Le WiFi dans les trains est-il sûr ? Ce que les passagers ferroviaires doivent savoir

Synthèse

Pour les responsables informatiques, les architectes réseau et les directeurs d'exploitation de sites, la question de savoir si le WiFi des trains est sûr n'est pas théorique : elle a des implications directes sur la politique des appareils d'entreprise, la sécurité de la flotte et la conception des infrastructures réseau ouvertes au public. En résumé, la plupart des réseaux WiFi ferroviaires fonctionnent comme des réseaux ouverts et non chiffrés au niveau de la couche de liaison, ce qui crée une surface d'attaque mesurable. Cependant, le risque est proportionnel et gérable avec les contrôles appropriés en place.

Ce guide couvre l'ensemble des aspects techniques : l'architecture des réseaux WiFi ferroviaires, les vecteurs de menace spécifiques introduits par les réseaux ouverts, ce que les opérateurs devraient déployer pour atténuer ces risques et ce que les équipes informatiques d'entreprise devraient imposer au niveau des terminaux. Nous examinons également comment des plateformes comme la solution Guest WiFi de Purple répondent aux exigences d'authentification, de conformité et d'analyse des déploiements de transport public à grande échelle. Que vous évaluiez le déploiement d'une nouvelle flotte ou que vous renforciez la politique de voyage de votre entreprise, ce guide vous fournit le cadre technique nécessaire pour prendre une décision éclairée.

Analyse technique approfondie : Comment fonctionne réellement le WiFi des trains

Comprendre la posture de sécurité du WiFi des trains commence par la compréhension de son architecture. Contrairement aux déploiements statiques dans les secteurs de l' Hôtellerie ou du Commerce de détail , les réseaux de trains sont des LAN mobiles qui doivent gérer en continu les transferts entre différentes connexions de raccordement tout en maintenant un réseau interne stable pour des centaines d'utilisateurs simultanés.

Le routeur d'accès mobile (MAR)

Au cœur de chaque déploiement WiFi de train se trouve le routeur d'accès mobile (MAR). Cet appareil renforcé, généralement monté dans la baie d'équipement du train, agrège plusieurs liaisons WAN — généralement deux connexions cellulaires 4G/5G ou plus de différents opérateurs pour la redondance, parfois complétées par du WiFi par satellite ou en bord de voie dans les gares. Le MAR présente un réseau interne unique et stable aux points d'accès destinés aux passagers, répartis dans les voitures. Les liaisons de raccordement cellulaires et satellites sont chiffrées au niveau de la couche opérateur, ce qui signifie que la voie de transit Internet n'est généralement pas la vulnérabilité. Le risque réside dans le premier saut.

Authentification système ouverte : La vulnérabilité principale

La plupart des réseaux WiFi ferroviaires utilisent l'authentification système ouvert (OSA). Il n'y a pas de clé pré-partagée WPA2 ou WPA3 car la distribution d'un mot de passe à des milliers de passagers de passage est impossible d'un point de vue opérationnel. Par conséquent, le trafic de radiofréquence entre l'appareil d'un passager et le point d'accès est transmis sans chiffrement au niveau de la couche de liaison. Tout appareil équipé d'un adaptateur WiFi configuré en mode promiscuous peut capturer ces paquets.

Les implications pratiques dépendent de ce qui est transmis. L'adoption généralisée de HTTPS signifie que la charge utile de la plupart du trafic web est protégée par le chiffrement TLS au niveau de la couche application. Un attaquant interceptant des paquets sur un réseau de train ouvert peut voir qu'une connexion a été établie avec un domaine particulier, mais ne peut pas lire le contenu de cette connexion si elle s'effectue via HTTPS. Cependant, les requêtes DNS — à moins que le DNS-over-HTTPS (DoH) ne soit configuré — sont transmises en clair, révélant la liste complète des domaines visités par un utilisateur. Le trafic HTTP hérité, qui existe toujours sur un nombre non négligeable de sites, expose l'intégralité de sa charge utile.

Vecteurs d'Attaque Actifs

L'écoute passive (sniffing) est la menace qui demande le moins d'effort. Les scénarios les plus dangereux impliquent des attaques actives.

L'attaque Evil Twin est la menace la plus pertinente sur le plan opérationnel dans les transports publics. Un attaquant déploie un point d'accès malveillant diffusant le même SSID que le réseau ferroviaire légitime. Les appareils configurés pour se connecter automatiquement aux réseaux connus peuvent se connecter au point d'accès malveillant plutôt qu'au point d'accès légitime. Une fois connecté, l'attaquant contrôle la passerelle et peut intercepter le trafic, présenter des pages de Captive Portal frauduleuses pour collecter des identifiants, ou injecter du contenu malveillant dans des réponses HTTP non chiffrées.

