Fondamentaux de la PKI pour les administrateurs WiFi : certificats, AC et chaînes de confiance
Ce guide de référence technique explique les concepts fondamentaux de l'infrastructure à clés publiques (PKI) pour les administrateurs WiFi d'entreprise, couvrant les autorités de certification, les chaînes de confiance et les certificats X.509. Il détaille comment la PKI sous-tend l'authentification mutuelle EAP-TLS et fournit des conseils de déploiement exploitables pour les équipes informatiques dans les secteurs de l'hôtellerie, du commerce de détail et du secteur public. La compréhension de la PKI est un prérequis obligatoire pour déployer l'authentification WiFi basée sur des certificats pour le personnel avec Purple.
Écouter ce guide
Voir la transcription du podcast
Résumé opérationnel
Pour les responsables informatiques, les architectes réseau et les directeurs des opérations sur site, la sécurisation des réseaux WiFi d'entreprise et du personnel est une exigence opérationnelle et de conformité essentielle. Les méthodes d'authentification héritées telles que les clés pré-partagées (PSK) ou le filtrage par adresse MAC sont insuffisantes pour les environnements d'entreprise modernes, laissant les réseaux vulnérables au vol d'identifiants et à l'usurpation d'appareils. Pour obtenir une sécurité robuste et auditable, les organisations doivent passer à une authentification basée sur des certificats — plus précisément EAP-TLS (Extensible Authentication Protocol-Transport Layer Security).
Le déploiement d'EAP-TLS nécessite une solide compréhension de l'infrastructure à clés publiques (PKI). Ce guide démystifie la PKI pour les administrateurs WiFi, en expliquant les rôles des autorités de certification (AC), les mécanismes de la chaîne de confiance et les différences pratiques entre les certificats de serveur et de client. En maîtrisant ces fondamentaux, les équipes informatiques peuvent concevoir et mettre en œuvre en toute confiance des solutions d'accès réseau sécurisées et évolutives dans les secteurs de l' hôtellerie , du commerce de détail et des espaces publics, garantissant ainsi la conformité avec des normes telles que PCI DSS et le GDPR tout en offrant une connectivité fluide et sans mot de passe pour les appareils gérés. La compréhension de la PKI est également le prérequis fondamental pour déployer l'authentification WiFi du personnel basée sur des certificats avec Purple.
Plongée technique
L'architecture de la confiance : qu'est-ce que l'infrastructure à clés publiques ?
L'infrastructure à clés publiques (PKI) est un cadre cryptographique qui permet une communication sécurisée et une authentification mutuelle sur un réseau non fiable. Dans le contexte du WiFi d'entreprise, la PKI agit comme un système de passeport numérique, vérifiant l'identité de l'appareil client (le supplicant) et du serveur d'authentification réseau (le serveur RADIUS) avant tout échange de données.
Ce système repose sur des certificats X.509, qui lient une clé publique à une identité vérifiée — comme le nom d'hôte d'un serveur ou l'adresse e-mail d'un utilisateur — et sont signés numériquement par un tiers de confiance appelé autorité de certification (AC). La signature de l'AC est la garantie cryptographique que la revendication d'identité est légitime.
La hiérarchie des certificats et la chaîne de confiance
La force de la PKI réside dans sa structure hiérarchique, appelée chaîne de confiance. Cette hiérarchie garantit que tout certificat présenté par un appareil ou un serveur peut être tracé cryptographiquement jusqu'à une source universellement approuvée. Les trois niveaux sont les suivants.
Autorité de certification racine (AC racine) : L'AC racine est l'ancre cryptographique de l'ensemble de l'écosystème PKI. Elle émet un certificat auto-signé et est intrinsèquement approuvée par les appareils clients et les serveurs. Dans un déploiement d'entreprise sécurisé, l'AC racine est conservée hors ligne et isolée physiquement pour protéger sa clé privée contre toute compromission réseau. Son unique but opérationnel est de signer les certificats des AC intermédiaires.
