WPA2 & WPA3-Enterprise. Un WiFi sécurisé, sans mot de passe partagé.

WPA2-Personal partage une seule phrase secrète entre tous les appareils. WPA2 et WPA3-Enterprise authentifient chaque utilisateur ou appareil individuellement via 802.1X auprès d'un serveur RADIUS, ce que requièrent les normes SOC 2, ISO 27001 et PCI-DSS. Purple gère la partie RADIUS dans le cloud sur vos points d'accès existants et délivre automatiquement les certificats.

Le WPA-Enterprise est le mode de sécurité IEEE 802.11 conçu pour les organisations. Au lieu d'un mot de passe partagé unique (WPA-Personal), chaque utilisateur ou appareil s'authentifie individuellement auprès d'un serveur RADIUS via 802.1X, généralement avec un certificat (EAP-TLS) ou un nom d'utilisateur et un mot de passe (PEAP). Chaque session reçoit une clé de chiffrement unique et l'accès peut être révoqué par appareil sans perturber le reste du réseau.

Le WPA3-Enterprise corrige les faiblesses connues du WPA2-Enterprise. Les changements les plus importants : la validation du certificat serveur est désormais obligatoire (fermant le vecteur d'attaque « evil-twin » qui affectait le WPA2), les trames de gestion sont protégées et le mode optionnel Suite B 192 bits offre une cryptographie de niveau défense. Le WPA3-Enterprise est rétrocompatible avec le WPA2-Enterprise en mode transition, ce qui vous permet de migrer progressivement.

Trois parties sont impliquées. Le supplicant (appareil client) demande à se connecter. L'authentificateur (point d'accès) maintient le client dans un état de quarantaine et transmet ses messages EAP à un serveur d'authentification (RADIUS). Le serveur RADIUS valide l'identifiant - certificat, mot de passe ou jeton - et indique au point d'accès d'accepter ou de rejeter la connexion. Chaque session réussie reçoit une clé de chiffrement unique dérivée de l'authentification, de sorte qu'un appareil compromis ne peut pas en décrypter un autre.

L'EAP-TLS utilise une poignée de main TLS avec authentification mutuelle par certificat. Le client prouve son identité avec un certificat d'appareil, le serveur prouve son identité avec un certificat de serveur, et la clé de session est négociée à l'intérieur du tunnel chiffré. Il n'y a pas de mot de passe à hameçonner ou à voler - il faudrait extraire la clé privée de l'appareil lui-même. Pour les flottes gérées avec un MDM, l'EAP-TLS est le choix par défaut idéal.

La plupart des points d'accès de classe entreprise sortis à partir de 2020 prennent en charge le WPA3-Enterprise via le micrologiciel. Généralement, vous activez le WPA3-Enterprise sur le SSID et conservez le WPA2 comme solution de repli pendant la transition. Les points d'accès plus anciens peuvent ne prendre en charge que le WPA2-Enterprise - ceux-ci restent sécurisés lorsqu'ils sont associés à un RADIUS cloud et à l'EAP-TLS, une mise à niveau matérielle complète est donc rarement nécessaire.

Oui - le WPA-Enterprise est défini autour d'un serveur d'authentification externe, ce qui en pratique signifie un RADIUS. Vous pouvez l'exécuter sur site (FreeRADIUS, Microsoft NPS, Cisco ISE) ou le consommer en tant que service. Le RADIUS-as-a-Service de Purple est l'option hébergée dans le cloud que la plupart des clients choisissent lorsqu'ils ne souhaitent pas gérer de serveurs.

Oui, lorsqu'il est déployé correctement. Les attaques connues sur le WPA2-Enterprise nécessitent soit un client mal configuré (pas de validation du certificat serveur, ce que le WPA3 rend obligatoire), soit un accès physique à un appareil. L'application de la validation du certificat serveur via MDM et l'utilisation de l'EAP-TLS éliminent les risques pratiques. Le WPA3-Enterprise reste préférable pour l'avenir, mais il n'y a aucune raison de migrer en urgence un déploiement WPA2-Enterprise fonctionnel.

Deux bonnes options. Premièrement, l'iPSK (Identity PSK) donne à chaque appareil une clé pré-partagée unique sur un seul SSID - l'expérience utilisateur du WPA-Personal, la révocation par appareil du WPA-Enterprise. Deuxièmement, le MAC Authentication Bypass (MAB) admet les adresses MAC connues dans un VLAN restreint. Purple prend en charge les deux aux côtés du WPA2/3-Enterprise sur le même réseau.

Oui, vous n'avez pas besoin de gérer votre propre serveur RADIUS. Par définition, WPA2-Enterprise nécessite un serveur d'authentification RADIUS, mais avec Purple RADIUS-as-a-Service, ce serveur est hébergé dans le cloud : vous pointez vos points d'accès vers Purple au lieu de déployer FreeRADIUS, Microsoft NPS ou Cisco ISE. Vous bénéficiez toujours d'un 802.1X complet avec EAP-TLS ou PEAP auprès de Microsoft Entra ID, Okta ou Google Workspace, sans aucun matériel d'authentification sur site à installer, mettre à jour ou maintenir hautement disponible.

WPA2-Enterprise uses 802.1X with CCMP-128 encryption. WPA3-Enterprise introduces mandatory Protected Management Frames (PMF) to prevent deauthentication attacks, supports 192-bit cryptographic suites (CNSA / Suite B), and eliminates obsolete fallback ciphers.

Yes. Purple Cloud RADIUS replaces legacy Microsoft NPS and FreeRADIUS servers. Your wireless access points authenticate directly via redundant cloud RADIUS endpoints integrated with Microsoft Entra ID, Okta, or Google Workspace.

Purple syncs with Entra ID using SCIM and OAuth 2.0. When an employee logs in via 802.1X or a client certificate, RADIUS checks user status and group membership in Entra ID in real time. Disabling an account in Entra ID revokes WiFi access immediately.