Les attaques de l'homme du milieu (MitM) peuvent être exécutées sur le réseau local via l'usurpation d'adresse ARP (ARP spoofing). Un attaquant situé sur le même sous-réseau diffuse de fausses réponses ARP, empoisonnant le cache ARP des autres appareils et redirigeant leur trafic via la machine de l'attaquant avant qu'il n'atteigne la passerelle légitime. Cette méthode est efficace même contre le trafic HTTPS si l'attaquant parvient à présenter un certificat frauduleux accepté par l'appareil de la victime.

Les attaques de pair à pair représentent un troisième vecteur qui est entièrement évitable au niveau de l'infrastructure. Si l'isolation des clients n'est pas configurée sur les points d'accès, chaque appareil connecté au sous-réseau WiFi du train peut communiquer directement avec tous les autres appareils. Un seul ordinateur portable compromis exécutant un scanner de réseau peut identifier et sonder les appareils des autres passagers à la recherche de ports ouverts et de vulnérabilités.

Le Rôle de la Sécurité au Niveau de la Couche Application

La couche de liaison n'étant pas chiffrée sur la plupart des réseaux ferroviaires, la charge de la sécurité est transférée aux couches application et transport. TLS 1.3, appliqué via le préchargement HSTS, offre une protection robuste pour le trafic web. Cependant, cela suppose que l'appareil client n'a pas été incité à faire confiance à une autorité de certification frauduleuse — un risque accru dans les scénarios d'Evil Twin. DNS-over-HTTPS et DNS-over-TLS protègent la confidentialité des requêtes. Un client VPN ou ZTNA chiffre tout le trafic au niveau de la couche 3, ce qui rend la vulnérabilité de la couche de liaison largement non pertinente.

Guide de mise en œuvre : Sécuriser le déploiement du WiFi ferroviaire

Pour les opérateurs qui déploient ou mettent à niveau le WiFi passager sur l'ensemble d'une flotte ferroviaire, ce qui suit représente la base de référence actuelle des meilleures pratiques. Cela s'applique également aux autres environnements de transport public à haute densité et est directement pertinent pour les déploiements du secteur des Transports pris en charge par Purple.

Étape 1 : Appliquer l'isolation des clients

Il s'agit de la modification de configuration la plus efficace pour tout réseau public. L'isolation des clients — parfois appelée isolation AP ou isolation des clients sans fil — empêche les appareils connectés au même point d'accès ou VLAN de communiquer directement entre eux. C'est une fonctionnalité standard sur tous les équipements sans fil de classe entreprise qui ne nécessite aucune licence supplémentaire. Chaque SSID public doit avoir l'isolation des clients activée. Il n'existe aucune raison opérationnelle valable de la laisser désactivée sur un réseau passager.

Étape 2 : Déployer l'authentification basée sur le profil

Remplacez les pages d'accueil basiques à simple clic par un véritable portail d'authentification qui associe la connexion à une identité vérifiée. Les options incluent la connexion via les réseaux sociaux (OAuth via Google, Facebook, Apple), l'intégration de comptes de fidélité ou la vérification par SMS. Les plateformes comme la solution de Guest WiFi de Purple gèrent ce flux d'authentification à grande échelle, offrant une capture de données conforme au GDPR, une gestion des sessions et une expérience de Captive Portal configurable. L'authentification basée sur le profil crée une piste d'audit, décourage les acteurs malveillants qui préfèrent l'anonymat et — ce qui est essentiel pour les opérateurs — génère les données passagers de première partie qui permettent un engagement ciblé et des analyses opérationnelles via la plateforme WiFi Analytics .

Étape 3 : Mettre en œuvre le filtrage de contenu basé sur le DNS

Configurez le DHCP pour attribuer un résolveur DNS de filtrage à tous les clients du réseau invité. Le filtrage basé sur le DNS bloque les domaines malveillants connus, les infrastructures de phishing et les serveurs de contrôle (C2) dès l'étape de résolution — avant même qu'une connexion ne soit établie. Il s'agit d'un contrôle léger et hautement efficace qui ne nécessite aucun agent sur le terminal et fonctionne sur tous les types d'appareils. Cela réduit également le risque que des appareils infectés par des logiciels malveillants utilisent le réseau passager pour communiquer avec des serveurs C2 externes.

