WiFi PPSK : comparaison des fonctionnalités et des modèles de déploiement

Bienvenue dans ce briefing technique Purple. Aujourd'hui, nous abordons le PPSK WiFi - Private Pre-Shared Key - ce que c'est, comment il se compare aux alternatives et où il est réellement pertinent de le déployer. [medium pause] Commençons par le problème qu'il résout. Dans un réseau WPA2 Personnel traditionnel, chaque appareil connecté partage le même mot de passe. C'est parfait pour une maison. C'est un risque de sécurité pour un complexe résidentiel locatif de 200 appartements, une résidence étudiante ou un hôtel de 300 chambres. Lorsqu'un résident déménage, soit vous changez le mot de passe pour tout le monde - ce qui déconnecte la TV connectée, le thermostat et la console de tous les autres résidents au passage - soit vous laissez l'ancien résident avec son accès. Aucune de ces options n'est acceptable. [short pause] Le PPSK résout ce problème en attribuant à chaque résident, chaque appartement ou chaque groupe d'appareils sa propre clé WiFi unique. Ils se connectent tous au même SSID - le même nom de réseau - mais chaque clé est associée à un VLAN distinct. L'appartement 12 est sur le VLAN 10. L'appartement 13 est sur le VLAN 20. Les appareils IoT sont sur le VLAN 99. Le point d'accès gère automatiquement l'association entre la clé et le VLAN. Aucun serveur RADIUS requis. Aucune infrastructure de certificats. Pas de suppliant 802.1X sur l'appareil. [medium pause] Parlons maintenant de la terminologie, car elle varie selon les constructeurs et cela crée une réelle confusion sur le marché. Aruba l'appelle PPSK - Private Pre-Shared Key. Cisco Meraki l'appelle iPSK - Identity PSK, ou Personal Private Network. Juniper Mist utilise ePSK. Extreme Networks, qui a initialement développé le concept sous la marque Aerohive, l'appelle Private PSK. Ubiquiti UniFi l'appelle simplement PPSK. Cambium utilise également ePSK. Le mécanisme sous-jacent est identique pour tous : un seul SSID, plusieurs clés uniques, chaque clé étant liée à un VLAN ou à un groupe de politiques. [short pause] Techniquement, voici ce qui se passe au niveau de la couche d'association. Lorsqu'un appareil se connecte, il présente sa clé prépartagée lors de la négociation en quatre étapes WPA2. Le point d'accès - ou le contrôleur cloud sous-jacent - recherche cette clé dans la base de données PPSK, identifie le VLAN auquel elle correspond et étiquette le trafic de l'appareil en conséquence à partir de ce moment. L'appareil voit une connexion WiFi normale. Il n'a aucune idée qu'il a été placé dans un segment isolé. Son Chromecast fonctionne. Son enceinte connectée s'associe. Sa console obtient le bon type de NAT. Tout se comporte comme un réseau domestique - car du point de vue de l'appareil, c'est le cas. [medium pause] C'est la différence clé avec le 802.1X, qui est la norme d'entreprise pour les réseaux du personnel et les environnements professionnels. Le 802.1X nécessite un serveur RADIUS, un fournisseur d'identité - Microsoft Entra ID, Okta ou Google Workspace - et un suppliant sur chaque appareil. Ce suppliant est le composant logiciel qui gère l'échange d'authentification EAP. Chaque ordinateur portable managé, chaque téléphone d'entreprise en possède un. Le réfrigérateur connecté de votre résident n'en a pas. Le contrôleur CVC de votre bâtiment n'en a pas. Vos capteurs IoT n'en ont pas. Le PPSK fonctionne avec tous ces équipements car il opère au niveau de la couche WPA Personnel, et non de la couche WPA Entreprise. [short pause] Cela dit, le PPSK ne remplace pas le 802.1X dans les environnements d'entreprise. C'est un outil différent pour un problème différent. Si vous gérez un réseau pour le personnel où la responsabilité individuelle est essentielle - où vous devez savoir qu'une personne spécifique s'est authentifiée à un moment précis, et que vous devez révoquer son accès dès qu'elle quitte l'organisation - le 802.1X est la bonne réponse. Si vous