Autorité de certification intermédiaire (AC intermédiaire) : L'AC intermédiaire sert de tampon entre l'AC racine hautement sécurisée et l'environnement opérationnel. Elle est en ligne et gère l'émission et la révocation quotidiennes des certificats feuilles. Cette séparation est une stratégie essentielle de l'atténuation des risques : si une AC intermédiaire est compromise, elle peut être révoquée par l'AC racine sans invalider l'ensemble de l'infrastructure PKI ni nécessiter la reconfiguration de chaque appareil client.
Certificats feuilles (certificats d'entité finale) : Ce sont les certificats installés sur les serveurs individuels et les appareils clients. Ils se situent au bas de la chaîne de confiance et ne peuvent pas signer d'autres certificats eux-mêmes. Il en existe deux types principaux pertinents pour le déploiement WiFi. Le certificat de serveur est installé sur le serveur RADIUS, permettant aux appareils clients de vérifier qu'ils se connectent au réseau d'entreprise légitime. Le certificat client est installé sur les ordinateurs portables du personnel, les appareils mobiles ou les terminaux de point de vente, permettant au serveur RADIUS de vérifier l'identité de chaque appareil ou utilisateur spécifique.
Comment la PKI sous-tend l'authentification EAP-TLS
EAP-TLS est la référence absolue pour l'authentification WiFi sécurisée car il impose une authentification mutuelle basée sur des certificats. Cela signifie que l'appareil client et le serveur RADIUS doivent tous deux prouver leur identité l'un à l'autre à l'aide de certificats validés par rapport à la chaîne de confiance PKI — éliminant ainsi les risques inhérents aux approches basées sur les mots de passe.
Lors de l'établissement de liaison (handshake) EAP-TLS, qui fonctionne dans le cadre de la norme IEEE 802.1X, le serveur RADIUS présente d'abord son certificat de serveur à l'appareil client. L'appareil valide la signature du certificat par rapport à son magasin d'AC racines de confiance. S'il est valide, l'appareil dispose d'une preuve cryptographique qu'il se connecte au réseau d'entreprise légitime — et non à un point d'accès malveillant ou à un jumeau maléfique (evil twin). L'appareil client présente ensuite son propre certificat client au serveur RADIUS, qui le valide par rapport à l'AC. Une fois les deux parties authentifiées, un tunnel TLS sécurisé est établi et l'accès au réseau est accordé. Aucun mot de passe n'est transmis et aucun secret partagé n'existe pour être volé.
Cette architecture est également la base de WPA3-Enterprise, qui impose un mode de sécurité 192 bits et s'appuie sur les mêmes fondements PKI et 802.1X. Pour les organisations qui déploient des points d'accès sans fil dans des environnements hautement sécurisés, WPA3-Enterprise avec EAP-TLS représente la meilleure pratique actuelle.
AC publique vs AC privée : la décision de déploiement
L'une des l'une des décisions architecturales les plus cruciales lors d'un déploiement PKI est le choix entre une CA publique et une CA privée. Le tableau ci-dessous résume les compromis.
| Critère | CA publique | CA privée |
|---|---|---|
| Coût | Frais par certificat (viable pour un petit nombre de serveurs) | Coût d'infrastructure, mais pas de frais par certificat à grande échelle |
| Confiance des appareils | Approuvé par défaut sur la plupart des systèmes d'exploitation et appareils | Nécessite le déploiement de la CA racine sur tous les appareils via MDM |
| Contrôle | Limité ; la CA contrôle les politiques d'émission | Contrôle total sur l'émission, la révocation et le cycle de vie |
| Meilleur cas d'usage | Certificat de serveur RADIUS | Certificats clients pour les appareils d'entreprise gérés |
| Conformité | Auditable via les journaux publics de CT (Certificate Transparency) | Nécessite des processus d'audit interne |
L'approche recommandée pour la plupart des déploiements WiFi d'entreprise est un modèle hybride : utiliser une CA publique pour le certificat de serveur RADIUS afin de garantir une large compatibilité, et déployer une CA privée (telle que Microsoft Active Directory Certificate Services ou un fournisseur PKI basé sur le cloud) pour émettre des certificats clients pour les appareils gérés à grande échelle.
