Le WiFi des aéroports est-il sûr ? Un guide de sécurité pour les voyageurs
Ce guide fournit une référence technique faisant autorité pour les responsables informatiques, les architectes réseau et les directeurs d'exploitation de sites sur les risques de sécurité du WiFi des aéroports et la manière de les atténuer. Il couvre l'ensemble des menaces — des points d'accès Evil Twin aux serveurs DHCP malveillants — et propose un cadre de déploiement pratique et basé sur des normes utilisant l'IEEE 802.1X, le WPA3 et la segmentation réseau. Il associe également la plateforme de Guest WiFi et d'analyse de Purple à chaque vecteur de risque, offrant des points d'intégration concrets pour les opérateurs souhaitant déployer un WiFi public sécurisé, conforme au GDPR et commercialement viable.
Écouter ce guide
Voir la transcription du podcast
Synthèse
Pour les directeurs informatiques d'entreprise et les directeurs d'exploitation de sites, la question de savoir si le WiFi des aéroports est sûr n'est pas purement théorique — c'est un risque opérationnel bien réel. Avec une proportion importante de voyageurs se connectant aux réseaux publics sans vérifier l'SSID, la surface de menace dans les grands hubs de transport est vaste et largement non atténuée. Ce guide propose une analyse technique des vulnérabilités du WiFi des aéroports — des points d'accès Evil Twin et serveurs DHCP malveillants aux Captive Portals non chiffrés — et présente les exigences architecturales robustes nécessaires pour sécuriser ces environnements à haute densité. En mettant en œuvre des normes telles que l'IEEE 802.1X, le WPA3 et une segmentation VLAN appropriée, aux côtés des solutions de Guest WiFi et de WiFi Analytics de Purple, les exploitants de sites peuvent atténuer les risques, garantir la conformité avec PCI DSS et le GDPR, et offrir une expérience de connectivité sécurisée et performante qui génère également de la valeur commerciale. Ce document constitue un cadre pratique de déploiement et d'atténuation des risques pour les CTO et les architectes réseau opérant dans les secteurs du Transport , de l' Hébergement et du Commerce de détail .
Analyse Technique Approfondie
L'architecture d'un réseau WiFi public sécurisé dans un environnement à haute densité comme un aéroport nécessite plusieurs couches de défense superposées. La principale vulnérabilité d'un WiFi public ouvert est l'absence de chiffrement par client sur les ondes. Dans un réseau ouvert standard, tout le trafic est diffusé en clair au niveau de la couche radio, ce qui signifie que n'importe quel appareil à portée peut capturer et décoder les paquets transmis par d'autres appareils. C'est le risque fondamental dont découlent la plupart des menaces liées au WiFi des aéroports.
Le Paysage des Menaces
Les six principaux vecteurs de menace dans un environnement WiFi d'aéroport sont les suivants.
Les points d'accès Evil Twin représentent la menace la plus répandue et la plus dangereuse. Un attaquant déploie un point d'accès malveillant diffusant un SSID à l'apparence légitime — par exemple, "AirportFreeWiFi" ou une variante proche du nom officiel du réseau. Les appareils clients configurés pour se connecter automatiquement aux réseaux connus, ou les utilisateurs qui sélectionnent simplement l'SSID le plus visible, se connectent sans vérification. L'attaquant se positionne alors en tant qu'intermédiaire (Man-in-the-Middle ou MitM), capable d'intercepter des identifiants, d'injecter du contenu malveillant dans les réponses HTTP ou de rediriger les utilisateurs vers des pages de phishing.
Les attaques de l'homme du milieu (Man-in-the-Middle) dépassent le simple scénario de l'Evil Twin. Sur un réseau ouvert et non chiffré, un attaquant situé sur le même sous-réseau peut utiliser l'empoisonnement ARP pour intercepter le trafic entre un client et la passerelle légitime, même sans déployer de point d'accès malveillant.
L'analyse de paquets (Packet Sniffing) est la menace la plus passive et donc la plus difficile à détecter. À l'aide d'outils gratuits, un attaquant peut capturer tout le trafic non chiffré sur le réseau. Toutes les données de la couche applicative qui ne sont pas protégées par TLS — y compris le trafic HTTP hérité, certaines requêtes DNS et certains protocoles applicatifs — sont exposées.