gérez un réseau résidentiel où vous avez besoin d'une isolation par foyer, d'un support IoT et d'une simplicité opérationnelle à grande échelle, le PPSK est la bonne réponse. [medium pause] Examinons les modèles de déploiement. Il existe trois modèles principaux en production aujourd'hui. [short pause] Le premier est le modèle avec contrôleur cloud, qui est le plus courant pour les nouveaux déploiements. Vos points d'accès - qu'il s'agisse de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks ou Fortinet - se connectent à une plateforme de gestion cloud. Le stockage des clés PPSK réside dans le contrôleur cloud. Lorsque vous provisionnez un nouveau résident, vous créez une clé dans le portail, l'associez à un VLAN, et le contrôleur pousse la politique sur chaque point d'accès du bâtiment. Le résident reçoit sa clé - par e-mail, SMS ou via un code QR dans un pack d'accueil - et se connecte. Lorsqu'il déménage, vous supprimez la clé. Ses appareils cessent de se connecter. Personne d'autre n'est affecté. [short pause] Le deuxième modèle est le PPSK avec un backend RADIUS local. Certains déploiements d'entreprise utilisent un serveur RADIUS pour stocker et valider les identifiants PPSK, ce qui vous offre une journalisation centralisée, des pistes d'audit et une intégration avec votre plateforme de gestion des identités. Cela ajoute des coûts d'infrastructure mais vous apporte la responsabilité du 802.1X avec la compatibilité matérielle du PPSK. C'est le bon modèle pour les environnements mixtes - par exemple, un espace de coworking où vous avez à la fois des appareils d'entreprise gérés et des équipements IoT appartenant aux membres. [short pause] Le troisième modèle est hybride : le PPSK pour les résidents et l'IoT, le 802.1X pour le personnel et les systèmes de gestion. C'est l'architecture que Purple recommande pour les déploiements Build to Rent et les immeubles collectifs. Les résidents bénéficient du PPSK. Les systèmes de gestion technique du bâtiment, la vidéosurveillance et le contrôle d'accès disposent de leur propre VLAN IoT avec PPSK. Les appareils de l'équipe de gestion immobilière utilisent le 802.1X relié à Microsoft Entra ID ou Okta. Trois modèles d'authentification distincts, trois VLAN distincts, une seule infrastructure physique. Passons maintenant à la mise en œuvre. Si vous déployez le PPSK pour un projet Build to Rent ou une propriété résidentielle collective, voici la séquence qui fonctionne. [short pause] Commencez par votre conception logique avant de toucher au matériel. Cartographiez votre nombre de résidents, vos catégories d'appareils IoT et tous les systèmes de gestion ou de personnel. Attribuez les VLAN. Un déploiement BTR typique ressemble à ceci : du VLAN 10 jusqu'au nombre requis par vos appartements pour les résidents, un VLAN par appartement ou un VLAN par étage selon votre densité. Le VLAN 99 pour l'IoT. Le VLAN 100 pour la gestion du bâtiment. Le VLAN 200 pour le WiFi invité dans les zones communes. [short pause] Documentez ensuite votre plan d'adressage IP. Dans un immeuble de 200 logements, vous devez gérer de 3 000 à 5 000 appareils connectés simultanément. Cela correspond à la moyenne de 15 à 25 appareils par foyer selon les données du British Property Federation. Vos étendues DHCP doivent s'y adapter. Utilisez l'adressage privé RFC 1918 avec des tailles de sous-réseau suffisantes par VLAN. Un slash 24 vous offre 254 adresses utilisables. Un slash 23 vous en donne 510. Adaptez la taille en conséquence. [medium pause] Concernant le choix du matériel : la technologie PPSK est prise en charge par toutes les grandes plateformes de points d'accès d'entreprise. Cisco Meraki la nomme iPSK et la gère via le tableau de bord Meraki avec des politiques de clés par SSID. HPE Aruba l'intègre nativement dans ArubaOS et Aruba Central. Ruckus la prend en charge via SmartZone et la plateforme Ruckus Cloud. Juniper Mist utilise l'ePSK avec une gestion RF optimisée par l'IA. Ubiquiti