Guide d'implémentation
Étape 1 : Concevoir l'architecture de la CA
Commencez par cartographier vos besoins en matière de certificats. Identifiez le nombre d'appareils gérés, les systèmes d'exploitation utilisés et la plateforme MDM disponible. Déterminez si une hiérarchie à deux niveaux (CA racine + CA intermédiaire) ou à trois niveaux est adaptée à la taille et au profil de risque de votre entreprise.
Étape 2 : Déployer et sécuriser les CA racine et intermédiaire
Établissez la CA racine hors ligne sur une machine dédiée et isolée du réseau (air-gapped). Utilisez la CA racine pour signer le certificat de la CA intermédiaire. Assurez-vous que la CA intermédiaire est déployée de manière sécurisée dans votre centre de données ou votre environnement cloud et intégrée à votre fournisseur d'identité (IdP) ou à votre solution MDM. Stockez la clé privée de la CA racine dans un module de sécurité matériel (HSM) si le budget le permet.
Étape 3 : Configurer le serveur RADIUS
Installez le certificat de serveur sur votre serveur RADIUS. Configurez le serveur pour exiger l'EAP-TLS pour le SSID d'entreprise sécurisé. Assurez-vous que le serveur RADIUS fait confiance à la CA intermédiaire qui a émis les certificats clients, et configurez-le pour effectuer la vérification de révocation via OCSP.
Étape 4 : Distribuer les certificats via MDM
Ne tentez jamais d'installer manuellement des certificats à grande échelle. Utilisez une plateforme MDM telle que Microsoft Intune ou Jamf pour déployer le certificat de la CA racine, le certificat de la CA intermédiaire et les certificats clients uniques sur tous les appareils gérés via une politique automatisée. Cela garantit un déploiement cohérent et permet le renouvellement automatique.
Étape 5 : Implémenter et tester les mécanismes de révocation
Configurez les listes de révocation de certificats (CRL) ou le protocole d'état de certificat en ligne (OCSP). Testez le flux de travail de révocation de bout en bout en révoquant un certificat de test et en confirmant que le serveur RADIUS refuse l'accès dans le délai prévu. Pour les environnements nécessitant une révocation quasi instantanée — comme les réseaux de points de vente du Commerce de détail — l'OCSP est obligatoire.
Étape 6 : Surveiller et automatiser la gestion du cycle de vie
Mettez en œuvre une surveillance automatisée de l'expiration des certificats à tous les niveaux de la hiérarchie. Configurez des alertes à 90, 60 et 30 jours avant l'expiration. Automatisez le renouvellement à 60 jours. C'est l'étape opérationnelle la plus efficace pour prévenir les pannes de réseau.
Bonnes pratiques
Imposez l'authentification mutuelle sans exception : Assurez-vous que les appareils clients sont configurés pour valider strictement le certificat du serveur RADIUS. La désactivation de la validation du certificat du serveur — un raccourci courant lors du déploiement initial — laisse les appareils vulnérables aux attaques de l'homme du milieu et à la collecte d'identifiants, et enfreint les exigences de la norme PCI DSS.
Segmentez les réseaux par méthode d'authentification : Utilisez EAP-TLS pour les appareils de l'entreprise et du personnel sur un SSID dédié. Pour l'accès des visiteurs publics, déployez une solution robuste de Captive Portal comme Guest WiFi sur un réseau entièrement segmenté. Ne tentez pas de déployer une PKI sur des appareils invités non gérés.
Auditez régulièrement l'infrastructure PKI : Réalisez des audits trimestriels des contrôles d'accès de la CA, des listes de révocation et des journaux d'émission de certificats. Dans les secteurs de la Santé et du Commerce de détail , il s'agit d'une exigence de conformité respectivement sous HIPAA et PCI DSS.
Intégrez l'analyse réseau : Une fois l'authentification sécurisée en place, ajoutez WiFi Analytics pour obtenir une visibilité sur le comportement des appareils, les schémas de connexion et les anomalies potentielles. Un réseau sécurisé est le fondement de données fiables.