Les serveurs DHCP malveillants (Rogue DHCP) permettent à un attaquant d'attribuer des configurations réseau malveillantes aux clients qui se connectent, y compris un serveur DNS malveillant qui résout des noms de domaine légitimes vers des adresses IP contrôlées par l'attaquant.
Le détournement de session (Session Hijacking) exploite le vol de cookies de session valides ou de jetons d'authentification. Même lorsque la connexion initiale est protégée par HTTPS, si le cookie de session est ensuite transmis via HTTP (une erreur de configuration courante), un attaquant peut le voler et usurper l'identité de l'utilisateur authentifié.
Les Captive Portals non chiffrés représentent une vulnérabilité systémique dans de nombreux déploiements existants. Si le Captive Portal est fourni via HTTP plutôt que HTTPS, toutes les informations d'identification, données personnelles ou signaux de consentement soumis par l'utilisateur sont transmis en clair — une violation directe du GDPR et un vecteur d'attaque trivial.
Normes d'authentification et de chiffrement
Les déploiements modernes doivent abandonner les SSID ouverts au profit de WPA3-Enterprise ou de Passpoint (Hotspot 2.0). WPA3 introduit l'authentification simultanée d'égaux (SAE), remplaçant la poignée de main par clé pré-partagée (PSK) de WPA2 et offrant une protection contre les attaques par dictionnaire hors ligne. De plus, WPA3 fournit également le chiffrement sans fil opportuniste (OWE) pour les réseaux ouverts, qui chiffre le trafic entre chaque client et le point d'accès sans nécessiter de mot de passe — répondant ainsi directement au risque de packet sniffing sur les réseaux ouverts.
Passpoint (IEEE 802.11u) va encore plus loin en s'appuyant sur la norme 802.1X et le protocole d'authentification extensible (EAP) pour fournir une authentification de classe entreprise. L'appareil client présente un identifiant (certificat ou carte SIM) au réseau, et le réseau présente un certificat au client. Cette authentification mutuelle élimine de manière cryptographique la menace de l'Evil Twin. Purple fonctionne comme un fournisseur d'identité gratuit pour OpenRoaming sous la licence Connect, permettant aux sites de déployer une authentification transparente basée sur des profils à grande échelle sans avoir à créer leur propre infrastructure RADIUS.
Guide de mise en œuvre
Le cadre suivant fournit une séquence de déploiement indépendante des fournisseurs pour un environnement WiFi invité sécurisé dans les aéroports.
Étape 1 : Segmentation du réseau
La segmentation réseau est le contrôle le plus efficace dans un environnement public à haute densité. L'objectif est de s'assurer qu'une compromission sur le réseau invité ne puisse pas se propager aux systèmes opérationnels ou d'entreprise.
| VLAN | Objectif | Exemple de sous-réseau | Routage inter-VLAN |
|---|---|---|---|
| VLAN 10 | Opérations d'entreprise | 10.10.0.0/24 | Refuser tout depuis VLAN 20, 30 |
| VLAN 20 | Appareils IoT (CVC, vidéosurveillance) | 10.20.0.0/24 | Refuser tout depuis VLAN 10, 30 |
| VLAN 30 | WiFi Invité | 10.30.0.0/23 | Internet uniquement, refuser RFC1918 |
Les règles de pare-feu doivent explicitement refuser tout routage inter-VLAN entre le VLAN invité et tous les VLAN internes. Le VLAN invité doit avoir accès à Internet uniquement, tout l'espace d'adressage RFC 1918 étant bloqué au niveau de la passerelle.
Étape 2 : Isolation des clients
Activez l'isolation des clients au niveau des points d'accès (isolation de couche 2) sur tous les SSID invités. Cela empêche les appareils connectés au même point d'accès de communiquer directement entre eux, éliminant ainsi les vecteurs d'attaque de pair à pair, y compris l'empoisonnement ARP et l'exploitation directe d'appareils invités vulnérables.
