PSK par appareil par constructeur : comparaison de iPSK, DPSK, MPSK et PPSK (et compatibilité WPA3)

Per-Device PSK by Vendor : iPSK, DPSK, MPSK et PPSK comparés, et support de WPA3. Un briefing technique de Purple. Introduction et contexte. Bienvenue dans la série de briefings techniques de Purple. Je vais vous présenter l'un des sujets les plus importants en pratique - et fréquemment mal compris - dans le domaine du WiFi d'entreprise actuellement : les clés pré-partagées par appareil. Plus précisément, nous allons comparer la manière dont chacun des principaux fournisseurs implémente cette fonctionnalité, comment ils la nomment, comment elle fonctionne réellement sous le capot et - point critique - ce qui se passe lorsque vous tentez de passer au WPA3. Si vous êtes responsable informatique, architecte réseau ou directeur des opérations d'un site gérant le WiFi sur un parc hôtelier, une chaîne de magasins, un stade ou un campus du secteur public, ce briefing vous est destiné. Vous avez probablement déjà rencontré cette soupe de lettres : iPSK, DPSK, MPSK, PPSK. Elles font toutes référence au même concept - attribuer à chaque appareil ou utilisateur son propre mot de passe unique sur un seul SSID - mais les implémentations diffèrent considérablement, et ces différences comptent lorsque vous planifiez votre prochain renouvellement d'infrastructure. Commençons par les fondamentaux, puis passons en revue chaque fournisseur, et terminons par la question du WPA3 avec laquelle tout le monde se débat actuellement. Analyse technique approfondie. Alors, qu'est-ce que le PSK par appareil, et pourquoi existe-t-il ? Le WPA2-Personal traditionnel utilise une seule phrase de passe partagée pour l'ensemble d'un SSID. Tous les utilisateurs de votre réseau invité utilisent le même mot de passe. Cela crée deux problèmes. Premièrement, vous ne pouvez pas révoquer l'accès d'un appareil sans modifier le mot de passe de tout le monde. Deuxièmement, vous n'avez aucune visibilité par appareil ni aucun contrôle des politiques. Le PSK par appareil résout ces deux problèmes. Chaque appareil ou utilisateur reçoit un identifiant unique. Vous pouvez en révoquer un sans toucher aux autres. Vous pouvez attribuer différents VLAN, politiques de bande passante ou horaires d'accès par clé. C'est le juste milieu entre la simplicité du WPA2-Personal et la complexité d'une authentification d'entreprise 802.1X complète. Voyons maintenant comment chaque fournisseur implémente cela. Cisco Meraki l'appelle iPSK - Identity Pre-Shared Key. Meraki prend en charge deux modes. Sans RADIUS, vous configurez jusqu'à cinq PSK uniques directement dans le tableau de bord Meraki, chacun associé à un VLAN. C'est rapide à configurer et ne nécessite aucune infrastructure externe. Avec RADIUS - généralement Cisco ISE - vous pouvez passer à des milliers de clés. Le client s'associe, le point d'accès envoie l'adresse MAC et un indice de PSK au serveur RADIUS, le serveur renvoie la bonne clé par appareil, et la liaison à quatre voies standard de WPA2 se termine en utilisant cette clé comme Pairwise Master Key. L'élément clé ici est que c'est le serveur RADIUS qui effectue la recherche, et non le point d'accès. Le point d'accès ne fait que faciliter l'échange. HPE Aruba l'appelle MPSK - Multiple Pre-Shared Key. Aruba Central et Aruba Instant prennent en charge le MPSK sous deux modes : MPSK Local, où les clés sont stockées sur le contrôleur ou le cluster d'AP, et MPSK avec ClearPass, le moteur de politique et de RADIUS d'Aruba. ClearPass peut stocker des dizaines de milliers de clés, attribuer des VLAN dynamiques et appliquer des politiques basées sur les rôles pour chaque clé. Le flux d'authentification est essentiellement le même que le mode RADIUS de Meraki - la recherche basée sur l'adresse MAC renvoie la clé par appareil avant la poignée de main à quatre voies. Ruckus - qui fait désormais partie de