Envisagez l'intégration SD-WAN : Pour les déploiements multisites dans les chaînes hôtelières ou les parcs de commerces de détail, la PKI s'intègre naturellement aux architectures SD-WAN. Pour comprendre comment ces technologies se complètent, consultez Les principaux avantages du SD-WAN pour les entreprises modernes .
Dépannage et atténuation des risques
Le tableau ci-dessous associe les modes de défaillance courants à leurs causes racines et aux atténuations recommandées.
| Symptôme | Cause racine | Atténuation |
|---|---|---|
| Les appareils ne peuvent pas se connecter ; les journaux RADIUS affichent 'Unknown CA' | L'appareil client ne fait pas confiance à la CA qui a émis le certificat du serveur RADIUS | Déployez la CA racine sur tous les appareils via MDM |
| Panne soudaine sur l'ensemble du réseau pour tous les appareils d'entreprise | Le certificat du serveur RADIUS ou le certificat de la CA intermédiaire a expiré | Mettez en œuvre une surveillance et un renouvellement automatisés ; alerte à 90/60/30 jours |
| Un ordinateur portable volé peut toujours accéder au réseau | La CRL est obsolète ou l'OCSP n'est pas configuré | Passez à l'OCSP pour une vérification de révocation en temps réel |
| Les nouveaux appareils ne peuvent pas se connecter après l'enrôlement MDM | Le certificat client n'a pas encore été déployé par la politique MDM | Vérifiez l'attribution de la politique MDM et forcez une synchronisation de l'appareil |
| Échecs d'authentification intermittents | Décalage d'horloge entre le client et le serveur RADIUS | Assurez-vous que tous les appareils utilisent la synchronisation temporelle NTP |
Pour une compréhension plus approfondie de la configuration et du dépannage de 802.1X, le guide Authentification 802.1X : Sécuriser l'accès réseau sur les appareils modernes fournit des conseils de configuration détaillés et indépendants des fournisseurs.
ROI & impact commercial
La transition vers une architecture EAP-TLS reposant sur une PKI offre une valeur commerciale mesurable pour les exploitants de sites, et ce à plusieurs niveaux.
Atténuation des risques et conformité : L'élimination de l'authentification par mot de passe supprime le vecteur d'attaque le plus courant pour la compromission du réseau. Cela réduit directement la probabilité de violations de données coûteuses et simplifie la conformité avec PCI DSS (requis pour le traitement des paiements), GDPR (pour la protection des données) et les réglementations sectorielles. Pour les sites déployant des Capteurs IoT ou des systèmes de Guidage basés sur la localisation, un réseau sécurisé par cryptographie est un prérequis pour garantir l'intégrité des données de confiance.
Efficacité opérationnelle : L'automatisation du déploiement des certificats via MDM élimine la charge opérationnelle liée à la gestion des mots de passe, réduisant ainsi les tickets d'assistance informatique liés à la connectivité WiFi. Dans les environnements à forte rotation de personnel tels que l'hôtellerie et le commerce de détail, où l'intégration et le départ des employés sont fréquents, la délivrance et la révocation automatisées de certificats permettent de réaliser des gains de temps considérables par rapport à la gestion d'identifiants partagés.
Socle pour les services avancés : Un réseau d'entreprise sécurisé et authentifié constitue le socle de confiance sur lequel reposent les services opérationnels avancés. Qu'il s'agisse de déployer l'outil WiFi Analytics pour l'analyse de la fréquentation, des Capteurs pour les données d'occupation en temps réel ou du Guidage pour les grands espaces, chacune de ces fonctionnalités bénéficie des garanties d'intégrité offertes par la PKI.
Pour les exploitants du secteur de l' Hôtellerie en particulier, la combinaison d'un réseau sécurisé pour le personnel et d'un portail invité bien conçu — comme détaillé dans Des solutions WiFi hôtelières modernes que vos clients méritent — représente l'architecture WiFi d'entreprise complète. Pour les hubs de Transport et les grands espaces publics, les mêmes principes s'appliquent à grande échelle.
