Mise en œuvre de WPA3-Enterprise pour une sécurité WiFi renforcée

Implémentation de WPA3-Enterprise pour une sécurité sans fil renforcée. Un briefing technique de Purple WiFi. Bienvenue dans la série de briefings techniques Purple. Aujourd'hui, nous allons droit au but : WPA3-Enterprise - ce que cela signifie concrètement pour votre réseau, pourquoi le timing est crucial en ce moment même, et comment passer de votre situation actuelle à une infrastructure sans fil entièrement conforme et évolutive. Si vous gérez un groupe hôtelier, un parc de points de vente, un centre de conférences ou un établissement du secteur public, ce briefing vous est destiné. Nous ne allons pas nous attarder sur la théorie académique. Nous allons parler de décisions concrètes, de configurations réelles et de résultats tangibles. WPA3-Enterprise est devenu une exigence obligatoire pour les appareils Wi-Fi CERTIFIED en 2020, et pourtant, la majorité des environnements d'entreprise fonctionnent toujours sous WPA2. Cet écart représente votre exposition au risque. La norme PCI-DSS 4.0, entrée pleinement en vigueur en mars 2024, fait explicitement référence à des normes d'authentification plus strictes. Les obligations du GDPR en matière de protection des données dès la conception sont de plus en plus interprétées comme incluant la sécurité au niveau de la couche réseau. La période où l'on considérait WPA3 comme une simple option facultative est révolue. Entrons dans le vif du sujet. Alors, qu'est-ce qui change réellement avec WPA3-Enterprise ? Commençons par la couche d'authentification. WPA2-Enterprise s'appuie sur la norme IEEE 802.1X avec EAP - Extensible Authentication Protocol - et cette partie ne change pas avec WPA3. Ce qui change, c'est tout ce qui l'entoure. La négociation (handshake), le chiffrement et la protection des trames de gestion. Sous WPA2, la négociation en quatre étapes utilisée pour dériver les clés de session est vulnérable aux attaques par dictionnaire hors ligne. Un attaquant capture la négociation, l'analyse hors ligne et la compare à une liste de mots de passe. C'est la base de l'attaque KRACK - Key Reinstallation Attack - révélée en 2017. WPA3 remplace cela par SAE - Simultaneous Authentication of Equals - qui est un échange de clés basé sur Diffie-Hellman. La différence fondamentale est que SAE assure une confidentialité persistante. Même si un attaquant capture chaque paquet d'une session et compromet ultérieurement une clé à long terme, il ne peut pas déchiffrer rétroactivement cette session. Chaque session possède ses propres clés éphémères. Du côté du chiffrement, WPA2 utilise CCMP-128 - Counter Mode with Cipher Block Chaining Message Authentication Code Protocol - basé sur AES-128. WPA3-Enterprise impose GCMP-256 - Galois Counter Mode Protocol avec des clés de 256 bits - pour son mode de sécurité 192 bits. C'est le mode que vous devez privilégier pour tout environnement traitant des données sensibles : dossiers de santé, données de cartes de paiement, informations gouvernementales. Il y a ensuite les trames de gestion protégées - PMF - définies par la norme IEEE 802.11w. Sous WPA2, PMF est facultatif. Sous WPA3, il est obligatoire. Les trames de gestion sont les signaux de contrôle qui gèrent l'association, la désassociation et l'authentification entre les clients et les points d'accès. Sans PMF, un attaquant peut usurper des trames de désauthentification - forçant les clients à se déconnecter du réseau - dans le cadre d'une attaque par déni de service ou en prélude à une attaque de type de l'homme du milieu. L'obligation du PMF élimine complètement ce vecteur d'attaque.Passons maintenant à la configuration du serveur RADIUS. C'est ici que la plupart des déploiements réussissent ou échouent. Votre serveur RADIUS - qu'il s'agisse de Microsoft NPS, FreeRADIUS, Cisco ISE ou Aruba ClearPass - doit être configuré pour prendre en charge EAP-TLS comme méthode d'authentification principale pour WPA3-Enterprise. EAP-TLS utilise une authentification mutuelle basée sur des certificats. Le client présente un certificat, le serveur présente un certificat, et les deux se valident mutuellement. Il n'y a aucun mot de passe dans cet échange. Cela élimine entièrement les attaques basées sur les identifiants. L'infrastructure de certificats - votre PKI - est l'épine dorsale de ce système. Vous avez besoin d'une autorité de certification, qu'elle soit interne à l'aide de Microsoft Active Directory Certificate Services ou d'un service PKI basé sur le cloud. Chaque appareil client doit recevoir un certificat, généralement via votre plateforme MDM - Intune, Jamf ou similaire. Le serveur RADIUS a besoin de son propre certificat de serveur provenant d'une autorité de certification en laquelle vos clients ont confiance. Et vous avez besoin d'un point de terminaison OCSP ou CRL pour que les clients puissent valider la révocation des certificats en temps réel. Pour les environnements où le déploiement complet de EAP-TLS n'est pas immédiatement réalisable - par exemple si vous avez un mélange d'appareils gérés et non gérés - EAP-TTLS ou PEAP avec MSCHAPv2 reste une option à titre de mesure transitoire. Mais je veux être direct : les méthodes EAP basées sur des identifiants sont une étape de transition, pas une destination. Le niveau de sécurité de EAP-TLS est catégoriquement supérieur, et votre feuille de route doit viser cet objectif. Un dernier point sur l'aspect technique : le mode de transition. La plupart des contrôleurs sans fil modernes prennent en charge le mode de transition WPA3, qui permet aux clients WPA2 et WPA3 de s'associer simultanément au même SSID. C'est votre chemin de migration. Vous activez le mode de transition, vous validez que les clients WPA3 s'authentifient correctement, vous