UniFi propose la PPSK depuis 2023, mais notez qu'elle est actuellement limitée au WPA2 et ne fonctionnera pas sur la bande de fréquences 6 GHz. Cambium et Extreme la prennent toutes deux en charge via leurs plateformes cloud respectives. [short pause] Une contrainte critique à souligner : l'implémentation PPSK d'UniFi est limitée au WPA2. Si vous installez des points d'accès WiFi 6E et souhaitez utiliser la bande 6 GHz pour les clients PPSK, il vous faudra une plateforme qui prend en charge le WPA3-SAE avec PPSK, ou vous devrez limiter les clients PPSK aux bandes 2.4 et 5 GHz. Aruba, Ruckus et Meraki prennent tous en charge la PPSK sur les configurations WPA3. [medium pause] Parlons à présent des pièges à éviter. Voici les scénarios de défaillance que je rencontre régulièrement sur le terrain. [short pause] Le premier est la prolifération des SSID. Chaque SSID diffusé consomme du temps d'antenne pour les trames de balise. Dans un immeuble résidentiel dense, si vous diffusez six ou huit SSID par point d'accès, vous dégradez les performances pour tout le monde. Limitez-vous à un maximum de quatre SSID par radio. Utilisez la PPSK pour desservir plusieurs segments de résidents à partir d'un seul SSID plutôt que de créer un SSID distinct par appartement ou par étage. [short pause] Le deuxième piège est la configuration insuffisante des ports trunk. Vous concevez un plan VLAN clair, vous déployez les points d'accès, puis le trafic est bloqué en silence parce que quelqu'un a oublié d'autoriser les VLAN concernés sur une liaison trunk entre le commutateur de distribution et la couche d'accès. Validez chaque port trunk lors de la mise en service. Documentez-le. Testez-le avec un appareil sur chaque VLAN avant l'arrivée des résidents. [short pause] Le troisième piège concerne la distribution des clés. Générer des clés est facile. Les transmettre aux résidents de manière sécurisée et simple à gérer l'est beaucoup moins. Un code QR dans le livret d'accueil fonctionne très bien pour le jour de l'emménagement. Un portail résidents où ils peuvent récupérer leur clé et ajouter de nouveaux appareils est idéal pour la gestion quotidienne. Concevez le flux de distribution des clés avant de déployer, pas après. [short pause] Le quatrième piège, spécifique à l'IoT, consiste à placer les appareils domestiques intelligents sur le segment PPSK du résident sans en mesurer les conséquences. Un appareil IoT compromis sur le VLAN d'un résident peut potentiellement attaquer d'autres appareils sur ce même VLAN. Pour les catégories IoT à haut risque, envisagez un VLAN IoT distinct avec filtrage de sortie, même si cela signifie que les résidents doivent configurer leurs applications de maison intelligente pour utiliser un réseau différent. [medium pause] Examinons deux scénarios réels. [short pause] Scénario un : un développement Build to Rent de 180 logements en centre-ville. L'opérateur souhaitait que le WiFi soit inclus dans le loyer en tant que service, avec une activation le jour de l'emménagement et une prise en charge complète de la maison intelligente. Ils ont déployé des points d'accès HPE Aruba gérés via Aruba Central. Chaque appartement reçoit une clé PPSK unique générée lors de la signature du bail. La clé est envoyée par e-mail au résident avec un code QR. Ils le scanne, tous leurs appareils se connectent, et leur Chromecast, enceinte intelligente et console fonctionnent immédiatement. Lorsqu'un résident déménage, le gestionnaire immobilier supprime la clé dans le portail. Le nouveau résident reçoit une nouvelle clé à son arrivée. Aucun problème de rotation des mots de passe. L'opérateur signale une réduction de 30 % des tickets de support liés au WiFi par rapport à son déploiement précédent à mot de passe partagé. [short pause] Scénario deux : une résidence étudiante de 400 lits. Le défi ici est la semaine d'emménagement de la cohorte, avec des centaines d'étudiants arrivant simultanément, essayant tous de