Le WiFi dans les trains est-il sûr ? Ce que les passagers doivent savoir

Résumé opérationnel

Pour les responsables informatiques, les architectes réseau et les directeurs d'exploitation de sites, la question de savoir si le WiFi des trains est sécurisé n'est pas théorique - elle a des implications directes sur la politique de sécurité des terminaux de l'entreprise, la sécurité de la flotte et la conception des infrastructures réseau publiques. Pour faire simple, la plupart des réseaux WiFi à bord des trains fonctionnent comme des réseaux ouverts et non chiffrés au niveau de la couche de liaison, ce qui crée une surface d'attaque mesurable. Cependant, le risque est proportionnel et gérable si les contrôles appropriés sont mis en œuvre.

Ce guide couvre l'ensemble des aspects techniques : la conception des réseaux WiFi ferroviaires, les vecteurs de menace spécifiques introduits par les réseaux ouverts, ce que les opérateurs devraient déployer pour atténuer ces risques, et ce que les équipes informatiques d'entreprise devraient imposer au niveau des terminaux. Nous examinons également comment des plateformes comme la solution de Guest WiFi de Purple répondent aux exigences d'authentification, de conformité et d'analyse des déploiements de transport public à grande échelle. Que vous évaluiez le déploiement d'une nouvelle flotte ou que vous renforciez votre politique de déplacement professionnel, ce guide vous fournit le cadre technique nécessaire pour prendre une décision éclairée.

Deep-dive technique : Comment fonctionne réellement le WiFi ferroviaire

Comprendre la posture de sécurité du WiFi dans les trains commence par la compréhension de son architecture. Contrairement aux déploiements statiques dans les secteurs de l'Hôtellerie ou du Commerce de détail, les réseaux ferroviaires sont des LAN mobiles qui doivent gérer en permanence les transferts entre différentes connexions de collecte tout en maintenant un réseau interne stable pour des centaines d'utilisateurs simultanés.

Le routeur d'accès mobile (MAR)

Au cœur de chaque déploiement WiFi de train se trouve le routeur d'accès mobile (MAR). Cet appareil renforcé, généralement monté dans la baie d'équipement du train, agrège plusieurs liaisons WAN - généralement deux connexions cellulaires 4G/5G ou plus de différents opérateurs pour la redondance, parfois complétées par du satellite ou du WiFi de voie dans les gares. Le MAR présente un réseau interne unique et stable aux points d'accès faisant face aux passagers, répartis dans les voitures. Les liaisons de collecte cellulaires et satellites sont chiffrées au niveau de l'opérateur, ce qui signifie que le chemin de transit Internet n'est généralement pas la vulnérabilité. Le risque réside dans le premier saut.

Authentification système ouverte : La vulnérabilité principale

La plupart des réseaux WiFi de train utilisent l'authentification système ouverte (OSA). Il n'y a pas de clé pré-partagée WPA2 ou WPA3 car la distribution d'un mot de passe à des milliers de passagers de passage est impossible d'un point de vue opérationnel. La conséquence est que le trafic radiofréquence entre l'appareil d'un passager et le point d'accès est transmis sans chiffrement au niveau de la couche de liaison. N'importe quel appareil équipé d'un adaptateur WiFi placé en mode promiscuité peut capturer ces paquets.

L'adoption généralisée du protocole HTTPS signifie que le contenu de la plupart des trafics Web est protégé par le chiffrement TLS au niveau de la couche application. Un attaquant interceptant des paquets sur un réseau de train ouvert peut voir qu'une connexion a été établie avec un domaine particulier, mais ne peut pas lire le contenu de cette connexion s'il s'agit d'un protocole HTTPS. Cependant, les requêtes DNS - à moins que le DNS-over-HTTPS (DoH) ne soit configuré - sont transmises en clair, révélant la liste complète des domaines visités par un utilisateur. Le trafic HTTP historique, qui existe encore sur un nombre non négligeable de sites, expose l'intégralité de son contenu.

Vecteurs d'attaque active

L'écoute passive est la menace la plus simple à mettre en œuvre. Les scénarios les plus dangereux impliquent des attaques actives.

L'attaque Evil Twin est la menace la plus pertinente sur le plan opérationnel dans les transports publics. Un attaquant déploie un point d'accès malveillant diffusant le même SSID que le réseau de train légitime. Les appareils configurés pour se connecter automatiquement aux réseaux connus peuvent se connecter au point d'accès malveillant au lieu du point d'accès légitime. Une fois connecté, l'attaquant contrôle la passerelle et peut intercepter le trafic, présenter des pages de Captive Portal frauduleuses pour collecter des identifiants, ou injecter du contenu malveillant dans des réponses HTTP non chiffrées.