Définitions clés
Infrastructure à clés publiques (PKI)
Un ensemble de rôles, de politiques, de matériels, de logiciels et de procédures nécessaires pour créer, gérer, distribuer, utiliser, stocker et révoquer des certificats numériques et gérer le chiffrement à clé publique.
L'architecture fondamentale qui doit être en place avant qu'une équipe informatique puisse déployer une authentification WiFi sécurisée et basée sur des certificats à l'aide d'EAP-TLS.
Autorité de certification (AC)
Une entité de confiance qui émet des certificats numériques, vérifiant l'identité du sujet du certificat et liant cette identité à une clé publique à l'aide d'une signature cryptographique.
L'autorité centrale de votre réseau qui fait office de source de vérité pour toutes les identités d'appareils et de serveurs. Sans une AC de confiance, aucune authentification basée sur des certificats n'est possible.
Certificat X.509
Le format standard pour les certificats à clé publique, défini dans la RFC 5280. Il contient l'identité du sujet, la clé publique, l'identité de l'émetteur, la période de validité et la signature numérique de l'AC.
Le véritable passeport numérique installé sur un ordinateur portable ou un serveur qui prouve son identité lors de l'établissement de liaison (handshake) EAP-TLS.
EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)
Une méthode d'authentification 802.1X qui nécessite une authentification mutuelle basée sur des certificats entre l'appareil client (supplicant) et le serveur d'authentification (RADIUS). Définie dans la RFC 5216.
La méthode la plus sécurisée pour authentifier les appareils d'entreprise sur un réseau WiFi. Elle élimine le besoin de mots de passe et fournit une preuve cryptographique d'identité pour les deux parties.
Chaîne de confiance
Une séquence hiérarchique de certificats utilisée pour authentifier une entité, commençant par le certificat final (feuille) et remontant à travers l'AC intermédiaire jusqu'à l'AC racine.
Le mécanisme par lequel un ordinateur portable vérifie que le certificat d'un serveur RADIUS est légitime. Chaque maillon de la chaîne est validé jusqu'à ce qu'une AC racine de confiance soit atteinte.
Liste de révocation de certificats (CRL)
Une liste publiée périodiquement de certificats numériques qui ont été révoqués par l'AC émettrice avant leur date d'expiration prévue et qui ne doivent plus être considérés comme fiables.
Un mécanisme pour bloquer l'accès des appareils perdus ou volés. Les CRL sont mises en cache et mises à jour selon un calendrier, ce qui signifie que la révocation peut ne pas être immédiate — une limitation résolue par l'OCSP.
Online Certificate Status Protocol (OCSP)
Un protocole Internet (RFC 6960) utilisé pour obtenir le statut de révocation en temps réel d'un certificat numérique X.509 en interrogeant le répondeur OCSP de l'AC.
Le mécanisme de révocation privilégié pour les environnements hautement sécurisés. Il permet au serveur RADIUS de vérifier la validité du certificat en temps réel lors de chaque tentative d'authentification, offrant ainsi une application quasi instantanée de la révocation.
RADIUS (Remote Authentication Dial-In User Service)
Un protocole réseau qui fournit une gestion centralisée de l'authentification, de l'autorisation et de la comptabilité (AAA) pour les utilisateurs et les appareils se connectant à un réseau.
Le serveur central dans un déploiement WiFi d'entreprise qui valide les certificats et prend la décision finale de contrôle d'accès. Le serveur RADIUS est le cœur opérationnel d'un déploiement EAP-TLS.
IEEE 802.1X
Une norme IEEE pour le contrôle d'accès réseau basé sur les ports (PNAC) qui fournit un mécanisme d'authentification pour les appareils souhaitant se connecter à un réseau local (LAN) ou sans fil (WLAN).
Le cadre global dans lequel fonctionne EAP-TLS. La compréhension de la norme 802.1X est essentielle pour configurer les points d'accès et les commutateurs afin d'appliquer l'authentification basée sur des certificats.
Mobile Device Management (MDM)
Une plateforme logicielle utilisée par les administrateurs informatiques pour gérer, configurer et sécuriser à distance les appareils mobiles et les ordinateurs portables au sein d'une organisation.
