SECURITE

Comme pour tout procédé utilisant la transmission radio, les communications peuvent :

être captées ou écoutées par une « oreille » extérieure,
permettre une usurpation d accès sur votre PC dévoilant vos données personnelles résidentes sur votre disque dur
ou être brouillées car la ressource des fréquences radio est partagée donc saturable (erreur de transmission au-delà de 3 réseaux recouvrants).
Le mécanisme standard de contrôle d accès se fait :

soit par simple mot de passe,
soit par identification de la carte Wi-Fi du poste mobile (encore appelée adresse Mac ou @MAC)
En l état actuel, Wi-Fi est régi par les normes 802.11a & b qui présentent de sérieuses lacunes en matière de sécurité/confidentialité. De nouvelles normes intégrant notamment des procédés de cryptage et d authentification plus robustes sont en cours d élaboration (par exemple 802.11i)

Quelles sont les précautions à prendre ?
Si la sécurité absolue n existe pas, un certain nombre de précautions élémentaires sont à prendre afin de protéger ses propres données qui peuvent être aussi celles de votre famille, de vos amis, de vos clients ou de vos employés et collaborateurs.

A) En tant qu utilisateur d un réseau Wi-Fi tiers, ne pas laisser les ordinateurs personnels allumés et connectés en permanence au réseau local radio car les intrusions et usurpations seront facilitées.

B) En tant qu administrateur de réseau local Wi-Fi, tant particulier que professionnel, activer le protocole WEP. Cette fonctionnalité optionnelle mais faisant partie de la norme Wi-Fi permet d obtenir un niveau minimum de confidentialité et de limiter certains risques d intrusion. Pour ce faire, choisissez votre propre identifiant de réseau (désigné sous le terme SSID dans la norme Wi-Fi) et définissez une clé d accès assez longue (au moins 8 caractères) pour la rendre difficilement « cassable ». S assurer de son renouvellement régulier et de sa communication confidentielle.

En tant que gestionnaire de contenus dans lesquelles figurent des données sensibles, le protocole SSL pour les pages WEB voire IPSec pour l ensemble du trafic devraient être employés sur Wi-Fi.

Si vous voulez limiter l accès à votre réseau local radio à quelques utilisateurs pré-identifiés, prenez la précaution supplémentaire de mettre en place une liste de contrôle d accès énumérant les adresses physiques @MAC des cartes Wi-Fi autorisées (liste désignée sous le terme ACL)

Dans tous les cas, se reporter à la documentation constructeur de votre point d accès.

Le gros point faible de la norme 802.11b et de ses déclinaisons, c'est la sécurité. Pour crypter les données, un mécanisme appelé Wired Equivalent Privacy (WEP) est utilisé. Suffisant pour une utilisation domestique, il peut toutefois être piraté par quelqu'un d'expérimenté en quelques jours. Le problème du WEP tient à ce qu'il utilise une clé unique pour toutes les communications, il est donc assez facile de la trouver en analysant le trafic réseau.

Côté sécurité, alors que pour s'introduire sur un réseau filaire il faut s'y relier physiquement, en Wi-Fi toute personne, voisin ou passant, se trouvant dans l'aire du réseau peut potentiellement s'y raccorder. Et cette faculté est d'autant plus gênante qu'à l'inverse de ce qui se passe en filaire, l'intrus n'est pas forcément visible. Libre à lui de fouiner sur les disques durs des PC raccordés au réseau ou d'utiliser la connexion internet à mauvais escient. Si des solutions existent, la protection d'un réseau Wi-Fi est une contrainte supplémentaire.

La mise en
Suvre un peu plus complexe d'un réseau sans fil constitue le dernier frein au développement de ces réseaux. Qu'il s'agisse de relier quelques PC entre eux ou de partager une connexion internet ne change rien à l'affaire: dans les deux cas, l'installation des matériels et leur paramétrage sont très loin du "plug and play". Le vocabulaire lui-même fleure bon le laboratoire.

Pour échanger des fichiers ou jouer en réseau, il convient ainsi d'opter pour le mode "Ad hoc" et d'équiper chaque ordinateur d'une carte Wi-Fi. Pour partager une connexion internet, sans PC hôte obligatoirement sous tension, c'est le mode dit "Infrastructure" qu'il faut choisir. Outre un nombre de carte Wi-Fi égale au nombre de PC, cette "topologie" - c'est le terme consacré! - de réseau réclame un modem pour compresser et décompresser les données échangées, un routeur pour envoyer les bonnes informations vers les bons PC et un point d'accès pour relier les PC à l'internet; ces deux derniers produits n'en faisant aujourd'hui qu'un seul.

La norme 802.11i intègrera plusieurs nouveautés: 802.1X, AES et TKIP.
La norme 802.1X ne s'applique pas uniquement au réseau sans fil, elle est également utilisé en réseau filaire. Elle utilise un serveur d'authentification au lieu de la simple clé WEP. Chaque utilisateur sans fil possède ses propres nom d'utilisateur et mot de passe, exactement comme sur un réseau filaire classique. L'intérêt pour une entreprise, c'est de pouvoir réutiliser les comptes réseaux déjà existants, sur un serveur de domaine Microsoft par exemple.

AES (Advanced Encryption Standard) vient en parallèle du 802.1X et offre un système de chiffrement beaucoup plus évolué que le WEP. Mais cela nécessite l'utilisation d'une puce dédiée. Impossible donc de mettre à jour un matériel déjà existant. Sa compatibilité reste limitée au matériel équipé de cette puce.