surveillez vos journaux, puis - une fois que vous avez confiance dans le parc de clients - vous passez au WPA3-only. N'essayez pas de faire une transition brutale le premier jour. Le mode de transition existe précisément pour éviter ce risque. Laissez-moi maintenant vous présenter les trois modes de défaillance les plus courants que je constate dans les déploiements de WPA3-Enterprise, et comment les éviter. Premièrement : la gestion du cycle de vie des certificats. Les organisations déploient une PKI, émettent des certificats, puis oublient que ces certificats expirent. L'expiration d'un certificat sur votre serveur RADIUS interrompra l'authentification de chaque client sur votre réseau simultanément. Vous avez besoin d'un renouvellement automatisé, d'alertes de surveillance à 90 jours, 60 jours et 30 jours avant l'expiration, et d'un plan de renouvellement testé. Ce n'est pas facultatif. J'ai vu de grands groupes hôteliers perdre tout accès sans fil professionnel parce qu'un certificat RADIUS avait expiré pendant un week-end prolongé. Deuxièmement : les hypothèses de compatibilité des clients. Tous les appareils de votre parc ne prendront pas en charge le WPA3. Les anciens appareils IoT - systèmes de gestion technique de bâtiment, terminaux de point de vente plus anciens, certains systèmes de vidéosurveillance - peuvent ne prendre en charge que le WPA2 ou même le WPA. La réponse réside dans la segmentation du réseau. Placez vos appareils d'entreprise compatibles WPA3 sur un SSID uniquement WPA3. Placez vos anciens appareils IoT sur un VLAN séparé et isolé avec WPA2, avec des règles de pare-feu strictes empêchant tout mouvement latéral. Ne compromettez pas la posture de sécurité de votre réseau principal pour accommoder des appareils obsolètes. Troisièmement : la redondance du serveur RADIUS. Un serveur RADIUS unique est un point de défaillance unique. Dans un déploiement multi-sites - une chaîne de magasins de 200 points de vente, par exemple - vous avez besoin au minimum d'un serveur RADIUS principal et d'un secondaire, avec un basculement configuré au niveau du contrôleur sans fil. Testez votre basculement. Testez-le activement. Simulez une panne du RADIUS principal pendant une fenêtre de maintenance et confirmez que les clients s'authentifient auprès du secondaire dans le respect de votre seuil de tolérance de délai d'attente. Pour les environnements de l'hôtellerie et de la restauration en particulier - pour quiconque exploite une plateforme WiFi pour invités - vous faites face à un double défi réseau. Votre réseau d'entreprise transporte les appareils du personnel et les systèmes de back-office, et il devrait être configuré en WPA3-Enterprise avec EAP-TLS. Votre réseau invités est un problème totalement différent, généralement géré via un Captive Portal avec authentification par réseaux sociaux ou e-mail. Il s'agit de SSIDs distincts, de VLANs distincts et de politiques de sécurité distinctes. Ne les confondez pas. Quelques questions qui me sont régulièrement posées. Dois-je acheter de nouveaux points d'accès ? Probablement pas. La plupart des points d'accès fabriqués après 2019 prennent en charge le WPA3 via une mise à jour du firmware. Vérifiez les notes de version de votre fournisseur. Ruckus, Cisco Meraki, Aruba et Ubiquiti prennent tous en charge le WPA3 dans leurs firmwares actuels. Combien de temps prend un déploiement complet ? Pour un parc de vente au détail de 50 sites disposant déjà d'un MDM et d'Active Directory, prévoyez 12 à 16 semaines. La mise en place de la PKI et le déploiement des certificats constituent la phase la plus longue. Combien cela coûte-t-il ? Les composants d'infrastructure - RADIUS, PKI, MDM - sont probablement déjà en votre possession. Le coût supplémentaire correspond aux services professionnels pour la configuration et les tests, en plus des éventuels coûts de mise à jour du firmware ou de remplacement des points d'accès. Pour la plupart des organisations, la simple atténuation des risques de conformité justifie l'investissement. Le WPA3 affecte-t-il le débit ? De manière négligeable. Le GCMP-256 est efficace sur le plan informatique. En pratique, vous ne remarquerez aucune différence de débit sur du matériel moderne. Pour conclure : le WPA3-Enterprise n'est pas une considération future. C'est une exigence actuelle pour toute organisation soucieuse de la sécurité du réseau, de la conformité réglementaire et de la protection des données des personnes qui fréquentent vos établissements. Vos prochaines étapes immédiates : auditez les versions actuelles du firmware de vos points d'accès et confirmez la prise en charge du WPA3. Évaluez votre niveau de préparation PKI - disposez-vous d'une autorité de certification interne ou devez-vous en créer une ? Passez en revue la configuration et la redondance de votre serveur RADIUS. Et cartographiez votre parc d'appareils clients afin d'identifier les anciens appareils qui devront être segmentés.La plateforme de Purple s'intègre directement à votre infrastructure sans fil pour fournir la couche d'analyse et de gestion au-dessus de la fondation de votre réseau sécurisé. Que vous gériez un groupe hôtelier, une chaîne de magasins ou un site public, l'association de WPA3-Enterprise pour votre réseau d'entreprise et d'une couche WiFi invité correctement sécurisée vous apporte à la fois la posture de sécurité et l'intelligence des données dont votre entreprise a besoin. Merci de votre écoute. Si vous souhaitez approfondir l'un de ces sujets - authentification par certificat, configuration RADIUS ou architecture de réseau invité - le guide écrit complet est disponible sur le site web de Purple, ainsi que notre bibliothèque plus large de documents de référence technique. À la prochaine fois.