Audit de sécurité Wi-Fi

Un audit radio n'est pas un outil qu'on pointe vers un réseau et qui rend un rapport : ce sont quatre mesures successives, chacune avec un livrable différent et un temps d'exécution différent. Les trois premières sont en lecture seule et se déroulent dans la plupart des sites pendant les heures ouvrées. La quatrième modifie le comportement des appareils et exige une fenêtre convenue et un interlocuteur joignable.

La première passe est l'inventaire. Nous parcourons le site et relevons chaque BSSID à portée : vos réseaux, ceux du voisin, une imprimante à l'entrepôt, une radio dans une salle de réunion où personne n'est entré depuis le dernier déménagement. Nous confrontons ensuite cette liste d'observations aux points d'accès que vous pensez posséder. La confrontation est le résultat, pas le balayage : un bureau de 120 personnes avec 28 points d'accès validés finit régulièrement à 34 radios émettant, et derrière chaque radio excédentaire il y a un propriétaire, un câble et une décision d'achat.

La deuxième passe est l'authentification par SSID. Nous relevons la méthode réellement négociée par chaque classe d'appareil, et non celle configurée sur le contrôleur, parce que les deux registres coïncident moins qu'on ne le suppose : un réseau d'entreprise réglé en WPA3 en mode transition négocie encore WPA2 avec un scanner d'entrepôt, et un réseau 802.1X dont les clients ne valident pas le certificat serveur collecte les identifiants de quiconque diffuse le même nom.

La troisième passe est l'atteignabilité. Depuis chaque SSID nous testons où parvient un poste associé : hôtes internes, ports, réseau des imprimantes, réseau d'administration, et réseau invité dans le sens inverse. Le résultat est une matrice de cibles et de ports mesurés, pas une qualité. La quatrième passe est le comportement du client : quel appareil géré s'associe seul à un réseau enregistré diffusé par un autre point d'accès, et lesquels préviennent l'utilisateur avant de le faire.

L'autorisation est le premier livrable du travail, pas un formulaire qui arrive après la facture. Avant de lancer un adaptateur nous portons un périmètre écrit : la personne morale propriétaire du réseau, les sites et étages couverts, les SSID et BSSID autorisés par leur nom et non par le seul bâtiment, la fenêtre de test, la personne qui peut arrêter le test et les règles de traitement des données capturées. Le signataire doit pouvoir autoriser le réseau : un prestataire infogéré ne peut commander un audit du réseau d'un client qu'avec l'accord écrit de ce client, nous demandons donc ce courrier plutôt que d'accepter un bon de commande comme preuve.

Le travail passif vient d'abord : écouter n'exige ni identifiants ni association et n'interrompt aucun service, l'inventaire et le relevé peuvent donc se faire aux heures ouvrées sans que personne ne le remarque. Le travail actif, de l'association en tant que client à l'essai d'une clé partagée contre du trafic capturé, en passant par les tests d'accès et l'injection de trames, se déroule dans la fenêtre convenue, de préférence hors heures ouvrées, car les techniques de désauthentification font tomber de vrais appareils d'un plateau de production, et un scanner d'entrepôt qui perd sa connexion au milieu d'une préparation de commandes est un arrêt d'exploitation, pas un test.

Les conditions d'arrêt se conviennent aussi par écrit : un système critique pour la sécurité reste associé, une classe d'appareils médicaux n'est pas touchée, un étage loué sort du périmètre. L'ingénieur qui exécute porte cette liste et le rapport consigne chaque action avec son horaire, afin qu'une interruption inattendue chez le client puisse être imputée au test ou écartée par une preuve.

Chaque constat nomme la mesure qui l'a produit, le lieu de la mesure et l'artefact qui le soutient. Un constat sur la clé partagée n'est pas une ligne qui affirme un mot de passe faible, c'est la méthode de capture, le coût de dérivation, l'espace de clés de la classe de phrase et le calcul qui montre la durée de recherche complète à un débit annoncé. La différence compte commercialement : une clé qui résiste à 232 ans de calcul n'est pas le constat ; le constat est qu'un secret partagé est porté par chaque client associé depuis 2019 et ne peut pas être renouvelé sans toucher tous les appareils.

Un constat de cloisonnement est une ligne de matrice, pas une affirmation : depuis le réseau invité, trois imprimantes testées sur trois ont répondu sur le réseau d'entreprise, autrement dit l'isolement invité est une politique écrite et non un contrôle appliqué. Un constat de point d'accès pirate nomme le port du commutateur, l'accès PoE et l'OUI qui relie la radio au câble, parce qu'un identifiant émis sans localisation est une photo et non un constat. Un constat de comportement nomme la classe d'appareil, la version du système et le réglage qui a permis l'association à l'homonyme.

Chaque constat porte aussi un responsable et une correction vérifiable de l'extérieur. Un équipement retiré se vérifie par un second relevé. Un profil de certificat déployé se vérifie en lisant la configuration du supplicant sur l'appareil, pas en supposant que le profil est arrivé. Une rotation de clé se vérifie en constatant que l'ancienne clé ne s'associe plus. Si une correction ne peut pas être vérifiée ainsi, nous le disons et proposons la vérification avant d'accepter le travail.

Une évaluation radio ne peut pas rendre compte de ce qu'elle n'a pas entendu. Un point d'accès pirate qui a tourné deux heures un dimanche et a disparu le mardi n'apparaît pas au relevé du mardi ; ce trou se comble par un journal de détection au contrôleur et une surveillance continue, ce qui est un autre achat. L'évaluation est un échantillon de l'espace radio à un instant, et le rapport le dit au lieu de suggérer une garantie permanente.

Elle ne voit pas non plus derrière le chiffrement moderne. Si un réseau fonctionne en WPA3 avec trames de gestion protégées et certificats par appareil, il n'existe pas d'attaque hors ligne sur la capture, et toute affirmation de déchiffrer le trafic des clients sur un réseau ainsi configuré est soit une description erronée, soit la preuve que la configuration n'était pas celle annoncée par le contrôleur. Ce qui se démontre sur un tel réseau, c'est l'atteignabilité, le comportement des clients, la propreté des identifiants et l'inventaire, et c'est là que se trouvent en général les vrais constats.

Trois limites s'écrivent dans le rapport et non dans la conversation commerciale : le côté filaire derrière le point d'accès, la sécurité physique et l'accès au câblage, et la chaîne d'approvisionnement des points d'accès eux-mêmes, c'est-à-dire l'origine du micrologiciel, le compte du contrôleur dans le cloud et les identifiants d'usine. Le compte du contrôleur mérite une mention propre, car il constitue aujourd'hui un accès administrateur exposé à internet capable de pousser une configuration vers chaque radio du site ; le capturer est une voie plus rapide vers un SSID étranger que n'importe quelle technique radio présentée ici.

Le travail radio est plus proche de la limite légale que la plupart des travaux de sécurité, parce que l'espace radio déborde sur des surfaces qui ne vous appartiennent pas. Chaque mission est limitée aux réseaux que le client possède ou autorise par écrit, et l'autorisation nomme les SSID et BSSID, pas seulement le bâtiment. Un réseau voisin, celui d'une gestion d'immeuble partagée ou le wifi d'une salle de conférence hors périmètre ne sont pas évalués, si intéressant que soit le signal ; le relevé qui voit ces réseaux consigne l'observation et rien d'autre. Un réseau domestique n'est évalué que pour la personne titulaire de la ligne et du routeur.