Étape 3 : Déploiement du Captive Portal
Déployez un Captive Portal conforme au GDPR et sécurisé par HTTPS. La plateforme de Purple fournit un Captive Portal entièrement géré qui prend en charge la capture de données chiffrées, la gestion explicite du consentement et le stockage des données conforme au GDPR. La page de connexion sert à la fois de contrôle de sécurité et d'atout commercial, permettant la diffusion de médias de vente ciblés et de marketing personnalisé.
Étape 4 : Détection et confinement des points d'accès pirates
Configurez le contrôleur LAN sans fil (WLC) pour qu'il fonctionne en mode hybride, avec un sous-ensemble de points d'accès dédiés au mode surveillance pour un balayage RF continu. Configurez le confinement automatique pour les points d'accès pirates détectés. Implémentez la protection des trames de gestion 802.11w (MFP) pour empêcher les attaquants d'usurper des trames de désauthentification contre des points d'accès légitimes.
Étape 5 : Filtrage DNS et inspection du trafic
Déployez un filtrage au niveau DNS pour bloquer les domaines malveillants connus et empêcher les communications de commande et de contrôle (C2) des logiciels malveillants. Intégrez-le à un pare-feu de nouvelle génération (NGFW) pour une visibilité au niveau de la couche applicative, permettant la détection de schémas de trafic anormaux et de violations de protocoles.
Étape 6 : Surveillance et analyses
Déployez une plateforme de surveillance centralisée qui offre une visibilité en temps réel sur le nombre d'appareils connectés, les alertes de sécurité, l'utilisation de la bande passante et les dérives de configuration. La plateforme WiFi Analytics de Purple offre cette visibilité opérationnelle ainsi que des analyses commerciales, notamment le temps de visite, le taux de visiteurs récurrents et les cartes thermiques de fréquentation — apportant ainsi une double valeur ajoutée aux équipes informatiques et marketing.
Bonnes pratiques
Les recommandations suivantes sont conformes aux exigences de l'IEEE, de la norme PCI DSS et du GDPR, et représentent le consensus actuel du secteur pour les déploiements sécurisés de WiFi publics.
Imposez le WPA3 sur tous les nouveaux déploiements. Le WPA3-SAE offre une confidentialité persistante, ce qui signifie que même si une clé de session est compromise, les sessions passées ne peuvent pas être décryptées. Il s'agit d'une amélioration fondamentale par rapport au WPA2-PSK.
Implémentez l'OWE pour les anciens SSIDs ouverts. Là où l'adoption de Passpoint n'est pas encore réalisable, l'OWE fournit un chiffrement opportuniste pour les réseaux ouverts sans aucune friction pour l'utilisateur, atténuant directement le sniffing de paquets.
Réalisez des tests d'intrusion sans fil trimestriels. Des tests réguliers par rapport au guide de test de sécurité sans fil de l'OWASP et à la spécification PCI DSS 11.3 garantissent que les dérives de configuration et les nouvelles vulnérabilités sont identifiées avant d'être exploitées.
Maintenez un inventaire des SSIDs. Documentez tous les SSIDs autorisés ainsi que leurs VLANs associés, profils de sécurité et politiques d'accès. Tout SSID ne figurant pas dans l'inventaire doit déclencher une alerte de sécurité immédiate.
Appliquez une limitation de débit par client. Empêchez les appareils individuels de consommer une bande passante disproportionnée, ce qui peut dégrader la qualité de service pour tous les utilisateurs et masquer des attaques par déni de service.
Pour aller plus loin sur le déploiement de réseaux sécurisés dans des environnements connexes, les guides sur le WiFi in Hospitals: A Guide to Secure Clinical Networks et Your Guide to a Wireless Access Point Ruckus fournissent un contexte architectural pertinent. Le guide Is Hotel WiFi Safe? What Every Traveller Needs to Know couvre le même paysage de menaces dans un contexte hôtelier.
Dépannage et atténuation des risques
Mode de défaillance : Latence élevée pendant les heures de pointe. Cela est généralement causé par des tempêtes de diffusion sur de grands sous-réseaux non segmentés ou par une surcharge excessive des trames de gestion dans les environnements à haute densité. Atténuation : Réduisez la taille des sous-réseaux (utilisez /23 ou /24 plutôt que /16), activez la suppression de la diffusion et du multicast au niveau du point d'accès et du commutateur, et implémentez le BSS Colouring (802.11ax) pour réduire les interférences co-canal.
