Module 5 · 5.3
Wifi, télétravail et déplacements professionnels
Module 5: Appareils, logiciels et réseau · Temps de lecture : 11 minutes
Objectif : Après cette leçon, vous saurez configurer le wifi au bureau et à domicile de façon sécurisée, séparer les objets connectés et les invités de votre réseau professionnel, et travailler en toute sécurité en déplacement, y compris ce qu'un VPN fait et ne fait pas pour vous.
Notions clés : routeur, mot de passe d'administration, WPA2, WPA3, SAE, mode de transition, WPS, UPnP, réseau invité, wifi public, faux point d'accès, https, VPN, point d'accès de votre téléphone
Le routeur est votre porte d'entrée
Tout ce qui relie votre bureau ou votre poste de télétravail à internet passe par le routeur (souvent dans le même boîtier que le modem de votre fournisseur d'accès). Il remplit trois fonctions : il connecte votre réseau à internet, il bloque le trafic entrant que vous n'avez pas sollicité (le pare-feu), et il diffuse en général aussi le réseau wifi.
Un routeur est rarement reconfiguré une fois le technicien reparti. Les réglages d'usine restent donc souvent en place. Quatre choses à régler immédiatement :
- Modifiez le mot de passe d'administration. C'est le mot de passe de la page de configuration du routeur, pas le mot de passe wifi. Les mots de passe par défaut sont souvent connus par marque ou par série. Utilisez un mot de passe long et unique issu de votre gestionnaire de mots de passe.
- Désactivez l'administration à distance, sauf si votre fournisseur en a réellement besoin. La page de configuration n'est alors accessible que depuis votre propre réseau.
- Désactivez l'UPnP si vous n'en avez pas besoin. L'UPnP permet à n'importe quel appareil de votre réseau d'ouvrir lui-même un port dans le pare-feu, y compris une caméra vulnérable. Le NCSC néerlandais recommande de le désactiver.
- Mettez à jour le micrologiciel (firmware) ou vérifiez que votre fournisseur le fait automatiquement (leçon 5.1). Si votre routeur ne reçoit plus de mises à jour, remplacez le.
WPA2 et WPA3 : comment votre wifi est chiffré
Le wifi circule dans l'air. Toute personne à proximité peut capter les signaux. C'est pourquoi il est chiffré. La norme correspondante est gérée par la Wi-Fi Alliance.
| Mode | Avis | Explication |
|---|---|---|
| Ouvert (sans mot de passe) | À éviter pour votre entreprise | Tout le monde peut se connecter et, sans https, lire les échanges. |
| WEP, WPA (le premier), TKIP | Non sécurisé | Obsolète et cassé. Si vous voyez cela, remplacez le routeur ou changez le réglage. |
| WPA2-Personal (AES) | Suffisant, avec un mot de passe long | Quiconque capte la connexion d'un appareil peut ensuite, chez lui, sans rester à proximité, continuer indéfiniment à essayer des mots de passe. Un mot de passe wifi court ou prévisible tombe alors rapidement. |
| WPA3-Personal | Meilleur choix | Utilise SAE à la place de l'ancien système de clé partagée. Selon la Wi-Fi Alliance, un attaquant ne peut alors plus essayer des mots de passe hors ligne : chaque tentative nécessite un nouvel essai auprès du routeur lui-même. Et même si quelqu'un connaît le mot de passe plus tard, il ne peut pas déchiffrer le trafic capté auparavant (forward secrecy). |
| Mode de transition WPA2/WPA3 | Bonne étape intermédiaire | Les nouveaux appareils se connectent en WPA3, les plus anciens en WPA2. Pratique tant que vous avez encore des appareils anciens ; ils ne bénéficient alors que de la protection WPA2. |
Selon la Wi-Fi Alliance, le WPA3 est obligatoire pour les appareils portant la certification Wi-Fi CERTIFIED, donc presque tous les routeurs et téléphones récents le prennent en charge. Choisissez le WPA3 si tous vos appareils le supportent, sinon le mode de transition.
Utilisez dans tous les cas un mot de passe wifi long, par exemple une phrase de passe de quatre ou cinq mots distincts (leçon 2.1). Il reste de toute façon enregistré dans vos appareils ; vous aurez rarement besoin de le taper.
Le WPS (Wi-Fi Protected Setup) est un bouton ou un code PIN permettant d'associer facilement des appareils. La variante par code PIN présente un défaut de conception connu : à cause de la façon dont le routeur répond, un attaquant n'a pas besoin d'essayer cent millions de combinaisons mais environ onze mille, et trouve ensuite le mot de passe wifi (CERT/CC, 2011). Désactivez le WPS si votre routeur le permet.
