L’accès à un réseau Wi-Fi public est devenu un service essentiel pour de nombreuses entreprises et établissements publics. Cependant, offrir une connexion sans fil sécurisée nécessite de suivre certaines bonnes pratiques pour éviter les cyberattaques, respecter la législation et garantir la confidentialité des utilisateurs. Ce guide vous explique comment mettre en place un hotspot Wi-Fi sécurisé.
Pourquoi sécuriser un hotspot Wi-Fi est essentiel ?
Un réseau Wi-Fi mal sécurisé représente une porte d’entrée pour les cybercriminels. Voici les principales menaces auxquelles vous pourriez être confronté :
- Attaques de type Man-in-the-Middle (MitM) : interception des données échangées sur le réseau.
- Attaques Evil Twin : un pirate crée un faux point d’accès imitant le vôtre pour voler des informations.
- Utilisation malveillante du réseau : propagation de malware, téléchargements illégaux engageant la responsabilité de l’établissement.
- Accès non autorisé aux systèmes internes si le réseau n’est pas correctement segmenté.
De plus, la réglementation impose certaines obligations aux fournisseurs de Wi-Fi public, comme la conservation des logs de connexion et la mise en place de mesures de protection des données personnelles (RGPD).
Exemple d’attaque réelle
En 2017, un grand hôtel a été victime d’une attaque de type Evil Twin : des pirates ont imité le réseau Wi-Fi officiel de l’établissement, poussant les clients à s’y connecter. Les attaquants ont ensuite intercepté leurs identifiants de connexion et informations bancaires, causant des pertes financières et une atteinte à la réputation de l’hôtel.
Choix du matériel et configuration initiale
Sélection du matériel adapté
Il est essentiel de choisir du matériel adapté à un usage professionnel plutôt qu’un simple routeur domestique. Voici les critères à prendre en compte :
- Compatibilité avec WPA3, le dernier protocole de chiffrement Wi-Fi sécurisé.
- Gestion centralisée des points d’accès, via un contrôleur matériel ou cloud (ex : Cisco Meraki, Ubiquiti UniFi).
- Possibilité de segmentation des réseaux (SSID multiple, VLAN).
- Fonctionnalités de monitoring et de détection des intrusions (IDS/IPS intégré).
Configuration initiale sécurisée
- Modifier les identifiants par défaut du matériel réseau.
- Désactiver WPS et éviter la diffusion du SSID pour limiter les connexions indésirables.
- Limiter la puissance d’émission pour éviter une couverture excessive qui pourrait être exploitée par un attaquant extérieur.
Sécurisation du réseau Wi-Fi : bonnes pratiques
Segmentation réseau et VLAN
Il est impératif de séparer les flux de trafic pour éviter que les utilisateurs du Wi-Fi public n’accèdent au réseau interne de l’entreprise. Pour cela :
- Créez un réseau isolé pour les invités avec un SSID distinct.
- Utilisez des VLANs pour compartimenter les différents types d’accès (ex : employés, visiteurs, IoT).
- Bloquez l’accès aux ressources internes depuis le réseau Wi-Fi public via un pare-feu.
Authentification et chiffrement
- Activez le protocole WPA3 ou, à défaut, WPA2-Enterprise avec authentification RADIUS.
- Mettez en place un portail captif avec authentification des utilisateurs et acceptation des CGU.
- Pour les établissements exigeants (hôtels, entreprises), envisagez l’usage d’un réseau basé sur des certificats plutôt que des mots de passe partagés.
Monitoring et détection des menaces
La surveillance du réseau est essentielle pour détecter et réagir rapidement aux attaques. Voici quelques bonnes pratiques :
- Utilisation d’un IDS/IPS (Intrusion Detection/Prevention System) pour identifier et bloquer les activités suspectes.
- Analyse régulière des logs de connexion pour repérer d’éventuelles anomalies.
- Détection des points d’accès malveillants avec des outils comme Kismet ou Aircrack-ng.
- Limitation du débit par utilisateur pour éviter l’usage abusif de la bande passante.
- Déploiement d’un WIPS (Wireless Intrusion Prevention System) pour bloquer les attaques en temps réel.
Solutions pour gérer un hotspot Wi-Fi sécurisé
Solutions open source
| Solution | Fonctionnalités |
|---|---|
| pfSense | Firewall et gestion des accès avec portail captif |
| OpenWrt | Firmware avancé pour routeurs permettant une configuration fine |
| FreeRADIUS | Authentification centralisée des utilisateurs sur le réseau |
Solutions payantes
| Solution | Fonctionnalités |
|---|---|
| Cisco Meraki | Gestion cloud, monitoring avancé |
| Ubiquiti UniFi | Excellent rapport qualité-prix pour les PME |
| Aruba Networks | Sécurité avancée pour grandes infrastructures |
Le choix dépend du budget, du niveau de contrôle souhaité et du nombre d’utilisateurs à gérer.
Réglementations et obligations légales
En France et en Europe, les fournisseurs de Wi-Fi public doivent respecter :
- RGPD : Protection des données des utilisateurs, obligation d’informer sur la collecte des données.
- Conservation des logs : Obligation légale pour identifier les utilisateurs en cas d’usage illicite.
- Normes ANSSI : Recommandations de sécurité pour les entreprises et administrations publiques.
Maintien en condition de sécurité et mises à jour
Une fois le hotspot Wi-Fi sécurisé mis en place, il est essentiel d’assurer un suivi régulier :
- Mettre à jour le firmware des équipements pour corriger les vulnérabilités.
- Auditer régulièrement la sécurité du Wi-Fi (tests d’intrusion, révisions des logs).
- Former les utilisateurs et administrateurs aux bonnes pratiques et aux risques liés aux réseaux Wi-Fi.
Installer un wifi hotspot ne s’improvise pas
Sécuriser un hotspot Wi-Fi est un enjeu majeur pour les entreprises et établissements publics. En choisissant un matériel adapté, en segmentant correctement les réseaux et en mettant en place des mécanismes d’authentification et de surveillance, il est possible de proposer un accès sans fil performant tout en limitant les risques. La cybersécurité d’un réseau Wi-Fi ne s’arrête pas à sa mise en place : un entretien régulier et des audits de sécurité sont indispensables pour maintenir un haut niveau de protection.