Les attaques de l'homme du milieu (MitM) peuvent être exécutées sur le réseau local via l'usurpation ARP. Un attaquant sur le même sous-réseau diffuse de fausses réponses ARP, empoisonnant le cache ARP des autres appareils et redirigeant leur trafic vers la machine de l'attaquant avant qu'il n'atteigne la passerelle légitime. Cela est efficace même contre le trafic HTTPS si l'attaquant peut présenter un certificat frauduleux accepté par l'appareil de la victime.

Les attaques peer-to-peer représentent un troisième vecteur qui peut être entièrement évité au niveau de l'infrastructure. Si l'isolation des clients n'est pas configurée sur les points d'accès, chaque appareil connecté au sous-réseau WiFi du train peut communiquer directement avec tous les autres appareils. Un seul ordinateur portable compromis exécutant un scanner de réseau peut identifier et analyser les appareils des autres passagers pour y trouver des ports ouverts et des vulnérabilités.

Le rôle de la sécurité de la couche application

Comme la couche de liaison n'est pas chiffrée sur la plupart des réseaux de train, la charge de sécurité est transférée aux couches application et transport. Le protocole TLS 1.3, appliqué via le préchargement HSTS, offre une protection solide pour le trafic Web. Cependant, cela suppose que l'appareil client n'a pas été incité à faire confiance à une autorité de certification frauduleuse - un risque qui est accru dans les scénarios de jumeau maléfique (Evil Twin). DNS-over-HTTPS et DNS-over-TLS protègent la confidentialité des requêtes. Un client VPN ou ZTNA chiffre tout le trafic au niveau de la couche 3, rendant la vulnérabilité de la couche de liaison largement non pertinente.

Guide de mise en œuvre : Sécuriser le déploiement du WiFi ferroviaire

Pour les opérateurs qui déploient ou mettent à niveau le WiFi passager sur une flotte ferroviaire, ce qui suit représente la référence actuelle des meilleures pratiques. Cela s'applique également aux autres environnements de transport public à haute densité et concerne directement les déploiements du secteur des Transports que Purple prend en charge.

Étape 1 : Imposer l'isolation des clients

Il s'agit du changement de configuration le plus important pour tout réseau public. L'isolation des clients - parfois appelée isolation AP ou isolation des clients sans fil - empêche les appareils connectés au même point d'accès ou VLAN de communiquer directement entre eux. C'est une fonctionnalité standard sur tous les équipements sans fil d'entreprise et elle ne nécessite aucune licence supplémentaire. Chaque SSID destiné au public doit avoir l'isolation des clients activée. Il n'existe aucune raison opérationnelle valable de la laisser désactivée sur un réseau passagers.

Étape 2 : Déployer l'authentification basée sur les profils

Remplacez les pages d'accueil basiques par un portail d'authentification digne de ce nom qui associe la connexion à une identité vérifiée. Les options incluent la connexion via les réseaux sociaux (OAuth via Google, Facebook, Apple), l'intégration de comptes de fidélité ou la vérification par SMS. Les plateformes telles que la solution de Guest WiFi de Purple gèrent ce flux d'authentification à grande échelle, offrant une collecte de données conforme au GDPR, une gestion des sessions et une expérience de Captive Portal configurable. L'authentification basée sur le profil crée une piste d'audit, décourage les acteurs malveillants qui préfèrent l'anonymat et - point essentiel pour les opérateurs - génère les données passagers de première partie qui permettent un engagement ciblé et des analyses opérationnelles via la plateforme de WiFi Analytics.

Étape 3 : Implémenter le filtrage de contenu basé sur le DNS

Configurez le DHCP pour attribuer un résolveur DNS de filtrage à tous les clients du réseau invité. Le filtrage basé sur le DNS bloque les domaines malveillants connus, les infrastructures de phishing et les points de terminaison de commande et de contrôle dès l'étape de résolution - avant même qu'une connexion ne soit établie. Il s'agit d'un contrôle léger et très efficace qui ne nécessite aucun agent sur le point de terminaison et fonctionne sur tous les types d'appareils. Il réduit également le risque que des appareils infectés par des logiciels malveillants utilisent le réseau passagers pour communiquer avec des serveurs C2 externes.

