La faille des hotspots publics qui fragilise vos communications

La procédure de création d’un réseau privé virtuel depuis un point d’accès wifi public présente une faille qu’il est possible de contourner monnayant quelques manipulations.

Le cloud et les appareils mobiles permettent aux collaborateurs nomades d’accéder à leurs applications métiers, à leurs e-mails ou simplement de surfer sur Internet où qu’ils soient et à n’importe quel moment. Cela inclut notamment les hôtels, les cafés, les salons d’aéroport, etc, des endroits où ils peuvent se connecter à des réseaux wifi gratuits, en prenant soin d’utiliser un réseau privé virtuel (VPN) pour sécuriser leurs communications.

Le spécialiste de la sécurité informatique Larry Seltzer détaille cependant dans un article publié sur le site arstechnica.com, pourquoi l’utilisation d’un VPN ne garantit pas une confidentialité absolue des communications. Il explique qu’un réseau privé virtuel ne s’établit que quelques secondes après que l’utilisateur se soit connecté à Internet (après avoir accepté les conditions générales d’utilisation du hotspot par exemple). Or pendant ce laps de temps certaines applications se connectent automatiquement au réseau, hors du VPN, transmettant de façon non chiffrée les identifiants de connexion. De même certaines informations sur les terminaux accédant à ces réseaux wifi publics peuvent circuler clairement et ainsi renseigner des pirates.

Des procédures de sécurisation peu intuitives

Des experts en sécurité proposent pour leur part une méthode reposant sur un pare-feu et un navigateur web dédié au seul accès à la page d’accueil du réseau wifi public. Si, en pratique, la procédure alourdit la connexion à un réseau wifi public, elle garantit toutefois le chiffrement intégral des communications professionnelles. Charge donc aux responsables de la sécurité de l’implémenter dans leurs politiques et de sensibiliser leurs collaborateurs à l’intérêt d’une telle démarche.

Larry Seltzer rappelle que la Wi-Fi Alliance a mis en place en 2012 le protocole Passpoint, dont le but est justement de généraliser la sécurisation de l’accès aux points d’accès wifi publics. Mais là encore, la lourdeur de la démarche de connexion ralentit la généralisation de son déploiement.

Eddye Dibar