L'outil opérationnel indispensable pour déployer des certificats à grande échelle. Les plateformes MDM telles que Microsoft Intune et Jamf automatisent la distribution des certificats d'AC racine, d'AC intermédiaire et des certificats clients à tous les appareils gérés.
Exemples concrets
Un hôtel de luxe de 500 chambres à Londres doit sécuriser son réseau WiFi pour le personnel, destiné aux tablettes du service d'étage et aux terminaux de point de vente (POS). Actuellement, ils utilisent une clé pré-partagée (PSK) unique qui n'a pas été renouvelée depuis trois ans et qui est connue de l'ensemble du personnel permanent et temporaire. Le directeur informatique a été chargé de passer à une architecture basée sur des certificats avant le prochain audit PCI DSS. Comment cette transition doit-elle être abordée ?
Phase 1 — Conception de l'architecture : Déployer une PKI privée basée sur le cloud (par exemple, Microsoft NDES via Intune, ou un fournisseur de PKI cloud dédié) intégrée à la plateforme MDM de l'hôtel. Obtenir un certificat de serveur RADIUS auprès d'une AC publique telle que DigiCert.
Phase 2 — Déploiement de l'infrastructure : Configurer le serveur RADIUS avec le nouveau certificat de serveur et activer EAP-TLS sur un nouvel SSID masqué destiné aux appareils du personnel. Configurer l'OCSP pour la vérification de la révocation en temps réel.
Phase 3 — Enrôlement des appareils : Utiliser la plateforme MDM pour pousser l'AC racine privée, l'AC intermédiaire et les certificats clients uniques sur toutes les tablettes du service d'étage et les terminaux POS. Vérifier l'installation réussie des certificats sur un groupe pilote de 20 appareils avant le déploiement complet.
Phase 4 — Migration et démantèlement : Migrer tous les appareils vers le nouvel SSID EAP-TLS via la politique MDM. Confirmer la connectivité sur tous les types d'appareils. Après une période de fonctionnement en parallèle de deux semaines, démanteler l'ancien réseau PSK.
Phase 5 — Transfert opérationnel : Documenter le cycle de vie des certificats, les procédures de révocation et les politiques MDM. Configurer des alertes d'expiration automatisées et planifier des audits PKI trimestriels.
Une chaîne nationale de vente au détail déploie EAP-TLS dans 200 magasins. Lors des tests pilotes dans cinq magasins, l'équipe informatique découvre que lorsqu'un ordinateur portable de directeur de magasin est signalé comme volé et que son certificat est révoqué dans le système PKI, l'appareil parvient toujours à s'authentifier avec succès sur le WiFi de l'entreprise jusqu'à 18 heures après la révocation. L'équipe de sécurité considère cela comme un risque inacceptable étant donné que l'appareil peut avoir accès aux systèmes de gestion des stocks. Comment ce problème doit-il être résolu ?
Le délai de 18 heures est dû au fait que le serveur RADIUS s'appuie sur une liste de révocation de certificats (CRL) mise en cache et téléchargée de manière peu fréquente. Les CRL sont généralement publiées selon un calendrier (par exemple, toutes les 24 heures) et mises en cache par le serveur RADIUS, ce qui signifie que la révocation n'est pas reflétée en temps réel.
La solution consiste à reconfigurer le serveur RADIUS pour utiliser le protocole OCSP (Online Certificate Status Protocol) comme mécanisme principal de vérification de la révocation. L'OCSP permet au serveur RADIUS d'interroger le répondeur OCSP de l'AC en temps réel lors de chaque établissement de liaison (handshake) EAP-TLS, recevant une réponse immédiate « valide », « révoqué » ou « inconnu » pour le certificat spécifique présenté.
Étapes de configuration : (1) S'assurer que l'AC privée est configurée avec un point de terminaison de répondeur OCSP. (2) Mettre à jour la configuration du serveur RADIUS pour interroger le point de terminaison OCSP à chaque tentative d'authentification. (3) Configurer l'agrafage OCSP (OCSP stapling) lorsqu'il est pris en charge afin de réduire la latence. (4) Tester en révoquant un certificat et en confirmant que le serveur RADIUS refuse l'accès dans les 60 secondes.