connecter des dizaines d'appareils en même temps. L'opérateur a utilisé des points d'accès Ruckus avec SmartZone, déployant le PPSK avec une clé par chambre. Les clés ont été pré-générées et incluses dans le pack d'accueil envoyé avant l'arrivée. Les étudiants ont scanné le code QR à leur arrivée et ont été connectés en quelques secondes. Le réseau a géré le pic d'emménagement sans dégradation car le trafic de chaque étudiant était isolé sur son propre segment VLAN. [medium pause] Passons maintenant à une séance de questions - réponses rapide sur les sujets qui reviennent le plus souvent. [short pause] Combien de clés PPSK un seul point d'accès peut-il gérer ? La plupart des plateformes d'entreprise prennent en charge des milliers de clés par SSID. Cisco Meraki prend en charge jusqu'à 5 000 entrées iPSK par réseau. Aruba prend en charge une échelle similaire. Ubiquiti UniFi prend en charge jusqu'à 1 000 entrées PPSK par réseau. Pour un immeuble de 200 unités, vous êtes largement dans les limites sur n'importe quelle plateforme. [short pause] Le PPSK fonctionne-t-il avec le WPA3 ? Oui, sur la plupart des plateformes d'entreprise. Le WPA3-SAE offre une protection plus forte contre les attaques par dictionnaire hors ligne par rapport au WPA2-PSK, donc déployer le PPSK sur le WPA3 là où vos appareils clients le prennent en charge est la bonne approche. L'exception est UniFi, qui est actuellement uniquement WPA2 pour le PPSK. [short pause] Puis-je intégrer le PPSK à mon système de gestion immobilière ? Oui, via l'API du fournisseur. Aruba Central, Meraki, Ruckus et Mist exposent tous des API REST pour la gestion des clés PPSK. Vous pouvez automatiser la création et la révocation des clés dans le cadre de votre flux de travail de gestion des baux. [short pause] Quelle est la différence de sécurité entre PPSK et 802.1X ? La différence fondamentale est que PPSK est un modèle de secret partagé. La clé est une chaîne de caractères qui peut être partagée ou interceptée. 802.1X avec EAP-TLS utilise des certificats numériques, qui ne peuvent pas être partagés de la même manière et fournissent une authentification mutuelle. Pour les environnements résidentiels où le modèle de menace est principalement l'isolation entre résidents, PPSK offre une sécurité adéquate. Pour les réseaux du personnel d'entreprise, 802.1X est le choix correct. [medium pause] Pour synthétiser : PPSK WiFi est le bon modèle d'authentification pour les déploiements résidentiels multi-locataires, les environnements riches en IoT et tout scénario où vous avez besoin d'une isolation par utilisateur ou par foyer sans la complexité infrastructurelle de 802.1X. Il fonctionne sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Il s'intègre aux systèmes de gestion de propriété via API. Et il résout les trois problèmes opérationnels fondamentaux que les réseaux à mot de passe partagé ne peuvent pas résoudre : les déménagements sans perturber tout le monde, la prise en charge des appareils domestiques intelligents et la responsabilité par résident. [short pause] La grille de décision est simple. Si vos appareils prennent en charge 802.1X et que vous disposez d'une infrastructure RADIUS, utilisez 802.1X pour le personnel et les appareils gérés. Si vous gérez une propriété résidentielle multi-locataire, utilisez PPSK. Si vous avez des appareils IoT qui ne peuvent pas utiliser 802.1X, utilisez PPSK avec un VLAN IoT dédié. Si vous avez besoin d'un WiFi invité dans les espaces communs, utilisez un réseau PSK standard ou ouvert avec un Captive Portal par-dessus. [short pause] Pour les prochaines étapes : examinez le schéma de présentation de l'architecture dans le guide, qui montre l'ensemble de la pile de déploiement PPSK, de la liaison montante du FAI à l'appareil du résident. Utilisez le diagramme de décision pour associer votre environnement spécifique au bon modèle d'authentification. Et si vous planifiez un déploiement BTR ou MDU et souhaitez comprendre