Réseau invité : séparer ce qui ne doit pas se mélanger
Un petit bureau rassemble vite des appareils de fiabilité très différente sur le même réseau : les ordinateurs portables de la comptabilité, le NAS avec les dossiers clients, mais aussi les téléphones des visiteurs, une télévision connectée dans la salle d'attente, un thermostat et quelques caméras. Si tous ces appareils sont sur un même réseau, une caméra piratée peut communiquer directement avec le NAS.
C'est pourquoi vous créez un réseau invité : un second réseau wifi avec son propre nom et son propre mot de passe, qui donne accès à internet mais pas aux appareils de votre réseau principal. Presque tous les routeurs le permettent. Placez y :
- les visiteurs et leurs téléphones ;
- les objets connectés : télévision, thermostat, sonnette, enceinte, et si possible les caméras. Le NCSC néerlandais le recommande explicitement ;
- les appareils personnels des collaborateurs, s'ils n'ont pas besoin d'accéder aux données de l'entreprise.
Après la configuration, vérifiez que cela fonctionne : depuis un téléphone sur le réseau invité, vous ne devez pas pouvoir trouver l'imprimante ou le NAS.
Télétravail
À domicile, vous travaillez sur un réseau que vous ne gérez pas en tant qu'entreprise, souvent partagé avec des membres de la famille, une console de jeu et l'enceinte connectée des voisins dans la liste des réseaux. Mettez vous d'accord avec votre équipe sur ces points :
- le routeur domestique reçoit le même traitement de base : mot de passe d'administration propre, WPA2 ou WPA3 avec un mot de passe long, micrologiciel à jour ;
- l'ordinateur portable professionnel est réservé au travail : il n'est pas utilisé par les enfants ou les colocataires, et il est verrouillé quand vous vous éloignez (leçon 5.2) ;
- les mises à jour continuent aussi à domicile. Un ordinateur portable qui ne revient pas au bureau pendant plusieurs semaines manque parfois des mises à jour gérées de façon centralisée. Vérifiez le ;
- l'accès aux systèmes de l'entreprise passe par une connexion sécurisée : un service cloud avec https et authentification à deux facteurs, ou un VPN vers le bureau. N'ouvrez jamais un port à la va vite pour pouvoir accéder « rapidement » au NAS depuis chez vous.
En déplacement : le wifi public
Dans un hôtel, un train ou un café, vous ne savez pas qui gère le réseau. Le principal risque est un faux point d'accès : un attaquant crée un réseau portant le même nom que le vrai, par exemple « Hotel Gasten ». Votre téléphone s'y connecte automatiquement, et tout votre trafic passe par son appareil.
Heureusement, la majorité du trafic passe aujourd'hui par https (leçon 4.2) et les e-mails via des connexions chiffrées. L'attaquant voit alors certes quels sites vous visitez, mais pas ce que vous saisissez. Des risques subsistent néanmoins : une page de connexion qui vous redirige vers un faux site, un message « installez ce certificat », ou des applications anciennes qui ne chiffrent pas.
Le NCSC néerlandais conseille :
- préférez les données mobiles ou le point d'accès de votre propre téléphone au wifi public ;
- ne laissez pas votre appareil se connecter automatiquement aux réseaux wifi ;
- n'effectuez pas d'opérations bancaires ni de travail confidentiel sur un wifi public, et ne téléchargez ni n'installez rien de cette façon ;
- désactivez le partage de fichiers et déconnectez vous une fois terminé.
Si vous recevez un avertissement de certificat sur un wifi public pour un site que vous connaissez bien, ne continuez pas. C'est exactement le signal que quelqu'un surveille la connexion.
Ce qu'un VPN fait et ne fait pas
Le mot VPN désigne deux choses différentes. Un VPN professionnel relie votre ordinateur portable de façon chiffrée au réseau de votre bureau, afin que vous puissiez accéder de l'extérieur au NAS ou au logiciel de comptabilité. Un service VPN commercial envoie tout votre trafic internet de façon chiffrée vers le serveur d'un prestataire, qui le relaie ensuite vers internet.
| Ce qu'un VPN fait | Ce qu'un VPN ne fait pas |
|---|---|
| Chiffrer votre trafic entre votre appareil et le serveur VPN, de sorte que le réseau (wifi) local ne puisse pas l'observer | Vous protéger du phishing : un faux site reste tout aussi faux via un VPN |
| Vous donner un accès sécurisé au réseau du bureau (VPN professionnel) | Bloquer un logiciel malveillant ou nettoyer un ordinateur portable infecté |
| Masquer votre adresse IP aux sites que vous visitez | Vous rendre anonyme : vous connecter à un service révèle toujours qui vous êtes |
| Supprimer la nécessité de confiance : le fournisseur VPN peut désormais voir ce que le réseau de l'hôtel pouvait voir auparavant |
Un VPN déplace donc le point où vous devez accorder votre confiance. Sur un réseau inconnu, cela peut être utile. Sur votre propre réseau domestique avec des sites en https, un VPN commercial n'apporte que peu de chose en matière de sécurité.