Questions d'entraînement
Q1. Votre organisation migre de PEAP-MSCHAPv2 (nom d'utilisateur et mot de passe) vers EAP-TLS pour le WiFi de l'entreprise. L'équipe réseau propose d'utiliser l'infrastructure existante des services de certificats Active Directory (AD CS) pour émettre des certificats à la fois pour les serveurs RADIUS et pour tous les ordinateurs portables de l'entreprise. Un membre de l'équipe fait remarquer que l'organisation dispose également de 50 ordinateurs portables de prestataires externes qui ne sont pas joints au domaine. Quel est le principal risque de compatibilité et comment doit-il être traité ?
Conseil : Réfléchissez à la manière dont les appareils non joints au domaine valideront l'identité du serveur RADIUS lorsque celui-ci présentera un certificat signé par votre AC racine AD CS privée.
Voir la réponse type
Le principal risque est que les 50 ordinateurs portables des prestataires non joints au domaine ne disposent pas de l'AC racine AD CS privée dans leur magasin de certificats de confiance. Lorsque le serveur RADIUS présentera son certificat de serveur lors de l'établissement de liaison EAP-TLS, ces appareils recevront une erreur « Certificat non approuvé » et ne parviendront pas à se connecter. La solution recommandée consiste à obtenir le certificat du serveur RADIUS auprès d'une AC publique (telle que DigiCert ou Sectigo) plutôt qu'auprès de l'AD CS privé. Les racines des AC publiques sont préinstallées dans les magasins de confiance de tous les principaux systèmes d'exploitation, garantissant ainsi la compatibilité avec les appareils joints et non joints au domaine. L'AD CS privé doit être conservé uniquement pour l'émission de certificats clients destinés aux appareils gérés et joints au domaine.
Q2. Lors d'un audit de conformité pour un grand groupement hospitalier du NHS, l'auditeur note que l'AC racine fonctionne comme une machine virtuelle dans le centre de données principal et est connectée en permanence au réseau interne de l'hôpital. L'auditeur signale cela comme une observation critique. Quel changement d'architecture doit être mis en œuvre, et pourquoi la configuration actuelle présente-t-elle un risque important ?
Conseil : Réfléchissez à ce qui arriverait à chaque certificat de l'organisation si la clé privée de l'AC racine était compromise par une attaque de ransomware ou une menace interne.
Voir la réponse type
L'AC racine doit être immédiatement mise hors ligne et isolée physiquement (air-gapped). La configuration actuelle présente un risque critique car la clé privée de l'AC racine est exposée à des attaques réseau, notamment des ransomwares, des déplacements latéraux à partir d'un compte de domaine compromis ou des menaces internes. Si la clé privée de l'AC racine est volée ou utilisée pour signer certificats malveillants, l'ensemble de l'infrastructure PKI — et donc chaque système authentifié par certificat au sein du groupement — est compromis. La récupération nécessiterait de révoquer l'AC racine et de réémettre chaque certificat de l'organisation, ce qui constituerait un événement opérationnel catastrophique. L'architecture correcte exige que l'AC racine ne soit mise sous tension que lors de la signature ou de la révocation d'un certificat d'AC intermédiaire, toute l'émission quotidienne étant gérée par une AC intermédiaire en ligne. La clé privée de l'AC racine doit être stockée dans un module de sécurité matériel (HSM).
Q3. Un grand exploitant de centre de conférences souhaite mettre en œuvre une authentification basée sur des certificats à la fois pour son personnel informatique permanent et pour les milliers d'exposants et de visiteurs qui assistent aux événements. Il vous demande de concevoir une infrastructure PKI unique pour desservir les deux groupes. Quelle est votre recommandation et pourquoi ?
Conseil : Réfléchissez à la faisabilité opérationnelle de la distribution de certificats à des milliers de visiteurs temporaires et non gérés qui assistent à un événement pour une seule journée.