CommScope - l'appelle DPSK, Dynamic Pre-Shared Key. C'est sans doute l'implémentation la plus mature du marché. Le DPSK de Ruckus est disponible depuis les débuts de SmartZone. En mode local, le service DPSK s'exécute sur le contrôleur et héberge la base de données de clés. En mode RADIUS, il s'intègre à Cloudpath, la plateforme de contrôle d'accès réseau propre à Ruckus. Ce qui rend Ruckus remarquable, c'est le DPSK3 - leur extension WPA3 du DPSK, sur laquelle nous reviendrons bientôt. Le DPSK3 est disponible sur les points d'accès WiFi 6, 6E et 7 exécutant le micrologiciel 7.0 ou ultérieur, et il fonctionne en mode mixte WPA2 / WPA3. Juniper Mist l'appelle PPSK - Private Pre-Shared Key - ou parfois Multi-PSK. Mist stocke les clés dans le cloud, dans la base de données de clés de l'organisation ou du site Mist, avec une limite de 5 000 clés par site. Les clés peuvent être attribuées par utilisateur, par appareil ou par groupe. Mist s'intègre également à son service Access Assurance - le NAC natif dans le cloud - qui ajoute une recherche PSK basée sur RADIUS. De plus, Juniper a annoncé la prise en charge du WPA3 RADIUS PSK via Access Assurance, permettant à un seul SSID WPA3-Personal de gérer plusieurs phrases de passe. C'est l'une des implémentations les plus tournées vers l'avenir sur le marché. Extreme Networks - qui a acquis Aerohive - l'appelle PPSK, Private Pre-Shared Key, via ExtremeCloud IQ. L'implémentation d'Extreme prend en charge le stockage local des clés sur l'AP lui-même, ce qui est utile pour les succursales ou les sites distants à connectivité limitée. Elle prend également en charge la recherche basée sur RADIUS via le service cloud RADIUS d'ExtremeCloud IQ. L'association MAC est disponible, ce qui lie un PPSK à l'adresse MAC d'un appareil spécifique pour une sécurité accrue. Fortinet l'appelle MPSK, Multiple Pre-Shared Key, géré via FortiAP et le contrôleur sans fil FortiGate. L'implémentation de Fortinet est remarquable car elle prend explicitement en charge les modes de sécurité WPA3-SAE et WPA3-SAE Transition dans ses profils MPSK - depuis le micrologiciel FortiAP 8.0. Vous pouvez créer un profil MPSK avec des clés WPA3-SAE, les attribuer à un VAP et activer l'attribution dynamique de VLAN par clé. C'est l'une des implémentations WPA3 MPSK les plus soignées disponibles aujourd'hui. Ubiquiti UniFi appelle cela des Private Pre-Shared Keys, ou PPSK. L'implémentation de UniFi est uniquement locale - les clés sont stockées dans le contrôleur UniFi Network, et non dans un serveur RADIUS externe. Vous pouvez attribuer différents VLANs par clé et définir des limites de clients par clé. La limitation importante : à la mi-2026, le PPSK de UniFi ne fonctionne que sur les réseaux WPA2 sur 2.4 GHz et 5 GHz. Le WPA3 et le 6 GHz ne sont pas pris en charge. Pour les petits déploiements, cela convient parfaitement, mais c'est une contrainte à connaître avant de s'engager sur un parc UniFi à grande échelle. Maintenant, la question du WPA3. C'est là que cela devient techniquement intéressant. Le WPA2-Personal utilise un handshake à quatre voies. Le client et l'AP dérivent une clé transitoire par paire (PTK) à partir d'une clé principale par paire (PMK) partagée, qui est elle-même dérivée de la phrase secrète. Comme la dérivation de la PMK se produit après la recherche RADIUS, l'AP peut substituer une clé par appareil à ce stade. La norme s'en moque - elle voit simplement une PMK valide. Le WPA3-Personal remplace le handshake à quatre voies par l'authentification SAE - Simultaneous Authentication of Equals. L'authentification SAE est un protocole basé sur Diffie-Hellman. Les deux parties s'engagent sur un élément de mot de passe partagé dérivé de la phrase secrète avant la fin de l'association. La différence essentielle : le mot de passe doit être connu des deux parties avant le début de l'échange SAE. Il n'y a aucun moment dans le protocole