infra / reseaux-tcp-ip

Sécurité Wi-Fi : WEP, WPA2, WPA3

Leçon 211 exercice

Explication

Ce que vous allez apprendre

Comprendre pourquoi le Wi-Fi nécessite un chiffrement que le câble Ethernet ne requiert pas de la même façon
Situer chronologiquement WEP, WPA, WPA2 et WPA3, et savoir lesquels sont à bannir
Comprendre la faiblesse structurelle du PSK WPA2 face au brute-force hors ligne
Configurer un point d'accès WPA3 avec hostapd en mode SAE
Distinguer les modes Personal et Enterprise (802.1X + RADIUS) et savoir quand choisir chacun

Dans quel contexte ?

Le responsable informatique d'une PME découvre que le Wi-Fi de l'entreprise utilise encore WPA2-Personal avec un mot de passe partagé par tous les employés depuis cinq ans, jamais changé même après le départ d'anciens salariés. N'importe qui ayant eu accès au mot de passe pourrait encore se connecter au réseau. En migrant vers WPA2/WPA3-Enterprise avec un serveur RADIUS, chaque employé reçoit désormais des identifiants individuels, révocables un par un sans perturber les autres.

Pourquoi le Wi-Fi a besoin d'une protection particulière

Contrairement à un câble Ethernet qu'il faut brancher physiquement, un signal Wi-Fi se propage dans l'air et peut être capté par n'importe qui à portée. Sans chiffrement, tout le trafic serait lisible par quiconque écoute. Les protocoles de sécurité Wi-Fi successifs (WEP, WPA, WPA2, WPA3) ont pour but de chiffrer ce trafic et d'authentifier les appareils — mais chaque génération a corrigé les faiblesses découvertes dans la précédente.

Protocole	État	Recommandation
WEP	Cassé depuis les années 2000	À bannir totalement
WPA	Obsolète (toujours basé sur RC4)	À bannir totalement
WPA2	Standard depuis 2004	Acceptable, mais vulnérable au brute-force offline du PSK
WPA3	Depuis 2018	À activer dès que le matériel le supporte

Piège dangereux

Avec WPA2-Personal, le handshake de connexion peut être capturé passivement par un attaquant à portée du signal, puis attaqué hors ligne (brute-force) sans jamais interagir à nouveau avec le point d'accès — d'autant plus efficace si le mot de passe est faible. WPA3 (SAE) élimine structurellement cette possibilité d'attaque hors ligne.

La faiblesse structurelle qui a poussé vers WPA3

Avec WPA2, tous les appareils du réseau partagent le même mot de passe (la clé pré-partagée, PSK). Le problème n'est pas le chiffrement du trafic courant, mais l'échange initial de connexion (le "handshake") : il peut être capturé passivement par un attaquant, puis attaqué hors ligne, tranquillement, en essayant des mots de passe jusqu'à trouver le bon — d'autant plus efficace si le mot de passe est faible ou courant.

Ce que WPA3 change fondamentalement

WPA3 remplace ce mécanisme par SAE (Simultaneous Authentication of Equals), une méthode d'échange qui empêche structurellement l'attaque hors ligne : même en capturant l'intégralité de l'échange, un attaquant ne peut plus tester des mots de passe en différé sans interagir activement avec le point d'accès à chaque tentative — ce qui rend l'attaque bien plus lente et détectable. WPA3 ajoute aussi la "forward secrecy" : même si le mot de passe est compromis plus tard, il ne permet pas de déchiffrer rétroactivement du trafic déjà capturé auparavant.

Personal vs Enterprise : une distinction essentielle

Le mode "Personal" utilise un mot de passe unique partagé par tous les appareils — pratique, mais impossible à révoquer pour une seule personne sans changer le mot de passe de tout le monde. Le mode "Enterprise" (802.1X avec un serveur RADIUS) donne à chaque utilisateur ses propres identifiants individuels, permettant de révoquer l'accès d'une seule personne sans impacter les autres — la solution attendue dans un contexte professionnel.