Mode de défaillance : Contournement du Captive Portal via l'usurpation d'adresse MAC. Les utilisateurs avancés peuvent usurper des adresses MAC pour se faire passer pour des appareils précédemment authentifiés, contournant ainsi les limites de temps ou les contrôles d'accès. Atténuation : Implémentez une gestion de session robuste liée à plusieurs identifiants d'appareil, et pas uniquement à l'adresse MAC. Intégrez-la à un NGFW pour le suivi des sessions au niveau de la couche applicative.
Mode de défaillance : Le confinement des points d'accès non autorisés entraîne des problèmes juridiques. Dans certaines juridictions, la transmission active de trames de désauthentification pour contenir des points d'accès non autorisés peut avoir des implications juridiques. Atténuation : Consultez un conseiller juridique avant d'activer le confinement actif. Alternativement, implémentez Passpoint pour rendre les points d'accès non autorisés inefficaces plutôt que de les contenir activement. Failure Mode : Non-conformité au GDPR au niveau du Captive Portal. Si le captive portal collecte des données personnelles (e-mail, nom, connexion via les réseaux sociaux) sans consentement explicite et éclairé, cela constitue une violation du GDPR. Atténuation : Déployez la plateforme de Purple, conçue dès le départ pour la conformité au GDPR, incluant une gestion granulaire du consentement et le traitement des demandes d'accès aux données des personnes concernées (DSAR).
ROI & Impact Commercial
Une infrastructure sécurisée n'est pas un centre de coûts — c'est un levier commercial. L'argumentaire commercial en faveur de l'investissement dans une sécurité WiFi d'aéroport de classe entreprise repose sur deux dimensions : l'évitement des risques et la génération de revenus.
Du côté de l'évitement des risques, une seule violation de données impliquant le WiFi invité peut entraîner des amendes de l'ICO allant jusqu'à 4 % du chiffre d'affaires annuel mondial en vertu du GDPR, des dommages réputationnels et des perturbations opérationnelles. Le coût du déploiement d'une segmentation appropriée, du WPA3 et d'un captive portal conforme ne représente qu'une fraction de la responsabilité potentielle.
Du côté de la génération de revenus, la plateforme de Purple transforme le captive portal d'une simple case de conformité à cocher en un actif commercial. En capturant des données de première main via un flux de consentement conforme au GDPR, les exploitants de sites peuvent créer des profils de passagers détaillés, permettant des campagnes de retail media ciblées, des offres personnalisées et l'intégration de programmes de fidélité. Ce modèle est directement analogue aux stratégies de monétisation de retail media déployées par les grands distributeurs — et les mêmes principes s'appliquent aux environnements du Retail , de l' Hospitality et du Healthcare .
La plateforme WiFi Analytics fournit des résultats mesurables, notamment l'analyse du temps de séjour, les taux de visiteurs récurrents et les cartes de chaleur de fréquentation, permettant aux exploitants de sites d'optimiser l'agencement des commerces, les niveaux de personnel et les dépenses marketing sur la base de données comportementales réelles.
Pour les exploitants qui envisagent une connectivité en transit au-delà du terminal, le guide sur les In-Car Wi-Fi Solutions étend ces principes aux déploiements embarqués dans les véhicules.
Définitions clés
Evil Twin
Un point d'accès sans fil malveillant qui diffuse le même SSID qu'un réseau légitime afin d'intercepter les connexions des clients et d'exécuter des attaques de type Man-in-the-Middle.
La menace la plus répandue dans les environnements aéroportuaires. Atténuée par Passpoint/802.1X, qui fournit une authentification réseau cryptographique.
Client Isolation
Une configuration de point d'accès qui empêche les appareils connectés au même AP ou SSID de communiquer directement entre eux au niveau de la couche 2.
Indispensable pour tous les réseaux invités. Élimine l'empoisonnement ARP, l'exploitation peer-to-peer et le mouvement latéral entre les appareils invités.
Passpoint (Hotspot 2.0 / IEEE 802.11u)
Une norme de la Wi-Fi Alliance qui permet une itinérance fluide et sécurisée entre les réseaux WiFi en utilisant l'authentification 802.1X et une vérification mutuelle basée sur des certificats.