Étape 4 : Publier et appliquer le SSID officiel

Communiquez le bon SSID de manière claire et cohérente - sur les fiches d'information au dos des sièges, dans l'application de l'opérateur, sur le billet et sur la signalisation à bord. Certains opérateurs déploient des codes QR qui déclenchent une connexion réseau directe, contournant ainsi complètement l'écran de sélection du SSID et réduisant les risques d'attaques Evil Twin. Assurez-vous que le SSID soit cohérent sur l'ensemble de la flotte afin de familiariser les passagers.

Étape 5 : Planifier la migration vers Hotspot 2.0 / OpenRoaming

Hotspot 2.0 (Passpoint) et le framework OpenRoaming représentent la prochaine génération de sécurité WiFi publique. Ces normes permettent aux appareils de s'authentifier automatiquement auprès des réseaux publics à l'aide de la norme 802.1X, établissant ainsi une connexion chiffrée WPA2 ou WPA3-Enterprise sans aucune interaction de l'utilisateur. L'expérience utilisateur est fluide - l'appareil se connecte automatiquement, comme il le ferait à un réseau mobile - mais la sécurité est de classe entreprise, avec une authentification mutuelle et des clés de chiffrement par session. Les opérateurs doivent s'assurer que l'acquisition de nouveaux équipements matériels inclut la certification Passpoint et que leur fournisseur d'identité prend en charge la fédération OpenRoaming.

Pour une analyse parallèle du déploiement de WiFi sécurisé dans un autre environnement public critique, consultez notre guide sur le WiFi in Hospitals: A Guide to Secure Clinical Networks et le document associé Is Hospital WiFi Safe? What Patients and Visitors Should Know.

Bonnes pratiques pour les équipes informatiques d'entreprise

Pour les responsables informatiques chargés des collaborateurs itinérants, le principe directeur est simple : traiter tous les réseaux publics comme des infrastructures hostiles. Votre posture de sécurité ne doit pas dépendre de la qualité du réseau que vos collaborateurs utilisent.

VPN permanent ou ZTNA : Déployez un client VPN ou Zero Trust Network Access via MDM, configuré pour bloquer les connexions en cas d'échec (fail-closed). Si le tunnel sécurisé ne peut pas être établi, tout le trafic Internet est bloqué. Cela garantit que même si un collaborateur se connecte à un AP malveillant, les données de l'entreprise sont chiffrées de bout en bout avant d'atteindre le point d'accès. Le ZTNA est l'approche moderne privilégiée - elle assure une vérification continue de l'identité et de l'état de l'appareil, et n'accorde l'accès qu'à des applications spécifiques plutôt qu'à l'ensemble du réseau de l'entreprise.

Désactiver la connexion automatique aux réseaux ouverts : Les politiques MDM doivent empêcher les appareils de se connecter automatiquement aux SSID ouverts. Exigez une action explicite de l'utilisateur pour rejoindre tout réseau public, réduisant ainsi le risque de connexions silencieuses à des points d'accès usurpés (Evil Twin).

Imposer le mode HTTPS uniquement : Les politiques des navigateurs doivent imposer le mode HTTPS uniquement, empêchant les connexions aux sites HTTP obsolètes qui exposeraient le trafic en clair.

Segmenter les activités à haut risque : Formez les collaborateurs à utiliser leur connexion de données mobiles pour les transactions à haut risque - accès aux systèmes financiers, authentification sur des comptes privilégiés ou traitement de documents sensibles. La connexion cellulaire fournit son propre chiffrement de couche radio et ne partage pas de sous-réseau local avec des inconnus.

Sensibilisation au Certificate Pinning : Veillez à ce que les applications de l'entreprise utilisent le certificate pinning lorsque cela est possible, afin d'empêcher les attaques MitM qui reposent sur des certificats frauduleux.

Résolution des problèmes et atténuation des risques

Plusieurs modes de défaillance sont courants dans les déploiements de WiFi dans les transports publics. Les anticiper permet de réduire à la fois les risques de sécurité et les interruptions opérationnelles.

Prolifération d'AP malveillants : Dans les environnements à forte densité tels que les gares et les quais, les AP malveillants diffusant des SSID à l'apparence légitime constituent une menace persistante. Déployez des systèmes de prévention des intrusions sans fil (WIPS) dans les grandes gares et les terminus pour détecter et signaler les AP non autorisés. Certaines plateformes sans fil d'entreprise intègrent le WIPS en tant que fonctionnalité native.

