le profil WLAN sur chaque groupe d'AP |
| Déconnexions répétées pendant l'itinérance | Désaccord sur les paramètres de transition rapide entre le client et le WLAN | Vérifier les paramètres 802.11r et examiner les journaux d'itinérance du client |
| Des échecs apparaissent après une mise à jour du firmware | La mise à jour du fournisseur a modifié le mode PMF par défaut | Vérifier à nouveau le paramètre de sécurité WLAN après chaque mise à jour |
Ordre de diagnostic à suivre
Vérifiez d'abord le client. Confirmez la prise en charge du PMF par l'appareil et la version du pilote actuellement exécutée, et non celle déployée au trimestre dernier. Un seul ordinateur portable ayant manqué une mise à jour peut générer des tickets qui ressemblent à une panne d'infrastructure.
Comparez ensuite le profil WLAN entre les groupes de contrôleurs. Exportez le profil de sécurité et vérifiez que le mode PMF, le chiffrement et l'authentification correspondent sur chaque groupe de points d'accès desservant ce SSID. Les dérives de profil expliquent la plupart des échecs dépendants de l'emplacement, où le même appareil fonctionne dans une partie du bâtiment et échoue dans une autre.
Examinez les journaux d'itinérance pendant le transfert défaillant. Si l'appareil s'associe correctement lorsqu'il est immobile mais décroche lorsqu'il se déplace, vérifiez vos paramètres de transition rapide 802.11r et les décisions d'itinérance du client au moment de l'échec. Le PMF protège les trames de transition, donc un désaccord à ce niveau se traduit par une itinérance qui ne se termine jamais.
Deux causes moins évidentes méritent d'être examinées. Les profils Passpoint configurés avec des paramètres de sécurité anciens peuvent se connecter puis se déconnecter, car le profil présent sur l'appareil ne correspond plus à ce que le WLAN attend désormais. La prise en charge par le contrôleur de la modification d'autorisation RADIUS affecte également la réauthentification, de sorte qu'une session qui échoue après un changement de politique peut ne pas être du tout due à un défaut de PMF.
Avant tout changement, conservez une exportation de la configuration effectuée avant de commencer. Un retour en arrière devient alors une simple restauration au lieu d'une après-midi passée à reconstruire les paramètres de mémoire. Vous saurez que vous avez résolu le problème lorsque votre groupe pilote produira un journal d'association propre pendant une journée de travail entière, y compris lors de la cohue du matin quand tout le monde arrive, passe d'une borne à l'autre et rejoint des appels en même temps. Ne criez pas victoire après un test effectué un dimanche calme.
Déploiements Passpoint, OpenRoaming et Purple
Les paramètres PMF ne fonctionnent pas de manière isolée. Ils définissent la manière dont les visiteurs et le personnel accèdent au réseau, en particulier lorsque la connexion doit s'effectuer automatiquement sans Captive Portal à chaque fois.
Passpoint, également appelé Hotspot 2.0 ou IEEE 802.11u, permet aux équipements de découvrir et de s'authentifier automatiquement auprès d'un réseau à l'aide de requêtes ANQP. Il fonctionne sur WPA2 ou WPA3-Enterprise, de sorte que le mode PMF sur ce WLAN façonne directement la manière dont la protection contre les trames falsifiées s'applique à ces connexions fluides. Un SSID Passpoint laissé sur optionnel protège uniquement les clients compatibles, exactement comme le ferait un SSID rejoint manuellement. Si vous planifiez ce parcours, examiner le fonctionnement de l'authentification et de l'itinérance Passpoint parallèlement à votre profil de sécurité WLAN vous aide à repérer les incohérences avant les visiteurs.
OpenRoaming repose sur des profils de type Passpoint, ainsi les appareils configurés via ce biais héritent du même chemin de sécurité que tout autre client Passpoint. Le profil sur l'appareil et le paramètre PMF sur votre WLAN doivent concorder. Si ce n'est pas le cas, la défaillance ressemble à un problème d'itinérance plutôt qu'à un paramètre de sécurité, c'est pourquoi les tests de profil doivent faire partie de votre pilote PMF et non intervenir après celui-ci.