Le remplacement moderne des Captive Portals ouverts. Offre une itinérance de type cellulaire et élimine le vecteur d'attaque Evil Twin.
WPA3-SAE (Simultaneous Authentication of Equals)
Le mécanisme d'authentification de WPA3 qui remplace la poignée de main par clé pré-partagée (PSK) de WPA2, offrant une confidentialité persistante et une résistance aux attaques par dictionnaire hors ligne.
Obligatoire pour tous les nouveaux déploiements d'entreprise. Garantit que les sessions passées ne peuvent pas être décryptées même si une clé de session est compromise ultérieurement.
OWE (Opportunistic Wireless Encryption)
Une fonctionnalité WPA3 qui fournit un chiffrement par client sur les réseaux ouverts sans nécessiter de mot de passe ou d'authentification, en utilisant un échange de clés Diffie-Hellman.
Un contrôle de transition pour les sites qui ne peuvent pas encore déployer Passpoint. Atténue directement l'interception de paquets sur les SSID ouverts.
IEEE 802.1X
Une norme IEEE pour le contrôle d'accès réseau basé sur les ports qui fournit un cadre d'authentification pour les appareils se connectant à un LAN ou un WLAN.
Le mécanisme d'authentification sous-jacent pour le WiFi d'entreprise et Passpoint. Nécessite un serveur RADIUS ou un fournisseur d'identité managé tel que Purple.
VLAN (Virtual Local Area Network)
Une partition logique de réseau qui segmente le trafic sur la même infrastructure physique, imposant l'isolation entre différentes classes d'appareils et d'utilisateurs.
Le contrôle fondamental pour la segmentation du réseau. Sépare le trafic invité, d'entreprise et IoT afin de limiter la zone d'impact de toute compromission.
Captive Portal
Une page web qui intercepte le trafic HTTP d'un appareil qui se connecte et exige que l'utilisateur s'authentifie ou accepte les conditions avant de lui accorder l'accès au réseau.
Le mécanisme principal pour la capture de données conforme au GDPR sur les réseaux invités. Doit être servi via HTTPS pour éviter de transmettre les données des utilisateurs en clair.
Rogue AP
Un point d'accès sans fil non autorisé connecté à un environnement réseau ou fonctionnant au sein de celui-ci, qu'il soit déployé de manière malveillante ou involontaire.
Détecté via un balayage RF basé sur le WLC et des AP en mode moniteur. Atténué à long terme par la transition vers Passpoint, ce qui rend les AP malveillants inefficaces.
Management Frame Protection (802.11w)
Une norme IEEE qui fournit une protection cryptographique pour les trames de gestion 802.11, empêchant les attaquants d'usurper des trames de désauthentification ou de désassociation.
Prévient les attaques de désauthentification qui forcent les clients à se déconnecter des AP légitimes pour se reconnecter à des AP malveillants.
Exemples concrets
Un grand aéroport international subit des problèmes de connectivité intermittents et soupçonne que des points d'accès malveillants usurpent leur SSID officiel « Airport_Free_WiFi » dans le Terminal B. L'équipe de sécurité a reçu des rapports de passagers redirigés vers des pages de connexion inconnues. Comment l'architecte réseau doit-il réagir, et quel changement architectural à long terme doit être priorisé ?
Réponse immédiate : 1) Activer le confinement des points d'accès malveillants sur le WLC, ce qui transmettra des trames de désauthentification aux clients connectés aux points d'accès malveillants. 2) Déployer un point d'accès temporaire en mode moniteur dans le Terminal B pour améliorer la visibilité RF et accélérer l'identification des points d'accès malveillants. 3) Publier un avis aux passagers via l'application de l'aéroport et les panneaux d'affichage des départs spécifiant le SSID officiel exact et mettant en garde contre la connexion à des variantes. Architecture à long terme : 1) Implémenter la protection des trames de gestion (MFP) 802.11w pour empêcher les attaquants d'usurper des trames de désauthentification contre des points d'accès légitimes. 2) Faire évoluer le réseau pour prendre en charge Passpoint (Hotspot 2.0) avec authentification 802.1X, fournissant une preuve cryptographique de l'identité du réseau aux appareils clients. 3) Intégrer la capacité de fournisseur d'identité de Purple pour OpenRoaming afin de permettre une authentification transparente et sécurisée basée sur des profils, sans Captive Portal.