Attention : un serveur VPN installé dans vos locaux est lui-même un équipement périphérique accessible depuis internet. Les serveurs VPN obsolètes constituent une porte d'entrée connue pour les ransomwares (leçon 1.3). Mettez le à jour, activez l'authentification à deux facteurs, et désactivez le si vous ne l'utilisez pas.
En pratique : voici à quoi cela ressemble
Vos e-mails aussi transitent par le réseau lors de vos déplacements. Configurez donc votre messagerie avec des connexions chiffrées. Chez WebOké, il s'agit par exemple de l'IMAP sur le port 993 avec SSL/TLS et du SMTP sur le port 587 avec STARTTLS (ou 465 avec SSL/TLS) ; chez d'autres fournisseurs, les ports sont généralement les mêmes. Si votre messagerie indique « aucune sécurité » ou utilise le port 143 ou 25 sans chiffrement, corrigez le réglage.
Résumé
- Attribuez à votre routeur un mot de passe d'administration propre, désactivez l'administration à distance, l'UPnP et le WPS, et mettez à jour le micrologiciel.
- Choisissez le WPA3, ou le mode de transition WPA2/WPA3, avec un mot de passe wifi long. Jamais le WEP, le WPA ou le TKIP.
- Placez les visiteurs et les objets connectés sur un réseau invité, séparé de vos appareils professionnels.
- En déplacement : préférez les données mobiles ou votre propre point d'accès, ne vous connectez pas automatiquement, et arrêtez vous face à un avertissement de certificat.
- Un VPN chiffre le tronçon jusqu'au serveur VPN, mais ne protège ni du phishing ni des logiciels malveillants et ne vous rend pas anonyme.
Quiz
Exercice
Exercice D5.3 : Vérifier votre routeur et votre wifi. Connectez vous à la page de configuration de votre routeur (à domicile ou au bureau). Vérifiez le mot de passe d'administration, le chiffrement, le WPS, l'UPnP, l'administration à distance, le micrologiciel et le réseau invité. Cochez la liste de contrôle, testez le réseau invité et répondez aux questions de réflexion.
Exercice D5.3: Vérifier votre routeur et votre wifi
Voici comment procéder : (1) Connectez-vous à la page de configuration de votre routeur (l'adresse et le premier mot de passe figurent dans le manuel ou sur l'étiquette) ou dans l'application de votre fournisseur. S'il s'agit d'un routeur fourni par votre fournisseur d'accès, vérifiez quels réglages vous pouvez modifier. (2) Remplacez le mot de passe d'administration par un mot de passe long et unique issu de votre gestionnaire de mots de passe. (3) Vérifiez le chiffrement du wifi : WPA3, ou mode transitoire WPA2/WPA3 si vous avez des appareils plus anciens ; jamais WEP, WPA ou TKIP. Définissez un mot de passe wifi long (phrase de passe). (4) Désactivez WPS, UPnP et l'administration à distance si vous n'en avez pas besoin. (5) Vérifiez que le micrologiciel (firmware) est à jour et se met à jour automatiquement. (6) Créez un réseau invité et placez-y les visiteurs et les appareils connectés (télévision, thermostat, enceinte, caméras si possible). (7) Testez le réseau invité : connectez un téléphone au réseau invité et essayez de trouver l'imprimante, le NAS ou un dossier partagé. Cela ne doit pas fonctionner. (8) Vérifiez la liste des appareils connectés dans votre routeur. Si vous ne reconnaissez pas un appareil, identifiez-le. (9) Vérifiez votre application de messagerie sur ordinateur portable et téléphone : réception et envoi avec SSL/TLS ou STARTTLS (par exemple IMAP 993, SMTP 587 ou 465).
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans les articles WebOké concernent l'environnement WebOké ; chez d'autres fournisseurs, la démarche est comparable.
- Guide DirectAdmin 8.1: Tous les paramètres en un coup d'œil : serveurs, ports et sécurité
- NCSC néerlandais, points d'accès wifi (en néerlandais) : https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- NCSC néerlandais, mesures de sécurité de base pour les objets connectés (en néerlandais) : https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- NCSC néerlandais, 6 points d'attention pour le télétravail (en néerlandais) : https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, sécurité du wifi (en anglais) : https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, la faille du WPS (en anglais) : https://www.kb.cert.org/vuls/id/723755