Sécurité Wi-Fi : WPA2, WPA3, PSK, Enterprise

1. Ce qu'il faut savoir

Sécuriser un réseau Wi-Fi passe par le choix du bon protocole de chiffrement, du bon mode d'authentification, et par des mesures complémentaires comme l'isolation des invités.

2. Définitions essentielles

• WEP : ancien protocole de sécurité Wi-Fi, aujourd'hui cassable en quelques minutes — à ne plus jamais utiliser.
• WPA / WPA2 / WPA3 : protocoles successifs, chacun corrigeant les failles du précédent ; WPA2 reste largement répandu, WPA3 est le standard actuel recommandé.
• PSK (Pre-Shared Key) : mode d'authentification par mot de passe partagé, adapté au domicile/petite structure.
• 802.1X / RADIUS : authentification individuelle (compte utilisateur) via un serveur dédié, adaptée à l'entreprise (mode « Enterprise »).
• Isolation client (client isolation) : empêche les appareils connectés à un même point d'accès de communiquer entre eux (utile sur un réseau invité).
• WPS (Wi-Fi Protected Setup) : méthode de connexion simplifiée par code PIN, historiquement vulnérable et souvent désactivée pour raisons de sécurité.

3. Notions principales

• WEP est obsolète et ne doit plus jamais être utilisé, même « pour du matériel ancien ».
• WPA2-PSK convient à un usage domestique ; WPA2/WPA3-Enterprise (802.1X/RADIUS) convient à une entreprise où chaque utilisateur doit avoir ses propres identifiants (traçabilité, révocation individuelle possible).
• Un réseau invité doit combiner VLAN dédié (voir MC24) et isolation client, pour éviter qu'un visiteur accède aux ressources internes ou aux autres appareils invités.
• WPS facilite la connexion mais est une faille de sécurité connue : à désactiver sur les réseaux qui n'en ont pas l'usage.

4. Procédure / méthode

Sécuriser un point d'accès : (1) choisir WPA2 ou WPA3 (jamais WEP/WPA) ; (2) choisir PSK (domicile/petite structure) ou Enterprise avec RADIUS (organisation avec plusieurs utilisateurs à distinguer) ; (3) isoler le réseau invité en VLAN séparé avec isolation client ; (4) désactiver WPS si non nécessaire.

5. Exemple concret

Une entreprise veut que chaque employé se connecte avec son propre compte et puisse être révoqué individuellement en cas de départ : PSK (mot de passe unique partagé par tous) ne convient pas — il faut du 802.1X/RADIUS (mode Enterprise).

6. Pièges fréquents

• Utiliser encore WEP « parce que ça marche ».
• Mettre le réseau invité sur le même SSID/VLAN que le réseau interne.
• Laisser WPS activé sans raison sur un réseau sensible.

À retenir