où un serveur RADIUS peut injecter une clé différente par appareil. L'AP et le client effectuent déjà une danse cryptographique avec une valeur partagée unique. C'est pourquoi le WPA3 ne permet actuellement qu'une seule clé par SSID sous sa forme standard. Ce n'est pas une limitation du firmware. C'est une contrainte du protocole. Les solutions de contournement se classent en trois catégories. Premièrement, le mode de transition WPA3 - également appelé mode mixte WPA2 / WPA3. Le SSID annonce à la fois le WPA2-PSK et le WPA3-SAE. Les clients WPA2 utilisent le handshake à quatre voies et peuvent recevoir des clés par appareil via RADIUS. Les clients WPA3 utilisent l'authentification SAE avec un mot de passe partagé unique. C'est l'approche la plus largement déployée aujourd'hui et elle est prise en charge par Cisco Meraki, HPE Aruba, Ruckus, et d'autres. Deuxièmement, les extensions propriétaires. Le DPSK3 de Ruckus en est l'exemple le plus clair. En fonctionnant en mode mixte WPA2 / WPA3 avec Cloudpath comme backend RADIUS, le DPSK3 permet aux appareils compatibles WPA3 d'utiliser l'authentification SAE tandis que le système gère l'association de clés par appareil grâce à l'intégration Cloudpath. La solution WPA3 RADIUS PSK d'Access Assurance de Juniper adopte une approche similaire. Le MPSK de Fortinet avec le mode de transition WPA3-SAE vous permet de mélanger des clés WPA2-Personal et WPA3-SAE dans le même profil MPSK. Troisièmement, le passage au 802.1X. Pour les terminaux gérés - ordinateurs portables d'entreprise, appareils du personnel, tout ce sur quoi vous pouvez déployer un certificat - le WPA3-Enterprise avec EAP-TLS est la réponse idéale. Il est entièrement compatible avec le WPA3 et le 6 GHz, fournit une identité par appareil et s'intègre à Microsoft Entra ID, Okta, et Google Workspace. Le compromis réside dans la complexité du déploiement et la nécessité d'une infrastructure de certificats. Recommandations de mise en œuvre et pièges. Alors, que devez-vous faire concrètement ? Si vous gérez un parc hôtelier comprenant un mélange d'appareils de clients, de capteurs IoT et d'appareils du personnel, la réponse pragmatique en 2026 est une conception SSID hybride. Conservez un SSID WPA2-Personal avec PSK par appareil pour l'IoT hérité et les appareils des clients. Utilisez un SSID WPA3-Enterprise pour les appareils du personnel que vous contrôlez. Utilisez le mode de transition sur votre SSID invité principal pour prendre en charge à la fois les clients WPA2 et WPA3 sans multiplier votre nombre de SSID. Si vous utilisez du matériel Ruckus et disposez d'équipements WiFi 6 ou plus récents, DPSK3 en mode mixte WPA2 / WPA3 avec Cloudpath mérite d'être évalué. Cela vous offre ce qui se rapproche le plus d'un PSK par appareil WPA3 natif disponible aujourd'hui. Si vous êtes sur Fortinet, le profil MPSK avec transition WPA3-SAE est simple à configurer et vous offre une voie de migration claire. Si vous utilisez UniFi, indiquez clairement à vos parties prenantes que le Private PSK est uniquement WPA2. Pour les sites déployant le WiFi 6E ou le WiFi 7 avec des radios 6 GHz, vous aurez besoin d'une stratégie d'authentification différente pour cette bande. Le piège le plus important que nous constatons est que les équipes supposent que l'activation du WPA3 sur un SSID avec PSK par appareil existant va simplement fonctionner. Ce n'est pas le cas. Testez d'abord sur un site pilote. Vérifiez les versions du micrologiciel de vos points d'accès - par exemple, DPSK3 nécessite le micrologiciel 7.0 ou ultérieur sur Ruckus. Et vérifiez la compatibilité de votre serveur RADIUS - Ruckus DPSK3 en mode mixte requiert spécifiquement Cloudpath, et non un serveur RADIUS générique. Un second piège est la prolifération des clés. Le PSK par appareil est excellent pour la responsabilisation, mais seulement si vous disposez d'un processus pour révoquer les clés lorsque