Étape 4 : Publier et appliquer le SSID officiel

Communiquez le SSID correct de manière claire et cohérente — sur les fiches au dos des sièges, dans l'application de l'opérateur, sur le billet et sur la signalétique à bord. Certains opérateurs déploient des codes QR qui déclenchent une connexion réseau directe, contournant ainsi complètement l'écran de sélection du SSID et réduisant les risques d'attaques de type Evil Twin. Assurez-vous que le SSID est identique sur l'ensemble de la flotte afin de familiariser les passagers.

Étape 5 : Planifier la migration vers Hotspot 2.0 / OpenRoaming

Hotspot 2.0 (Passpoint) et le framework OpenRoaming représentent la prochaine génération de sécurité pour le WiFi public. Ces normes permettent aux appareils de s'authentifier automatiquement sur les réseaux publics à l'aide de la norme 802.1X, établissant ainsi une connexion cryptée WPA2 ou WPA3-Enterprise sans aucune interaction de l'utilisateur. L'expérience utilisateur est fluide — l'appareil se connecte automatiquement, comme il le ferait à un réseau cellulaire — mais la sécurité est de niveau entreprise, avec une authentification mutuelle et des clés de chiffrement par session. Les opérateurs doivent s'assurer que l'achat de nouveaux équipements inclut la certification Passpoint et que leur fournisseur d'identité prend en charge la fédération OpenRoaming.

Pour une analyse parallèle du déploiement sécurisé du WiFi dans un autre environnement public critique, consultez notre guide sur le WiFi dans les hôpitaux : Un guide pour des réseaux cliniques sécurisés et l'article associé Le WiFi des hôpitaux est-il sûr ? Ce que les patients et les visiteurs doivent savoir .

Bonnes pratiques pour les équipes informatiques d'entreprise

Pour les responsables informatiques chargés des collaborateurs en déplacement, le principe directeur est simple : considérez tous les réseaux publics comme des infrastructures hostiles. Votre niveau de sécurité ne doit pas dépendre de la qualité du réseau que vos collaborateurs utilisent.

VPN permanent ou ZTNA : Déployez un client VPN ou Zero Trust Network Access via MDM, configuré pour bloquer l'accès en cas d'échec. Si le tunnel sécurisé ne peut pas être établi, tout le trafic Internet est bloqué. Cela garantit que même si un collaborateur se connecte à un point d'accès malveillant, les données de l'entreprise sont cryptées de bout en bout avant d'atteindre le point d'accès. Le ZTNA est l'approche moderne privilégiée — il assure une vérification continue de l'identité et de l'état de l'appareil, et n'accorde l'accès qu'à des applications spécifiques plutôt qu'à l'ensemble du réseau de l'entreprise.

Désactiver la connexion automatique aux réseaux ouverts : Les politiques MDM doivent empêcher les appareils de se connecter automatiquement aux SSID ouverts. Exigez une action explicite de l'utilisateur pour rejoindre tout réseau public, réduisant ainsi le risque de connexions silencieuses à des réseaux Evil Twin.

Imposer le mode HTTPS uniquement : Les politiques des navigateurs doivent imposer le mode HTTPS uniquement, empêchant les connexions aux sites HTTP obsolètes qui exposeraient le trafic en clair. Segmenter les activités à haut risque : Formez les employés à utiliser leur connexion de données mobiles pour les transactions à haut risque — accès aux systèmes financiers, authentification sur des comptes privilégiés ou manipulation de documents sensibles. La connexion cellulaire fournit son propre chiffrement au niveau de la couche radio et ne partage pas de sous-réseau local avec des inconnus.

Sensibilisation au Certificate Pinning : Assurez-vous que les applications d'entreprise utilisent le certificate pinning (ancrage de certificat) dans la mesure du possible, afin de prévenir les attaques MitM qui reposent sur des certificats frauduleux.

Résolution des problèmes et atténuation des risques

Plusieurs modes de défaillance sont courants dans les déploiements de WiFi dans les transports publics. Les anticiper permet de réduire à la fois les risques de sécurité et les perturbations opérationnelles.

Prolifération des points d'accès malveillants (Rogue AP) : Dans les environnements à forte densité comme les gares et les quais, les points d'accès malveillants diffusant des SSID aux apparences légitimes constituent une menace persistante. Déployez des systèmes de prévention des intrusions sans fil (WIPS) dans les gares principales et les terminus pour détecter et signaler les points d'accès non autorisés. Certaines plateformes sans fil d'entreprise intègrent le WIPS en tant que fonctionnalité native.