comment la plateforme WiFi Multi-Tenant de Purple se superpose à votre matériel existant pour fournir la couche de gestion des clés, de portail résident et d'analyses, le lien se trouve dans le guide. [medium pause] C'est tout pour le point d'aujourd'hui. Merci pour votre écoute. Laissez-moi approfondir le modèle de sécurité, car c'est là que je constate le plus de confusion sur le marché. [short pause] PPSK fonctionne au niveau de la couche WPA Personal. Chaque clé est un secret pré-partagé. La garantie de sécurité offerte par PPSK est l'isolation entre résidents - l'appareil A sur la clé A ne peut pas communiquer avec l'appareil B sur la clé B, même s'ils sont associés au même point d'accès physique. Cette isolation est appliquée au niveau de la couche VLAN, et non de la couche de chiffrement. Le chiffrement entre chaque appareil et le point d'accès utilise la même suite de chiffrement WPA2 ou WPA3, quelle que soit la clé PPSK que l'appareil a utilisée pour s'authentifier. [short pause] Ce que le PPSK ne fournit pas, c'est l'authentification mutuelle que propose le 802.1X. Dans un déploiement 802.1X avec EAP-TLS, le client s'authentifie auprès du réseau et le réseau s'authentifie auprès du client. Les deux parties présentent des certificats. Cela empêche les attaques par point d'accès malveillant. Avec le PPSK, le client n'a aucun moyen de vérifier qu'il est connecté au réseau légitime plutôt qu'à un point d'accès malveillant diffusant le même SSID. Pour un immeuble résidentiel où le modèle de menace consiste principalement à isoler les résidents les uns des autres, c'est un compromis acceptable. Pour un environnement d'entreprise gérant des données sensibles, cela ne l'est pas. [medium pause] Parlons maintenant de la transition vers le WPA3. Le WPA3-SAE, qui signifie Simultaneous Authentication of Equals, remplace la poignée de main à quatre voies du WPA2 par un protocole d'échange de clés plus sécurisé appelé Dragonfly. L'amélioration essentielle pour les déploiements PPSK est la confidentialité persistante (forward secrecy) : même si un attaquant capture le trafic WiFi et obtient plus tard la clé pré-partagée, il ne peut pas décrypter le trafic capturé. Le WPA2-PSK n'offre pas de confidentialité persistante. Le WPA3-SAE la propose. Si vous déployez de nouveaux équipements aujourd'hui, spécifiez la prise en charge du WPA3-SAE et activez-la pour votre SSID PPSK. Les clients qui ne prennent pas en charge le WPA3 repasseront en WPA2 en mode de transition, vous n'avez donc pas besoin d'imposer une coupure brutale. [short pause] L'aspect lié au GDPR mérite d'être abordé directement. Dans un déploiement résidentiel multi-locataire, vous traitez des données personnelles - plus précisément, l'association entre une clé WiFi et un résident nommé. Cette association constitue une donnée personnelle en vertu du UK GDPR et du GDPR de l'UE. Vous devez disposer d'une base légale pour la traiter. Dans un contexte de BTR (Build-to-Rent), la base légale est généralement l'exécution d'un contrat - le contrat de bail - ou les intérêts légitimes. Vous devez disposer d'une politique de confidentialité couvrant le traitement des données WiFi. Vous avez besoin d'une politique de conservation des données pour les journaux de connexion. Et vous devez être en mesure de répondre aux demandes d'accès des personnes concernées, ce qui signifie que votre plateforme de gestion PPSK doit pouvoir exporter toutes les données associées à la clé d'un résident spécifique. [short pause] La plateforme de WiFi multi-locataire de Purple est conçue dans cette optique. Les données sont stockées dans une infrastructure certifiée ISO 27001. Nous sommes conformes au GDPR et au CCPA. L'hébergement des données est au choix - Royaume-Uni, UE ou États-Unis - afin que vous puissiez respecter vos obligations réglementaires, quel que soit l'endroit où se trouvent vos propriétés. Et notre plateforme fournit la piste d'audit et les capacités d'exportation