Une chaîne de vente au détail exploitant des stands de concession dans trois terminaux d'un grand aéroport souhaite offrir du WiFi gratuit à ses clients. Leurs systèmes POS existants sont connectés à la même infrastructure réseau. Le responsable informatique doit garantir la conformité PCI DSS tout en permettant un mécanisme de capture de données conforme au GDPR à des fins de marketing. Quelle est l'architecture recommandée ?
- Implémenter une segmentation VLAN stricte : les systèmes POS sur un VLAN dédié et isolé (par exemple, VLAN 10) sans routage vers aucun autre VLAN. Le WiFi invité sur un VLAN séparé (par exemple, VLAN 30) avec accès Internet uniquement. 2) Activer l'isolation des clients sur le SSID invité pour empêcher les attaques de pair à pair. 3) Déployer la plateforme Guest WiFi de Purple pour gérer le Captive Portal, en garantissant l'application du protocole HTTPS, la capture explicite du consentement GDPR et la collecte de données de première partie. 4) Appliquer des règles de pare-feu au niveau de la passerelle refusant explicitement tout trafic du VLAN 30 vers le VLAN 10. 5) Réaliser un exercice de délimitation PCI DSS pour confirmer que le VLAN invité est hors de portée de la conformité PCI DSS, réduisant ainsi la charge de conformité. 6) Configurer la plateforme d'analyse de Purple pour capturer le temps de séjour et les données de visites répétées, permettant ainsi un marketing ciblé pour les membres du programme de fidélité.
Questions d'entraînement
Q1. Un exploitant de site dans un grand aéroport souhaite monétiser son WiFi invité gratuit via de la publicité ciblée, mais s'inquiète de la conformité au GDPR et de la sécurité du mécanisme de capture des données. Le Captive Portal actuel est diffusé via HTTP et collecte des adresses e-mail. Quels sont les risques immédiats et quelle est la remédiation recommandée ?
Conseil : Prenez en compte à la fois la sécurité de la transmission des données et la base légale du traitement des données en vertu de l'article 6 du GDPR.
Voir la réponse type
Risques immédiats : 1) Le Captive Portal HTTP transmet les identifiants des utilisateurs et les données personnelles en clair, les exposant à l'interception de paquets (packet sniffing) — une violation directe de l'article 32 du GDPR (défaut de mise en œuvre de mesures de sécurité techniques appropriées). 2) Sans consentement explicite et éclairé, la collecte d'adresses e-mail à des fins de marketing manque d'une base légale valide en vertu de l'article 6 du GDPR. Remédiation : 1) Migrer immédiatement le Captive Portal vers HTTPS avec un certificat TLS valide. 2) Déployer la plateforme Guest WiFi de Purple pour gérer le Captive Portal, qui fournit des flux de consentement conformes au GDPR, une capture de données chiffrée et une gestion des données de première partie. 3) Mettre en œuvre des options de consentement granulaires permettant aux utilisateurs de s'abonner aux communications marketing séparément de l'accès au réseau. 4) S'assurer que les politiques de rétention des données sont documentées et appliquées.
Q2. Lors d'un audit de sécurité de l'infrastructure sans fil d'un aéroport, il est découvert que le WiFi invité, le réseau IoT de traitement des bagages et les postes de travail des opérations aériennes sont tous sur le même sous-réseau /16 sans aucune segmentation VLAN. Quelle est la gravité de cette découverte et quel est l'ordre de priorité de la remédiation ?
Conseil : Prenez en compte l'impact potentiel d'un appareil invité compromis sur l'infrastructure opérationnelle critique.