Contournement du Captive Portal via l'usurpation d'adresse MAC : Les attaquants peuvent observer l'adresse MAC d'un appareil authentifié et l'usurper pour contourner le Captive Portal. Atténuez ce risque en mettant en place des délais d'expiration de session courts, en exigeant une réauthentification après une période d'inactivité définie et en utilisant l'autorisation dynamique basée sur RADIUS pour révoquer les sessions en cas de comportement anormal détecté.

Habituation des utilisateurs aux erreurs de certificat : Si les passagers rencontrent fréquemment des avertissements de certificat SSL sur le Captive Portal — généralement causés par l'interception des requêtes HTTPS par le portail avant l'authentification — ils s'habituent à ignorer les avertissements de sécurité. Assurez-vous que le domaine du Captive Portal utilise un certificat SSL valide et publiquement approuvé, et que le mécanisme de redirection du portail est correctement implémenté pour éviter de déclencher les avertissements de sécurité des navigateurs.

Interruptions lors du basculement de la liaison de raccordement (Backhaul) : Lorsqu'un train se déplace entre des zones de couverture cellulaire, le MAR peut brièvement perdre la connectivité. Pendant cette fenêtre, la résolution DNS peut échouer ou le trafic peut être abandonné. Assurez-vous que le Captive Portal et le système d'authentification gèrent ces interruptions de manière fluide, en évitant les situations où les utilisateurs sont déconnectés silencieusement et se reconnectent à un réseau différent (potentiellement malveillant).

Conformité au GDPR et à la rétention des données : Tout portail d'authentification qui capture des données de passagers — adresses e-mail, profils sociaux, identifiants d'appareils — doit être conforme aux réglementations applicables en matière de protection des données, y compris le GDPR au Royaume-Uni et dans l'UE. Assurez-vous que votre plateforme propose des politiques de rétention des données configurables, une gestion des consentements et la capacité de répondre aux demandes d'accès des personnes concernées. La plateforme Guest WiFi de Purple est conçue avec ces exigences de conformité comme fonctionnalités de base, et non comme une réflexion après coup.

ROI et impact commercial

Une infrastructure WiFi sécurisée et intelligente sur les réseaux ferroviaires n'est pas seulement un centre de coûts. Les opérateurs qui investissent dans une plateforme correctement déployée peuvent générer des retours mesurables sur plusieurs dimensions.

Données passagers et intelligence de première partie : L'authentification basée sur les profils génère un ensemble de données vérifiées et consenties sur la démographie, les habitudes de voyage et les préférences des passagers. Ces données — accessibles via la plateforme WiFi Analytics — sont directement applicables à la planification des services, aux communications ciblées et aux partenariats commerciaux avec les commerçants et annonceurs des gares. À mesure que la disparition des cookies tiers s'accélère, ces données de première partie deviennent de plus en plus précieuses.

Analyses opérationnelles : Au-delà du marketing, les données de connexion WiFi offrent un aperçu en temps réel et historique de l'utilisation des rames, des périodes de pointe et du flux de passagers dans les gares. Cela fait écho aux cas d'usage de positionnement intérieur et d'analyse décrits dans notre guide Indoor Positioning System: UWB, BLE, & WiFi Guide , et permet de prendre des décisions basées sur les données concernant les horaires, l'allocation du matériel roulant et la gestion de la capacité des gares.

Réduction des coûts de support : Un réseau WiFi passagers bien configuré, fiable et doté d'un parcours d'authentification clair réduit le volume de plaintes des passagers et de demandes de support liées à la connectivité. Les opérateurs disposant d'un WiFi de haute qualité le signalent systématiquement comme l'un des principaux moteurs de satisfaction des passagers.

Réduction des risques de conformité : Des réseaux correctement configurés avec isolation des clients, filtrage de contenu et traitement des données conforme au GDPR réduisent l'exposition de l'opérateur aux sanctions réglementaires et aux atteintes à la réputation liées aux incidents de sécurité. Le coût d'une seule violation de données ou d'une amende réglementaire dépasse généralement de loin l'investissement dans une infrastructure de sécurité adéquate.

Pour les opérateurs de secteurs adjacents envisageant des déploiements similaires, notre guide Your Guide to Enterprise In Car Wi Fi Solutions traite en détail des défis spécifiques aux déploiements de Wi-Fi embarqué.