Votre routeur avec WPS présente-t-il un risque pour la sécurité ?

Connecter des appareils sans fil à un réseau WiFi était historiquement frustrant pour les utilisateurs finaux qui devaient localiser et saisir de longues phrases secrètes complexes. Pour résoudre cette friction, la Wi-Fi Alliance a introduit le WiFi Protected Setup (WPS) en 2007. Conçu pour simplifier l'intégration via des déclencheurs par bouton-poussoir ou un PIN à 8 chiffres, le WPS a été largement adopté par les routeurs grand public. Cependant, ce qui semblait être une facilité d'utilisation pratique a introduit une faille de sécurité fondamentale qui continue de compromettre les réseaux commerciaux et d'entreprise aujourd'hui.

Qu'est-ce que le WPS et pourquoi a-t-il été créé ?

Lors de l'expansion des réseaux WiFi domestiques et professionnels au milieu des années 2000, la connexion d'équipements tels que les imprimantes sans fil, les écrans intelligents et les appareils mobiles s'est avérée fastidieuse. Les utilisateurs saisissaient souvent de mauvais mots de passe WPA2 ou éprouvaient des difficultés à accéder aux panneaux d'administration.

Le WiFi Protected Setup a été conçu pour normaliser l'accès des clients via quatre méthodes simples :

• Méthode du code PIN : L'appareil client saisit un code PIN numérique à 8 chiffres imprimé sur l'autocollant du routeur ou généré par logiciel.
• Configuration par bouton-poussoir (PBC) : L'utilisateur appuie sur un bouton physique ou virtuel à la fois sur le routeur et sur l'appareil client dans un intervalle de deux minutes pour établir la connexion.
• Technologie NFC (Near Field Communication) : Le rapprochement physique d'un appareil client à proximité immédiate d'un routeur compatible NFC transfère automatiquement les identifiants.
• Méthode de la clé USB : Les identifiants sont enregistrés sur une clé USB et transférés manuellement d'un équipement à l'autre (obsolète depuis longtemps en raison des risques physiques liés aux logiciels malveillants).

Bien que le mécanisme de bouton-poussoir offrait une sécurité physique modérée, le mécanisme de code PIN à 8 chiffres était obligatoire sur tous les matériels certifiés WPS. Cette exigence obligatoire de code PIN a créé une vulnérabilité absolue sur des millions de sites de déploiement WiFi.

Pourquoi l'authentification par code PIN WPS est une faille de sécurité majeure

La principale faiblesse d'un routeur doté du WPS provient de la manière dont le routeur vérifie le code PIN à 8 chiffres. Plutôt que de valider les huit chiffres comme un numéro unique de 100 millions de combinaisons, le protocole d'authentification évalue le code PIN en deux moitiés distinctes :

• Première moitié (chiffres 1 à 4) : Le routeur valide les quatre premiers chiffres de manière indépendante et répond par un paquet EAP-NACK s'ils sont incorrects. Cela limite la première étape à seulement 10 000 combinaisons possibles (0000 à 9999).
• Seconde moitié (chiffres 5 à 8) : Le dernier chiffre est une somme de contrôle calculée à partir des sept chiffres précédents. Par conséquent, le routeur ne vérifie que les chiffres 5, 6 et 7, ce qui nécessite au maximum 1 000 combinaisons (000 à 999).

En divisant le processus de vérification, le protocole réduit la complexité totale d'une attaque par force brute de 100 000 000 de possibilités à seulement 11 000 tentatives au total (10 000 + 1 000). Des outils de test d'intrusion automatisés comme Reaver, Bully et PixieWPS exploitent cette faille structurelle pour deviner chaque combinaison, extrayant la phrase secrète WPA/WPA2 active en moins de deux heures.

Attaque par PIN WPS vs sécurité d'entreprise standard WPA2/WPA3

La comparaison de l'authentification par code PIN WPS avec les modèles de sécurité WiFi d'entreprise standards illustre le grave écart en matière de résilience opérationnelle :

Risques commerciaux réels liés à l'activation du WPS

Pour les espaces commerciaux modernes - y compris les chaînes de magasins, les établissements hôteliers, les structures de santé et les bureaux multi-locataires - l'utilisation de matériel avec le WPS activé introduit de graves risques opérationnels pour l'entreprise :

1. Intrusion non autorisée sur le réseau visiteurs

Des attaquants situés sur les parkings des sites ou dans des bureaux adjacents peuvent exécuter des scripts automatisés de brute-force WPS contre les points d'accès à proximité. Une fois le code PIN piraté, l'attaquant reçoit la phrase secrète en texte clair du réseau, ce qui lui octroie un accès persistant au trafic WiFi interne.

2. Mouvement latéral vers les réseaux POS et administratifs

Si le trafic invité n'est pas isolé sur un VLAN dédié avec des listes de contrôle d'accès (ACL) strictes, les routeurs WPS compromis permettent aux attaquants de scanner les sous-réseaux internes. Les attaquants peuvent alors cibler les terminaux de point de vente (POS), les systèmes de gestion des stocks et les serveurs d'entreprise.