Voir la réponse type
Gravité : Critique. Un appareil invité compromis sur le même sous-réseau que les systèmes IoT de traitement des bagages et les postes de travail des opérations aériennes peut exécuter un empoisonnement ARP, analyser et exploiter des appareils IoT vulnérables, et potentiellement perturber les opérations critiques de l'aéroport. Il s'agit également d'une violation probable de la norme PCI DSS si un traitement de paiement a lieu sur le réseau opérationnel. Priorité de remédiation : 1) Mettre immédiatement en œuvre la segmentation VLAN pour isoler les trois classes de trafic. 2) Appliquer des règles de pare-feu strictes interdisant tout routage inter-VLAN entre le VLAN invité et les VLAN opérationnels. 3) Activer l'isolation des clients sur le SSID invité. 4) Mener une évaluation des menaces pour déterminer si un mouvement latéral a déjà eu lieu. 5) Réduire la taille des sous-réseaux à /23 ou /24 pour limiter la portée du domaine de diffusion.
Q3. Un responsable informatique dans un aéroport a pour mission d'éliminer les attaques de type Evil Twin dans la salle d'embarquement. Le réseau actuel utilise le WPA2-Personal avec une phrase secrète partagée affichée sur la signalétique. Quel est le contrôle technique à long terme le plus efficace, et quelles mesures provisoires peuvent être déployées immédiatement ?
Conseil : Prenez en compte la différence entre la vérification d'identité réseau basée sur le SSID et la vérification cryptographique.
Voir la réponse type
Contrôle à long terme : Transition vers Passpoint (Hotspot 2.0) avec authentification 802.1X. Passpoint fournit une authentification mutuelle basée sur des certificats, ce qui signifie que l'appareil client vérifie par voie cryptographique l'identité du réseau avant de s'y connecter. Un point d'accès Evil Twin ne peut pas présenter de certificat valide, de sorte que les appareils clients ne s'y connecteront pas — quel que soit le SSID. La capacité de fournisseur d'identité OpenRoaming de Purple peut accélérer ce déploiement. Mesures provisoires : 1) Activer la détection et le confinement des points d'accès malveillants (Rogue AP) sur le WLC. 2) Mettre en œuvre la protection des trames de gestion 802.11w pour empêcher l'usurpation de désauthentification. 3) Diffuser des communications claires aux passagers spécifiant le SSID officiel exact et les mettant en garde contre la connexion à des variantes. 4) Passer de WPA2-Personal à WPA3-SAE pour améliorer la qualité du chiffrement hertzien pendant le déploiement de Passpoint.
Continuer la lecture de cette série
Comment configurer SCEP pour l'enrôlement automatisé de certificats WiFi d'entreprise
Ce guide explique comment configurer SCEP (Simple Certificate Enrollment Protocol) pour l'enrôlement automatisé de certificats WiFi d'entreprise, couvrant l'architecture complète depuis la PKI et le NDES jusqu'au déploiement de profils MDM et à la validation RADIUS. Il s'adresse aux responsables informatiques, architectes réseau et CTO d'hôtels, de chaînes de vente au détail, de stades, de centres de conférence et d'organisations du secteur public qui souhaitent dépasser les clés pré-partagées et mettre en œuvre une authentification 802.1X EAP-TLS évolutive et basée sur l'identité. La plateforme cloud overlay de Purple, indépendante du matériel, s'intègre directement à cette architecture, fournissant la couche WiFi pour les invités et le BYOD qui coexiste avec votre réseau d'employés authentifié par certificat.
Le guide de l'entreprise pour SCEP : Déployer le protocole SCEP (Simple Certificate Enrollment Protocol) pour la sécurité automatisée du WiFi sur les campus
Ce guide de référence technique fournit un schéma d'architecture définitif et une stratégie d'implémentation étape par étape pour le déploiement de certificats WiFi d'entreprise à l'aide de SCEP. Il présente les différences cruciales entre SCEP et PKCS, la séquence de déploiement exacte requise pour réussir, ainsi que des stratégies concrètes de mitigation des risques pour les responsables informatiques.
Comment implémenter SCEP pour l'enrôlement automatisé de certificats WiFi
Ce guide explique comment implémenter SCEP (Simple Certificate Enrollment Protocol) pour l'enrôlement automatisé de certificats WiFi dans les établissements d'entreprise. Il couvre l'ensemble du schéma architectural - de la conception de la PKI et l'intégration MDM à la séquence de déploiement obligatoire en trois étapes - et montre aux responsables informatiques et architectes réseau comment éliminer les identifiants partagés, automatiser la gestion du cycle de vie des certificats et respecter les exigences PCI DSS et GDPR à grande échelle.