La sécurisation du Wi-Fi

Depuis 2004, les entreprises utilisent le standard 802.11i pour sécuriser l'accès au réseau sans fil de l'entreprise.

Il est désormais acquis que le protocole WEP (Wired Equivalent Privacy) n'est pas efficace, loin s'en faut, pour sécuriser l'accès radio. L'algorithme qui sert au chiffrement (RC4) est très léger. WEP s'appuie, en outre, sur un système de clés fixes, et quelques heures suffisent pour passer en revue l'ensemble des combinaisons possibles. Face à ce constat d'échec, une nouvelle technique de sécurisation a fait son apparition en 2002. Baptisée WPA (Wi-Fi Protected Access), celle-ci utilise pour le chiffrement le protocole TKIP (Temporal Key Internet Protocol), qui n'est rien d'autre qu'une évolution de RC4. Mais, à la différence de WEP, WPA repose sur un système de clé dynamique, et requiert surtout l'authentification de l'utilisateur, et non plus de la machine qui souhaite se connecter au réseau sans fil.

Une reprise des technologies de la téléphonie fixe

C'est en 2004 que les choses ont vraiment avancé. L'IEEE a, en effet, ratifié le standard 802.11i, également connu sous l'appellation commerciale de WPA2. La technique de chiffrement RC4 est alors abandonnée pour le célèbre AES (Advanced Encryption Standard), déjà éprouvé dans les réseaux fixes. Il s'agit d'une méthode de chiffrement par blocs, alors que RC4, avec une clé à 64 ou 128 bits, effectue le chiffrement au fil de l'eau, dans l'ordre des bits transmis ou reçus. La longueur de clé d'AES reste la même qu'avec TKIP (128 bits), mais l'algorithme de chiffrement est plus puissant. En entreprise, le standard 802.11i met en ?"uvre le protocole d'authentification 802.1x avec utilisation d'un serveur d'authentification de type [e-mail]

L'authentification IEEE 802.1x pour réseau sans fil

Un client envoie un message de démarrage à un point d'accès qui demande en retour l'identité du client.

Le client répond avec un paquet de réponses contenant une identité. Le point d'accès envoie le paquet à un serveur d'authentification.

Le serveur de type Radius (Remote Authentication Dial-In User Service) envoie un paquet d'acceptation au point d'accès après consultation de la base de données utilisateur.

Le point daccès place alors le port client en état autorisé et le trafic est désormais autorisé sur le réseau local.