WPA2 security auditor and enterprise migration matrix
Compare WPA2-Personal (PSK) against WPA2-Enterprise (802.1X / RADIUS), simulate exposure to cryptographic threats (KRACK, dictionary attacks, packet sniffing), and plan your zero-trust network migration.
WPA2-Personal relies on a static pre-shared key across all clients. Because the master key is shared, any user with the passphrase who captures a client four-way handshake can decrypt that client’s unicast traffic over the air. It is also vulnerable to offline PMKID dictionary cracking and KRACK key reinstallation.
Vulnerable to Message 3 replay during 4-way handshake, resetting nonce counter to zero.
The PMKID can be requested straight from the AP and cracked offline on a GPU rig, without waiting for a client to join.
Anyone with the shared PSK can calculate other clients pairwise keys and decrypt unicast airtime packets.
Rogue APs broadcasting the same SSID and PSK easily trick clients into association without mutual auth.
Upgrade your wireless network to zero-trust security
Purple integrates with leading enterprise wireless access points (Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist) to deliver seamless 802.1X RADIUS, Passpoint onboarding, and captive portal segmentation without replacing your hardware.
Le WPA2 est une norme de sécurité WiFi établie de longue date qui est devenue obligatoire pour les appareils certifiés WiFi de 2006 à 2020, et elle soutient encore 65 % du WiFi du secteur public dans la santé et les transports au Royaume-Uni. Elle utilise un chiffrement fort basé sur l'AES pour protéger le trafic, mais sa dépendance vis-à-vis de modèles d'authentification plus anciens, en particulier les mots de passe partagés, en fait un protocole hérité en 2026.
Si vous gérez le WiFi d'un hôtel, d'un parc de magasins, d'un hôpital, d'un pôle de transport ou d'un immeuble multi-locataires, le WPA2 n'est pas automatiquement une urgence. Cependant, s'appuyer sur des clés pré-partagées (PSK) partagées introduit des risques opérationnels et de sécurité qui nécessitent une remédiation moderne.
Qu'est-ce que la sécurité WiFi WPA2 ?
Le WPA2 (WiFi Protected Access 2) a été conçu pour remplacer le WEP et le WPA. Il a introduit le CCMP (Counter Mode Cipher Block Chaining Message Authentication Code Protocol), qui utilise un chiffrement AES 128 bits. Pendant deux décennies, le CCMP a assuré une confidentialité robuste des données sur les réseaux sans fil.
Le WPA2 fonctionne selon deux modes principaux :
- WPA2-Personal (WPA2-PSK) : Utilise un seul mot de passe partagé pour chaque client connecté. Il est facile à déployer mais crée un point de défaillance unique lorsque les identifiants sont partagés entre le personnel, les invités ou les sous-traitants.
- WPA2-Enterprise (802.1X) : Authentifie chaque utilisateur individuellement via un serveur RADIUS et des protocoles EAP (tels que EAP-TLS ou PEAP), en attribuant des clés de session uniques par client.
Le WiFi WPA2 est-il toujours sécurisé pour les réseaux d'entreprise ?
Bien que le chiffrement AES du WPA2 reste inviolable sur le plan cryptographique, le protocole souffre de deux vulnérabilités structurelles majeures :
- Attaques par dictionnaire hors ligne : WPA2-Personal utilise une poignée de main à 4 voies (4-way handshake) exposée à la capture passive. Les attaquants qui capturent cette poignée de main peuvent forcer la phrase de passe partagée hors ligne par brute-force, sans alerter les administrateurs réseau.
- KRACK (Key Reinstallation Attacks) : Découverte en 2017, la faille KRACK cible la poignée de main à 4 voies pour forcer la réutilisation du nonce, permettant ainsi aux attaquants de décrypter des paquets, d'injecter des données malveillantes ou de détourner des connexions TCP.
Dans les environnements d'entreprise, le principal défi est souvent le risque d'authentification plutôt que le risque de chiffrement pur. La gestion de mots de passe PSK partagés entre des centaines d'employés ou de visiteurs d'un site entraîne des fuites d'identifiants, des réinitialisations manuelles de mots de passe et une surcharge administrative.
Quelle est la différence entre la sécurité WPA2 et WPA3 ?
Le WPA3 introduit l'SAE (Simultaneous Authentication of Equals) pour remplacer la poignée de main en 4 étapes vulnérable des connexions basées sur mot de passe, offrant une confidentialité persistante et une protection contre les attaques par dictionnaire hors ligne, même avec des mots de passe faibles.
| Fonctionnalité | WPA2 Personnel (PSK) | WPA2 Enterprise (802.1X) | WPA3 Enterprise | Passpoint / OpenRoaming |
|---|---|---|---|---|
| Chiffrement | AES-CCMP (128 bits) | AES-CCMP (128 bits) | AES-GCMP-256 | AES-256 + WPA3 Enterprise |
| Authentification | Clé pré-partagée (PSK) | RADIUS / Certificats EAP | Suite EAP 192 bits | Fournisseur d'identité / Passpoint 3.0 |
| Risque de fuite d'identifiants | Élevé (secret partagé) | Faible (par utilisateur / certificat) | Faible (par utilisateur / certificat) | Nul (basé sur certificat) |
| Compatibilité héritée | Universelle (100 % des appareils) | Large | AP et clients modernes | Large (plus de 80 000 sites dans le monde) |
| Surcharge opérationnelle | Renouvellement élevé des mots de passe | Maintenance RADIUS modérée | Maintenance RADIUS modérée | Zéro réinitialisation manuelle de mot de passe |
Comment mettre à niveau la sécurité WPA2 sans remplacer le matériel réseau ?
Remplacer chaque point d'accès sur un parc multisite est rarement pratique ou nécessaire. Au lieu de cela, les leaders informatiques progressistes modernisent l'architecture d'authentification tout en conservant le matériel existant :
- Éliminez les clés PSK partagées pour le personnel : Passez l'authentification d'entreprise à un accès basé sur des certificats lié à Microsoft Entra ID, Okta ou Google Workspace.
- Isolez les anciens appareils IoT : Segmentez les anciens scanners, imprimantes ou terminaux hérités sur des VLAN isolés avec des règles de pare-feu strictes.
- Adoptez Passpoint 3.0 et OpenRoaming : Remplacez les portails captifs et les mots de passe partagés pour les visiteurs par un enregistrement automatique et chiffré du profil Passpoint.
- Automatisez la révocation du cycle de vie : Assurez-vous que l'accès au réseau est automatiquement révoqué lorsqu'un employé s'en va ou qu'un appareil n'est plus géré.
