Chapitre 4 — Sécurité Wi-Fi & Attaques Sans Fil

Le Wi-Fi introduit des vecteurs d'attaque uniques. Ce module couvre les protocoles de sécurité Wi-Fi (WEP, WPA, WPA2, WPA3), les attaques courantes et les bonnes pratiques de déploiement.

Protocoles de Sécurité Wi-Fi

Mémorisez ! WEP = brisé (ne jamais utiliser). WPA/WPA2-Personal = clé pré-partagée (PSK). WPA2/WPA3-Enterprise = authentification individuelle via 802.1X + RADIUS. WPA3 est le standard actuel.

Protocole	Chiffrement	Authentification	Statut
WEP	RC4 (40/104 bits)	PSK faible	Compromis — ne jamais utiliser
WPA	TKIP + RC4	PSK ou 802.1X	Obsolète
WPA2-Personal	AES-CCMP (128 bits)	PSK (mot de passe partagé)	Acceptable pour domicile, vulnérable PMKID/KRACK
WPA2-Enterprise	AES-CCMP (128 bits)	802.1X + RADIUS (identifiant individuel)	Recommandé pour entreprise
WPA3-Personal	AES-CCMP (128 bits)	SAE (Simultaneous Authentication of Equals)	Recommandé, résiste au brute force offline
WPA3-Enterprise	AES-GCMP-256 (256 bits)	802.1X + RADIUS	Recommandé, chiffrement le plus fort

802.1X — Port-Based Network Access Control

802.1X est un standard d'authentification réseau basé sur EAP (Extensible Authentication Protocol). Utilisé pour le Wi-Fi Enterprise et les accès Ethernet sécurisés.

Supplicant : le client qui s'authentifie (PC, téléphone).
Authenticator : le point d'accès (AP) ou switch qui relaie l'authentification.
Authentication Server : serveur RADIUS qui vérifie les credentials.
EAP types : EAP-TLS (certificat client — le plus sécurisé), PEAP (mot de passe dans un tunnel TLS), EAP-TTLS.

Attaques Wi-Fi Courantes

Attaque	Description	Contre-mesure
Rogue AP	Point d'accès non autorisé installé sur le réseau interne	Wireless IDS, 802.1X sur ports Ethernet, détection de ssid suspects
Evil Twin	AP malveillant imitant un AP légitime (même SSID) pour intercepter le trafic	Certificats EAP-TLS, VPN obligatoire, alertes WIDS
Deauthentication Attack	Envoi de frames deauth forgées pour déconnecter les clients (DoS Wi-Fi)	802.11w (Protected Management Frames — PMF)
KRACK (WPA2)	Attaque sur le handshake WPA2, rejoue le nonce pour déchiffrer le trafic	Patches disponibles, migrer vers WPA3
PMKID Attack	Capture du PMKID depuis un seul frame pour cracker le PSK WPA2 hors ligne	Mot de passe PSK long et complexe, migrer WPA3 (SAE)
War Driving	Conduite autour d'une zone pour cartographier les réseaux Wi-Fi (avec Kismet, Wireshark)	Masquer SSID (faible protection), surveillance physique
Jamming	Brouillage du signal radio pour perturber les communications Wi-Fi (DoS physique)	Détection radio, changement de canal, 5GHz

Astuce Examen

802.11w (Protected Management Frames / PMF) protège contre les attaques de deauthentification. WPA3 inclut SAE (résistant au PMKID offline) et PMF obligatoire. Si une question mentionne "déconnecter des utilisateurs Wi-Fi" → deauthentication attack → contre-mesure 802.11w/PMF.

Bonnes Pratiques Wi-Fi Entreprise

Utiliser WPA3-Enterprise ou WPA2-Enterprise avec EAP-TLS (certificats clients).
Déployer un Wireless IDS (WIDS) pour détecter les rogue AP et evil twin.
Isoler le Wi-Fi invité dans un VLAN séparé sans accès au réseau interne.
Activer 802.11w (PMF) pour protéger les frames de gestion.
Changer régulièrement les PSK des réseaux Wi-Fi si WPA2-Personal est utilisé.
Désactiver WPS (Wi-Fi Protected Setup) — vulnérable aux attaques brute force PIN (8 chiffres = 10^7 possibilités).
Surveiller les AP pirates avec des scans réguliers et du port security sur les switches (pour détecter les AP rogue connectés en Ethernet).

Quiz — Wi-Fi & Sans Fil

1. Quel protocole Wi-Fi est recommandé pour un réseau d'entreprise nécessitant une authentification individuelle par utilisateur ?

WPA2-Personal avec PSK complexe WEP avec clé 128 bits WPA2/WPA3-Enterprise avec 802.1X et RADIUS Wi-Fi ouvert avec VPN forcé

WPA2/WPA3-Enterprise utilise 802.1X pour l'authentification individuelle via RADIUS. Chaque utilisateur s'authentifie avec ses propres credentials (ou certificat). En cas de départ d'un employé, son accès est révoqué sans changer le mot de passe de tout le monde.