3. Non-conformité réglementaire et sanctions financières

Laisser des failles de protocole connues et non corrigées actives sur des réseaux commerciaux enfreint les mandats de sécurité stricts de la norme PCI-DSS (Exigence 1.2 et Exigence 2.2) et du GDPR. Les audits de sécurité menés à la suite d'un incident de données pénaliseront les organisations qui ne désactivent pas les protocoles obsolètes.

Comment trouver et désactiver le WPS sur les routeurs commerciaux

La sécurisation de l'infrastructure réseau de l'entreprise nécessite d'auditer les points d'accès sans fil existants et de désactiver complètement la fonctionnalité WPS sur tous les contrôleurs matériels.

Étape 1 : Vérifier la présence de boutons WPS physiques

Inspectez les points d'accès existants et le châssis des routeurs pour repérer un bouton WPS physique ou une icône avec deux flèches incurvées. Bien que le matériel d'entreprise dispose rarement de boutons physiques, les routeurs des petites entreprises sont souvent livrés avec le WPS activé par défaut.

Étape 2 : Connectez-vous au tableau de bord administrateur du routeur

1. Ouvrez un navigateur connecté au réseau local et accédez à l'adresse IP de la passerelle (généralement 192.168.1.1, 192.168.0.1 ou l'URL de la console de gestion du fournisseur).
2. Authentifiez-vous à l'aide des identifiants d'administrateur. Si les identifiants par défaut n'ont pas été modifiés, mettez-les à jour immédiatement pour empêcher tout accès non autorisé.

Étape 3 : Désactiver le code PIN WPS et les paramètres du bouton-poussoir

1. Accédez aux Paramètres sans fil, à la Configuration du WLAN ou aux Options de sécurité.
2. Localisez le bouton bascule ou la case à cocher WiFi Protected Setup (WPS).
3. Réglez le bouton bascule sur Désactivé ou Désactivé. Assurez-vous que l'authentification par PIN et la configuration par bouton-poussoir sont toutes deux désactivées.
4. Enregistrez les modifications de configuration et redémarrez le point d'accès pour appliquer la nouvelle politique de sécurité.

Pour une gouvernance technique complète de votre infrastructure sans fil d'entreprise, consultez notre guide de sécurité WiFi d'entreprise de référence.

Alternatives d'entreprise modernes au WPS

Les opérations commerciales modernes exigent un accès sécurisé et fluide pour les visiteurs, les employés et le matériel IoT, sans dépendre de clés partagées statiques ou de protocoles de codes PIN défaillants :

• Portails captifs cloud : Authentifiez les visiteurs via des portails de connexion web personnalisables proposant la connexion via les réseaux sociaux, la vérification par SMS ou l'inscription par formulaire web, tout en isolant le trafic des invités sur des VLAN sécurisés. Découvrez tous les principes de conception dans notre guide du Captive Portal.
• Identity PSK (iPSK) : Générez des clés prépartagées uniques et individuelles pour des appareils ou des utilisateurs spécifiques. Si une phrase secrète est compromise, les administrateurs informatiques révoquent cette seule clé sans perturber le reste du site.
• WPA3-Enterprise & 802.1X : Utilisez des certificats numériques (EAP-TLS) et des fournisseurs d'identité cloud (Microsoft Entra ID, Okta, Google Workspace) pour une authentification sans contact des ordinateurs portables des collaborateurs.

Questions fréquentes sur la sécurité du bouton WPS des routeurs

Le WPS est-il sûr à utiliser sur un réseau WiFi d'entreprise ?

Non. Le WPS contient des vulnérabilités de conception structurelle qui permettent à des outils automatisés de forcer le code PIN à 8 chiffres par brute-force en seulement quelques heures. La Wi-Fi Alliance a officiellement déprécié la méthode du code PIN WPS en 2011, et les cadres de sécurité imposent de désactiver le WPS sur tous les réseaux commerciaux.

Est-ce que la désactivation du WPS déconnecte les appareils WiFi existants ?

Non. La désactivation du WPS empêche uniquement les nouveaux appareils de se connecter via le code PIN WPS ou la méthode du bouton-poussoir. Tous les appareils existants connectés à l'aide de phrases secrètes standards WPA2 ou WPA3 restent entièrement connectés sans interruption.

Quelle est la différence entre le code PIN WPS et la configuration par bouton-poussoir (PBC) WPS ?

Le code PIN WPS nécessite la saisie d'un code numérique à 8 chiffres qui est vulnérable aux attaques de force brute à distance. La configuration par bouton-poussoir (PBC) du WPS nécessite d'appuyer physiquement sur un bouton du routeur dans un intervalle de deux minutes. Bien que la méthode PBC soit plus difficile à exploiter à distance, de nombreux routeurs laissent l'interface PIN active lorsque la méthode PBC est activée, maintenant ainsi la vulnérabilité sous-jacente exposée.

Quelle est la meilleure alternative au WPS pour un accès WiFi invité sécurisé ?

La référence absolue pour le WiFi invité commercial est un portail captif géré dans le cloud avec isolation automatisée des clients et contrôle de la bande passante. Pour le personnel et les appareils internes, l'authentification d'entreprise Identity PSK (iPSK) ou 802.1X offre une gestion transparente et individuelle des identifiants, sans les risques liés au partage de mots de passe.

---