Vérifications avant d'appliquer l'obligation sur un WLAN Passpoint
Avant d'imposer le PMF sur un WLAN Passpoint, ne vous limitez pas à vérifier le commutateur PMF. La compatibilité dépend de la prise en charge du RADIUS, du changement d'autorisation et du jardin captif dans le contrôleur du site. Une défaillance de l'un de ces éléments interrompra le parcours de l'utilisateur invité, quel que soit le bien-fondé de votre configuration PMF. Vérifiez les réponses ANQP, testez la réauthentification après une modification de stratégie et parcourez le site avec un appareil configuré pour confirmer que l'itinérance est maintenue entre les points d'accès.
La question du matériel est plus simple que ce que craignent de nombreux sites. Nous faisons fonctionner Purple sous forme de superposition cloud sur les points d'accès déjà possédés par le site, aucun remplacement d'équipement n'est donc nécessaire, et la modification du PMF s'effectue dans le profil WLAN de votre infrastructure existante. Cela signifie que votre pilote, votre retour en arrière et votre mise en application se déroulent tous sur le matériel que vous gérez déjà, tandis que la couche d'authentification se situe au-dessus.
Pour les appareils du personnel, le même principe s'applique. Le WiFi du personnel intègre les appareils des employés avec des certificats EAP-TLS gérés, il n'y a donc pas de phrase de passe partagée à renouveler après une modification de sécurité. Les certificats et le PMF résolvent des problèmes différents, l'identité et l'intégrité des trames de gestion, et ils s'associent parfaitement sur un SSID WPA3-Enterprise. Quelle que soit votre plateforme, confirmez le mode PMF prévu pour chaque SSID géré avec votre fournisseur avant de le passer en obligatoire, et enregistrez le paramètre convenu par SSID afin qu'une future reconstruction de profil ne l'annule pas silencieusement.
Appliquer le PMF en priorité sur les SSID à haute sécurité
Le PMF est un élément de la sécurité sans fil, et non un substitut au reste. Il protège les trames de gestion unicast et multicast spécifiées, mais il n'authentifie pas les utilisateurs, ne remplace pas le chiffrement WPA2 ou WPA3, ne détecte pas les points d'accès piratés et ne transforme pas un réseau invité ouvert en un réseau d'entreprise chiffré. Les directives britanniques identifient le WPA3 comme la norme privilégiée pour les nouveaux déploiements sans fil et distinguent les réseaux à mot de passe personnel des réseaux d'entreprise basés sur une authentification individuelle. Le mode Enterprise est particulièrement adapté aux organisations de plus grande taille et réglementées, comme le résume le guide des entreprises d'Irlande du Nord sur le Wi-Fi Protected Access.
Les couches qui comblent les failles restantes
- L'accès basé sur des certificats vérifie l'identité de l'appareil et de l'utilisateur ; le PMF ne le fait pas.
- L'isolation réseau entre les SSID invités, personnel et appareils limite ce qu'un client compromis ou obsolète peut atteindre.
- La détection des points d'accès malveillants aide à identifier les points d'accès d'un « evil twin » que le PMF ne peut pas éliminer des ondes.
- La surveillance des incidents liés aux échecs d'association et aux pics de désauthentification aide à distinguer les attaques des problèmes de configuration.
Planifiez le PMF par SSID, en évaluant l'exigence de sécurité par rapport aux appareils qui doivent se connecter. Le WPA3 devient la référence pour les appareils de la bande 6 GHz, ce qui rend les vérifications de compatibilité et la planification de la transition plus difficiles à différer. Sur les réseaux du personnel, Passpoint, xPSK, Certificate WiFi et WiFi via MDM offrent différentes méthodes de connexion, ce qui vous permet d'adapter l'authentification à la catégorie d'appareil au lieu d'imposer un parcours unique à chaque client.
Définissez le PMF requis sur les SSIDs WPA3-Enterprise et autres SSIDs à haute sécurité une fois votre pilote validé. Conservez les SSIDs en mode mixte sur optionnel pendant que vous planifiez le retrait des anciens appareils, et retirez le trafic du personnel de tout SSID ouvert. Enregistrez les résultats d'association par type d'appareil : cela vous donne la preuve des SSIDs qui peuvent passer en mode requis et des endroits où les clients plus anciens engendrent encore un coût de compatibilité.
Purple fournit des certificats EAP-TLS gérés pour le WiFi du personnel, évitant ainsi une phrase secrète partagée devant être renouvelée. Son WiFi invité et son accès personnel fonctionnent sur une plateforme cloud via les points d'accès existants de l'établissement. Pour planifier un déploiement adapté à votre matériel et à votre fournisseur d'identité, visitez Purple.