de données dont vous avez besoin pour la conformité. Permettez-moi d'aborder la question du ROI, car elle revient dans toutes les discussions d'achat de BTR. [short pause] Les recherches de la British Property Federation montrent systématiquement que la qualité du WiFi figure parmi les cinq principaux critères de confort dans les décisions de location en Build to Rent. Les opérateurs qui intègrent le WiFi managé comme un service inclus signalent des suppléments de loyer de quinze à trente livres par unité et par mois par rapport à des propriétés équivalentes sans connectivité incluse. Pour un bâtiment de 200 unités, cela représente entre trente-six mille et soixante-douze mille livres par an de revenus locatifs supplémentaires. Face au coût d'un déploiement PPSK typique - matériel amorti sur cinq ans plus une licence logicielle - la période de retour sur investissement est généralement inférieure à 18 mois. [short pause] Les économies opérationnelles sont tout aussi importantes. Un réseau à mot de passe partagé dans un bâtiment de 200 unités génère un volume prévisible de tickets d'assistance : des résidents qui ne parviennent pas à connecter leur Chromecast, des résidents dont l'enceinte connectée ne s'associe pas, des résidents dont la console affiche un type de NAT strict. Ces tickets coûtent du temps et de l'argent à résoudre. Un réseau PPSK correctement déployé élimine la majorité d'entre eux. Un opérateur avec lequel nous travaillons a signalé une réduction de 30 % des demandes d'assistance liées au WiFi au cours des six premiers mois suivant la migration d'un mot de passe partagé vers un déploiement PPSK. [short pause] Les périodes de vacance locative constituent l'autre levier. Un bâtiment où le WiFi est actif et opérationnel le jour de l'emménagement réduit les frictions pour les nouveaux résidents. Un bâtiment où un nouveau résident doit attendre le rendez-vous d'un technicien haut débit - généralement sept à quatorze jours au Royaume-Uni - crée une première impression négative qui affecte la fidélisation. Le PPSK avec activation le jour de l'emménagement élimine complètement cette friction. [medium pause] Un autre domaine à aborder : l'application au coworking et à l'usage mixte. Le PPSK n'est pas uniquement destiné au résidentiel. C'est également le modèle idéal pour les espaces de coworking où vous souhaitez une isolation par membre ou par entreprise sans la lourdeur de la norme 802.1X. Un opérateur de coworking comptant 200 membres peut attribuer à chaque membre sa propre clé PPSK, l'associer à un VLAN dédié et s'assurer que les appareils du membre A sont invisibles pour le membre B. Lorsqu'un abonnement prend fin, la clé est révoquée. Lorsqu'un nouveau membre s'inscrit, une nouvelle clé est générée. L'expérience du membre est identique à celle d'un réseau domestique. [short pause] Pour le coworking, le modèle hybride fonctionne particulièrement bien. Les membres bénéficient du PPSK. Les visiteurs des membres - des clients assistant à des réunions, par exemple - disposent d'un SSID WiFi invité distinct avec un Captive Portal. Le personnel du bâtiment utilise le 802.1X relié au fournisseur d'identité de l'opérateur. Trois modèles d'authentification, une seule infrastructure physique, et une séparation nette entre ces trois groupes d'utilisateurs. [medium pause] Voilà qui fait le tour de la question. Le PPSK WiFi est une technologie mature et bien supportée qui résout un problème spécifique et important : l'isolation par utilisateur ou par logement dans les environnements multi-locataires, sans la lourdeur d'infrastructure de l'802.1X. Elle est indépendante du matériel, pilotée par API et déployable dès aujourd'hui sur les points d'accès que vous possédez déjà. Les critères de décision sont clairs. Les modèles de déploiement sont éprouvés. Et l'analyse de rentabilisation, en particulier dans le secteur du Build to Rent et des résidences étudiantes dédiées, est largement démontrée.