Contournement de Captive Portal via usurpation de MAC : Des attaquants peuvent observer l'adresse MAC d'un appareil authentifié et l'usurper pour contourner le Captive Portal. Atténuez ce risque en mettant en œuvre des délais d'expiration de session courts, en exigeant une réauthentification après une période d'inactivité définie et en utilisant l'autorisation dynamique basée sur RADIUS pour révoquer les sessions en cas de détection d'un comportement anormal.Conditionnement des utilisateurs aux erreurs de certificat : si les passagers rencontrent fréquemment des avertissements de certificat SSL sur le Captive Portal - généralement causés par l'interception des requêtes HTTPS par le portail avant l'authentification - ils s'habituent à ignorer les avertissements de sécurité. Assurez-vous que le domaine du Captive Portal utilise un certificat SSL valide et publiquement approuvé, et que le mécanisme de redirection du portail est correctement implémenté pour éviter de déclencher les avertissements de sécurité du navigateur.

Failles de basculement du réseau de collecte (Backhaul) : lorsqu'un train se déplace entre des zones de couverture cellulaire, le MAR peut brièvement perdre la connectivité. Durant cette fenêtre, la résolution DNS peut échouer ou le trafic peut être abandonné. Assurez-vous que le Captive Portal et le système d'authentification gèrent ces interruptions avec fluidité, en évitant les situations où les utilisateurs sont déconnectés silencieusement et se reconnectent à un réseau différent (potentiellement malveillant).

Conformité au GDPR et à la rétention des données : tout portail d'authentification qui capture des données de passagers - adresses e-mail, profils sociaux, identifiants d'appareils - doit être conforme aux réglementations applicables en matière de protection des données, y compris le GDPR au Royaume-Uni et dans l'UE. Assurez-vous que votre plateforme propose des politiques de rétention des données configurables, une gestion du consentement et la capacité de répondre aux demandes d'accès des personnes concernées. La plateforme Guest WiFi de Purple est conçue avec ces exigences de conformité comme fonctionnalités de base, et non comme une simple réflexion après coup.

ROI et impact commercial

Une infrastructure WiFi sécurisée et intelligente sur les réseaux ferroviaires n'est pas uniquement un centre de coûts. Les opérateurs qui investissent dans une plateforme correctement déployée peuvent générer des retours mesurables sur plusieurs dimensions.

Données passagers et intelligence de première partie : l'authentification basée sur les profils génère un ensemble de données vérifiées et consenties sur la démographie, les habitudes de voyage et les préférences des passagers. Ces données - accessibles via la plateforme WiFi Analytics - sont directement applicables à la planification des services, aux communications ciblées et aux partenariats commerciaux avec les commerçants et annonceurs des gares. Alors que la disparition des cookies tiers s'accélère, ces données de première partie deviennent de plus en plus précieuses.

Analyses opérationnelles : au-delà du marketing, les données de connexion WiFi offrent un aperçu historique et en temps réel de l'utilisation des rames, des périodes de pointe et du flux de passagers dans les gares. Cela fait écho aux cas d'usage de géolocalisation et d'analyse en intérieur décrits dans notre Indoor Positioning System: UWB, BLE, & WiFi Guide, et permet de prendre des décisions basées sur les données concernant les horaires, l'attribution du matériel roulant et la gestion de la capacité des gares.

Réduction des coûts de support : un réseau WiFi passagers bien configuré et fiable, doté d'un flux d'authentification clair, réduit le volume de plaintes des passagers et de demandes d'assistance liées à la connectivité. Les opérateurs disposant d'un WiFi de haute qualité le signalent systématiquement comme l'un des principaux facteurs de satisfaction des passagers. Réduction des risques de conformité : Les réseaux correctement configurés avec isolation des clients, filtrage de contenu et gestion des données conforme au GDPR réduisent l'exposition de l'opérateur aux sanctions réglementaires et aux atteintes à sa réputation suite à des incidents de sécurité. Le coût d'une seule violation de données ou d'une amende réglementaire est généralement bien supérieur à l'investissement dans une infrastructure de sécurité appropriée.

Pour les opérateurs de secteurs adjacents qui envisagent des déploiements similaires, notre guide Your Guide to Enterprise In Car WiFi Solutions couvre en détail les défis spécifiques des déploiements de WiFi embarqué dans les véhicules.