Commandes & code

Sécurité Wi-Fi : WEP, WPA2, WPA3

# Évolution historique des protocoles de sécurité Wi-Fi (802.11)
WEP    -> cassé depuis les années 2000, ne JAMAIS utiliser (clé RC4 statique, cassable en minutes)
WPA    -> transition rapide, toujours basé sur RC4, obsolète
WPA2   -> standard depuis 2004, chiffrement AES-CCMP, resté la référence pendant 15 ans
WPA3   -> depuis 2018, corrige les failles structurelles de WPA2 (notamment KRACK et les attaques offline)

# --- WPA2-Personal (PSK) : la faiblesse structurelle ---
# La clé PSK (Pre-Shared Key) sert à dériver une clé de session lors du 4-way handshake.
# Ce handshake est diffusé EN CLAIR (juste chiffré par la PSK) -> capturable puis attaquable
# hors ligne (offline brute-force) si le mot de passe est faible.

# --- WPA3-Personal : SAE (Simultaneous Authentication of Equals) ---
# Remplace le PSK par un échange de type Diffie-Hellman authentifié par mot de passe.
# - Résiste aux attaques par dictionnaire hors ligne, MÊME avec un mot de passe faible capturé
# - Forward secrecy : compromettre le mot de passe plus tard NE PERMET PAS de déchiffrer du trafic déjà capturé

# --- Vérifier le protocole de sécurité utilisé par un réseau accessible ---
sudo iw dev wlan0 scan | grep -A5 "SSID: MonReseau" | grep -i "RSN\|WPA"
nmcli device wifi list                    # colonne SECURITY : WPA2, WPA3, --  (ouvert = danger)

# État de la connexion actuelle
nmcli connection show "MonReseau" | grep -i "802-11-wireless-security"
iwconfig wlan0                              # infos bas niveau (débit, puissance signal, chiffrement)

# --- Configurer un point d'accès WPA3 avec hostapd (Linux) ---
sudo tee /etc/hostapd/hostapd.conf <<'EOF'
interface=wlan0
ssid=ReseauEntreprise
hw_mode=g
channel=6
wpa=2
wpa_key_mgmt=SAE
rsn_pairwise=CCMP
sae_password=motdepasse_tres_solide
ieee80211w=2
# ieee80211w=2 = Protected Management Frames OBLIGATOIRE, requis par la certification WPA3
EOF
sudo systemctl restart hostapd

# --- WPA2/WPA3-Enterprise : authentification individuelle via 802.1X + serveur RADIUS ---
# Chaque utilisateur a ses propres identifiants (pas de clé partagée par tout le monde)
# -> révocation individuelle possible sans changer le mot de passe de tout le monde
sudo tee -a /etc/hostapd/hostapd.conf <<'EOF'
ieee8021x=1
auth_server_addr=10.0.0.5
auth_server_port=1812
auth_server_shared_secret=secret_radius
EOF

# --- Audit de sécurité Wi-Fi (UNIQUEMENT sur ton propre réseau, avec autorisation explicite) ---
sudo airmon-ng start wlan0                  # passe l'interface en mode monitor (capture brute)
sudo airodump-ng wlan0mon                     # liste les réseaux et clients visibles à proximité
sudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w capture wlan0mon   # capture ciblée d'un handshake
sudo aircrack-ng -w wordlist.txt capture-01.cap    # tente de casser une PSK WPA2 depuis un handshake capturé
# Contre WPA3/SAE, cette technique de capture+bruteforce hors ligne ne fonctionne plus.

Résumé

WEP et WPA sont cassés, à bannir totalement ; WPA2-AES reste acceptable mais vulnérable au brute-force offline du PSK.
WPA3 (SAE) élimine le brute-force hors ligne du mot de passe et ajoute la forward secrecy — à activer dès que le matériel le supporte.
WPA2/WPA3-Enterprise (802.1X + RADIUS) donne une identité individuelle par utilisateur, contrairement au PSK partagé du mode Personal.

Exercices pratiques

1 disponible

Mission : révoquer un ex-employé d'un Wi-Fi WPA2-Personal vieux de 5 ans

Objectif : Diagnostiquer la faiblesse structurelle du mode WPA2-Personal partagé et proposer une architecture qui permet une révocation individuelle.

Contexte

Un audit de sécurité révèle qu'un réseau Wi-Fi d'entreprise utilise WPA2-Personal avec un mot de passe partagé, inchangé depuis 5 ans. Un ancien employé, parti il y a 2 ans, connaît toujours ce mot de passe et pourrait théoriquement s'y connecter. Le responsable informatique doit à la fois comprendre la faille structurelle du mode actuel et concevoir une migration adaptée.

Résoudre l’exercice →