2. Un attaquant crée un point d'accès Wi-Fi avec le même SSID que celui d'un café populaire pour intercepter le trafic. Cette attaque s'appelle :

Rogue AP Evil Twin Deauthentication War driving

Evil Twin = AP malveillant qui imite un AP légitime (même SSID). Les clients se connectent automatiquement s'ils ont mémorisé ce réseau. L'attaquant peut alors effectuer un man-in-the-middle. Rogue AP = AP non autorisé connecté au réseau interne.

3. La contre-mesure principale contre les attaques de deauthentication Wi-Fi est :

Utiliser WPA3 SAE Désactiver le SSID broadcast Filtrage MAC sur l'AP Activer 802.11w (Protected Management Frames)

Les attaques deauth forgent des frames de management. 802.11w (PMF - Protected Management Frames) protège ces frames en les authentifiant cryptographiquement. WPA3 rend PMF obligatoire.

4. Pourquoi WEP ne doit-il jamais être utilisé ?

Son chiffrement RC4 est implémenté avec des vecteurs d'initialisation (IV) trop courts — crackable en quelques minutes Il n'est pas compatible avec les appareils modernes Il ne supporte que les connexions à 2,4 GHz Il nécessite un serveur RADIUS

WEP utilise RC4 avec des IV (vecteurs d'initialisation) de 24 bits seulement. Après ~5000 paquets, les IV se répètent. En capturant suffisamment de trafic, la clé peut être récupérée en quelques minutes avec des outils comme aircrack-ng.

5. Dans l'architecture 802.1X, quel est le rôle du "Supplicant" ?

Le serveur RADIUS qui vérifie les credentials Le point d'accès Wi-Fi qui relaie l'authentification Le client (PC, téléphone) qui demande l'accès réseau Le switch qui bloque l'accès avant authentification

802.1X : Supplicant (client) → Authenticator (AP/switch) → Authentication Server (RADIUS). Le supplicant initie l'authentification. L'authenticator relaie sans jamais voir les credentials. Le RADIUS vérifie et répond Accès-Accept ou Accès-Reject.

6. WPS (Wi-Fi Protected Setup) est vulnérable car :

Il utilise un chiffrement DES obsolète Son PIN à 8 chiffres peut être cracké en brute force en quelques heures à cause d'une faille dans la validation Il ne supporte pas WPA2 Il transmet le PSK en clair lors de la configuration

WPS PIN = 8 chiffres (10^8 possibilités). Mais en réalité, le PIN est vérifié en deux parties de 4 chiffres séparément (10^4 + 10^3 = 11000 tentatives max). Avec des outils comme Reaver, le PIN peut être cracké en quelques heures.

7. SAE (Simultaneous Authentication of Equals) dans WPA3 améliore la sécurité par rapport à WPA2-Personal en :

Nécessitant un serveur RADIUS Utilisant un chiffrement AES-256 au lieu de 128 bits Éliminant complètement l'utilisation d'un mot de passe Résistant aux attaques de capture et crackage hors ligne du handshake (forward secrecy)

SAE (basé sur Dragonfly) établit une clé de session sans jamais exposer le PSK. Même si le trafic du handshake est capturé, il ne peut pas être utilisé pour brute-forcer le mot de passe hors ligne. Forward secrecy garantit que les sessions passées restent sécurisées.

8. Pourquoi faut-il isoler le réseau Wi-Fi invité dans un VLAN séparé ?

Pour empêcher les invités d'accéder aux ressources internes de l'entreprise Pour améliorer les performances du Wi-Fi entreprise Pour éviter la congestion des canaux radio Pour réduire le nombre d'adresses IP allouées

Un réseau invité sans isolation VLAN permettrait aux invités (et aux attaquants connectés au Wi-Fi invité) d'accéder aux serveurs internes. Le VLAN invité doit uniquement avoir accès à internet, pas au LAN interne.

9. TKIP (utilisé dans WPA) est considéré comme obsolète car :

Il utilise un chiffrement RSA inadapté au Wi-Fi Il nécessite un processeur trop puissant pour les appareils mobiles Il est basé sur RC4 (comme WEP) avec des améliorations insuffisantes — des vulnérabilités ont été découvertes Il ne supporte pas l'authentification 802.1X

TKIP a été conçu comme correctif temporaire pour WEP (même matériel, RC4 amélioré). Il a depuis été compromis. AES-CCMP (utilisé dans WPA2) et AES-GCMP (WPA3) sont les algorithmes recommandés — conception cryptographique solide.

10. Quelle est la différence entre un "rogue AP" et un "evil twin" ?

Ce sont des synonymes décrivant la même attaque Un rogue AP est branché sur le réseau interne par un employé; un evil twin imite un AP légitime pour piéger des utilisateurs externes Un rogue AP utilise WEP, un evil twin utilise WPA2 Un evil twin est détecté par un WIDS, un rogue AP ne peut pas l'être

Rogue AP = un employé ou un attaquant ayant un accès physique connecte un AP non autorisé au réseau interne — créant une backdoor Wi-Fi. Evil twin = AP malveillant externe imitant un AP légitime pour intercepter les clients qui s'y connectent.