TKIP (Temporal Key Integrity Protocol) est un mécanisme temporaire qui essaye de palier les défauts du WEP. Au lieu d'utiliser une clé fixe pour chiffrer les paquets de données, il génère régulièrement une nouvelle clé à partir de l'adresse MAC (adresse physique de la carte réseau, inscrite dans les composants) de la carte réseau ou du point d'accès.
Cette solution est bien moins efficace que l'AES, mais tous les appareils existants peuvent en bénéficier en effectuant une simple mise à jour logicielle. Elle a vocation à disparaître avec l'arrivée de matériel compatible AES.

Une infrastructure adaptée

La première chose à faire lors de la mise en place d'un réseau sans fil consiste à positionner intelligemment les points d'accès selon la zone que l'on souhaite couvrir. Il n'est toutefois pas rare que la zone effectivement couverte soit largement plus grande que souhaitée, auquel cas il est possible de réduire la puissance de la borne d'accès afin d'adapter sa portée à la zone à couvrir.

Eviter les valeurs par défaut

Lors de la première installation d'un point d'accès, celui-ci est configuré avec des valeurs par défaut, y compris en ce qui concerne le mot de passe de l'administrateur. Un grand nombre d'administrateurs en herbe considèrent qu'à partir du moment où le réseau fonctionne il est inutile de modifier la configuration du point d'accès. Toutefois les paramètres par défaut sont tels que la sécurité est minimale. Il est donc impératif de se connecter à l'interface d'administration (généralement via une interface web sur un port spécifique de la borne d'accès) notamment pour définir un mot de passe d'administration.

D'autre part, afin de se connecter à un point d'accès il est indispensable de connaître l'identifiant du réseau (SSID). Ainsi il est vivement conseillé de modifier le nom du réseau par défaut et de désactiver la diffusion (broadcast) de ce dernier sur le réseau. Le changement de l'identifiant réseau par défaut est d'autant plus important qu'il peut donner aux pirates des éléments d'information sur la marque ou le modèle du point d'accès utilisé.

Le filtrage des adresses MAC

Chaque adaptateur réseau possède une adresse physique qui lui est propre (appelée adresse MAC). Cette adresse est représentée par 12 chiffres hexadécimaux groupés par paires et séparés par des tirets.

Les points d'accès permettent généralement dans leur interface de configuration de gérer une liste de droits d'accès (appelée ACL) basée sur les adresses MAC des équipements autorisés à se connecter au réseau sans fil.

Cette précaution un peu contraignante permet de limiter l'accès au réseau à un certain nombre de machines. En contrepartie cela ne résoud pas le problème de la confidentialité des échanges.

WEP - Wired Equivalent Privacy

Pour remédier aux problèmes de confidentialité des échanges sur les réseaux sans fil, le standard 802.11 intègre un mécanisme simple de chiffrement des données, il s'agit du WEP, Wired equivalent privacy.

Le WEP est un protocole chargé du chiffrement des trames 802.11 utilisant l'algorithme symétrique RC4 avec des clés d'une longueur de 64 ou 128 bits. Le principe du WEP consiste à définir dans un premier temps une clé secrète de 40 ou 128 bits. Cette clé secrète doit être déclarée au niveau du point d'accès et des clients. La clé sert à créer un nombre pseudo-aléatoire d'une longueur égale à la longueur de la trame. Chaque transmission de donnée est ainsi chiffrée en utilisant le nombre pseudo-aléatoire comme masque grâce à un OU Exclusif entre le nombre pseudo-aléatoire et la trame.

La clé de session partagé par toutes les stations est statique, c'est-à-dire que pour déployer un grand nombre de stations WiFi il est nécessaire de les configurer en utilisant la même clé de session. Ainsi la connaissance de la clé est suffisante pour déchiffrer les communications.

De plus, 24 bits de la clé servent uniquement pour l'initialisation, ce qui signifie que seuls 40 bits de la clé de 64 bits servent réellement à chiffrer et 104 bits pour la clé de 128 bits.

Dans le cas de la clé de 40 bits, une attaque par force brute (c'est-à-dire en essayant toutes les possibilités de clés) peut très vite amener le pirate à trouver la clé de session. De plus une faille décelée par Fluhrer, Mantin et Shamir concernant la génération de la chaîne pseudo-aléatoire rend possible la découverte de la clé de session en stockant 100 Mo à 1 Go de traffic créés intentionnellement.

Le WEP n'est donc pas suffisant pour garantir une réelle confidentialité des données. Pour autant, il est vivement conseillé de mettre au moins en oeuvre une protection WEP 128 bits afin d'assurer un niveau de confidentialité minimum et d'éviter de cette façon 90% des risques d'intrusion.

Mise en place d'un VPN

Pour toutes les communications nécessitant un haut niveau de sécurisation, il est préférable de recourir à un chiffrement fort des données en mettant en place un réseau privé virtuel (VPN).

liens: http://www.ssi.gouv.fr/fr/actualites/Rec_WIFI.pdf

Présentation de la mise à jour de sécurité sans fil WPA dans Windows XP

Créez un mini-réseau, une connexion wifi avec Windows XP-La procédure pas à pas ici

Aide au choix carte Wi-Fi

Guide de connexion wifi pour cartes PCMCIA sous Windows ici