Voir la réponse type
Vous devriez fortement déconseiller l'utilisation de la PKI et d'EAP-TLS pour les visiteurs publics et les exposants. L'authentification basée sur des certificats nécessite l'installation d'un certificat client et souvent d'un profil d'AC racine sur l'appareil de l'utilisateur final, ce qui est opérationnellement impossible pour des appareils temporaires non gérés et génère une expérience utilisateur extrêmement médiocre. EAP-TLS doit être strictement réservé au personnel informatique permanent utilisant des appareils d'entreprise gérés et enrôlés dans la plateforme MDM de l'organisation. Pour les exposants et les visiteurs, une solution de Captive Portal doit être déployée sur un SSID complètement distinct et isolé. Cette architecture à deux réseaux — EAP-TLS sécurisé pour le personnel, Captive Portal pour les invités — est la norme de l'industrie pour les exploitants de sites et correspond au modèle pris en charge par la plateforme de Purple.
Q4. Un responsable informatique d'une chaîne de vente au détail a déployé avec succès EAP-TLS dans l'ensemble des 150 magasins. Six mois plus tard, le serveur RADIUS de 12 magasins cesse simultanément d'accepter les connexions des clients. L'enquête révèle qu'aucune révocation de certificat n'a eu lieu. Quelle est la cause la plus probable et quel manquement dans les processus a permis que cela se produise ?
Conseil : Réfléchissez à ce que les 12 magasins concernés pourraient avoir en commun du point de vue des certificats, et quel événement pourrait provoquer des pannes simultanées.
Voir la réponse type
La cause la plus probable est que le certificat de l'AC intermédiaire — ou le certificat du serveur RADIUS — a expiré. Si les 12 magasins ont tous été configurés avec la même AC intermédiaire ou le même lot de certificats de serveur RADIUS émis en même temps, ils expireraient tous simultanément. Il s'agit d'un échec de la gestion du cycle de vie : l'organisation n'a pas mis en œuvre de surveillance ni d'alerte automatisées pour l'expiration des certificats. La résolution nécessite le renouvellement du ou des certificats expirés et la mise en œuvre immédiate d'une surveillance automatisée avec des alertes à 90, 60 et 30 jours avant l'expiration pour tous les certificats de la hiérarchie, y compris l'AC intermédiaire, le certificat du serveur RADIUS et l'AC racine.
Continuer la lecture de cette série
Staff WiFi Terms and Conditions: Legal and Compliance Essentials
Ce guide présente les aspects juridiques et techniques essentiels pour rédiger et appliquer les conditions d'utilisation du WiFi pour le personnel dans les établissements d'entreprise. Il détaille les éléments à inclure dans une charte d'utilisation acceptable (AUP), comment respecter les exigences du GDPR et de la norme PCI DSS, et comment déployer l'authentification basée sur l'identité et la segmentation du réseau pour protéger les actifs de l'entreprise. Les responsables informatiques, les équipes RH et les directeurs des opérations des hôtels, des chaînes de magasins, des stades et des organisations du secteur public y trouveront des conseils pratiques à mettre en œuvre dès ce trimestre.
Politiques WiFi pour le personnel du commerce de détail : Sécuriser les réseaux d'arrière-boutique
Ce guide présente les exigences techniques et politiques essentielles pour sécuriser les réseaux WiFi d'arrière-boutique dans le commerce de détail — de la segmentation VLAN et la conformité PCI DSS 4.0 à la gestion du BYOD des employés en magasin. Il offre aux responsables informatiques, architectes réseau et directeurs des opérations un plan d'action concret et neutre vis-à-vis des fournisseurs pour ce trimestre.
The Future of Wi-Fi Security: AI-Driven NAC and Threat Detection
Ce guide faisant autorité explore l'évolution de la sécurité Wi-Fi d'entreprise, du WPA2 hérité au contrôle d'accès réseau (NAC) basé sur l'IA et à la détection des menaces. Conçu pour les leaders informatiques, il fournit des stratégies de déploiement exploitables pour sécuriser les environnements à haute densité comme le commerce de détail, l'hôtellerie et les stades, en utilisant les réseaux basés sur l'identité de Purple.