les appareils sont mis hors service. Sans gestion du cycle de vie, vous vous retrouvez avec des milliers de clés orphelines et aucune piste d'audit. Intégrez votre provisionnement de clés à votre flux de gestion des appareils dès le premier jour. Questions et réponses rapides. Puis-je utiliser le PSK par appareil sur un SSID 6 GHz ? Non. Le 6 GHz impose le WPA3-only, et le WPA3 ne prend pas en charge nativement le PSK par appareil. Utilisez l'802.1X ou un SSID séparé de 2,4 / 5 GHz pour les appareils qui ont besoin d'un PSK par appareil. Le PSK par appareil répond-il aux exigences PCI-DSS ? Le PSK par appareil sur WPA2 peut répondre aux exigences de segmentation réseau de la norme PCI-DSS 4.0 si chaque clé est associée à un VLAN isolé. Cependant, PCI-DSS recommande fortement l'802.1X pour les environnements de données de titulaires de cartes. Vérifiez auprès de votre QSA. Quel est le nombre maximal de clés par SSID ? Cela varie considérablement. Cisco Meraki avec ISE prend en charge des déploiements de très grande envergure. Ruckus DPSK prend en charge des dizaines de milliers de clés. Juniper Mist limite à 5 000 par site. UniFi est concrètement limité par la mémoire du contrôleur. Consultez toujours la documentation du fournisseur pour votre version spécifique du micrologiciel. Comment Purple s'intègre-t-il dans tout cela ? Purple s'installe comme une superposition cloud au-dessus de votre infrastructure matérielle existante. Nous nous intégrons avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks, et Fortinet. Pour les déploiements de WiFi invité et de WiFi personnel, Purple gère la couche d'identité - authentification, capture de données, gestion du consentement - et renvoie l'affectation de VLAN ou de politique appropriée à votre matériel via RADIUS ou API. Vous conservez votre infrastructure PSK par appareil existante ; Purple ajoute la couche d'identité et d'analyse par-dessus. Synthèse et étapes suivantes. Résumons la situation. Le PSK par appareil - que vous l'appeliez iPSK, DPSK, MPSK ou PPSK - est une fonctionnalité mature et parfaitement prise en charge par tous les principaux constructeurs de WiFi d'entreprise. Les implémentations diffèrent selon l'endroit où les clés sont stockées, leur mise à l'échelle et leur intégration avec RADIUS. Le protocole SAE de WPA3 crée une véritable contrainte technique pour le PSK par appareil. La norme ne le prend pas en charge nativement. Les solutions pratiques actuelles sont le mode de transition, les extensions propriétaires comme DPSK3, ou le passage à 802.1X pour les appareils qui le prennent en charge. Le récapitulatif par constructeur : l'iPSK de Cisco Meraki fonctionne bien avec ISE en mode RADIUS ; la prise en charge de WPA3 se fait via le mode de transition. Le MPSK de HPE Aruba avec ClearPass est hautement évolutif ; le MPSK WPA3 est en cours de développement actif. Le DPSK3 de Ruckus est la solution de PSK par appareil WPA3 la plus mature disponible. Juniper Mist Access Assurance ajoute le PSK RADIUS WPA3. Fortinet MPSK prend explicitement en charge WPA3-SAE dans ses profils MPSK. Le PPSK d'Extreme Networks est robuste pour les modes local et RADIUS. Le PSK privé de UniFi est uniquement WPA2 et uniquement local. Pour vos prochaines étapes : auditez votre déploiement actuel de PSK par appareil, identifiez les appareils compatibles WPA3 et concevez une stratégie de SSID hybride qui dessert les deux. Si vous planifiez un renouvellement de matériel, donnez la priorité aux points d'accès WiFi 6 ou WiFi 7 avec une prise en charge confirmée de DPSK3 ou de MPSK WPA3. Si vous souhaitez comprendre comment Purple s'intègre à votre constructeur de matériel spécifique pour ajouter la gestion des identités et l'analyse par-dessus votre déploiement de PSK par appareil, visitez purple.ai ou contactez votre équipe commerciale. C'est tout pour ce point d'information. Merci pour votre attention.