Sécuriser un routeur Wi-Fi

Au-delà du choix d’un chiffrement fort, vous pouvez appliquer de nombreux paramètres pratiques pour renforcer un routeur sans fil et le rendre plus difficile à attaquer. Renforcer un système consiste à réduire les moyens dont dispose un attaquant pour s’y introduire ou utiliser le réseau de manière abusive. Cette leçon présente les mesures concrètes, pertinentes pour l’examen, que tout administrateur devrait prendre pour sécuriser un routeur Wi-Fi, des mots de passe au micrologiciel.

Commencez par la base : activez WPA3 ou, si WPA3 n’est pas disponible, WPA2 avec AES, et n’utilisez jamais WEP ni WPA-TKIP. Définissez ensuite une phrase secrète forte et unique, longue et aléatoire, qui ne soit ni un mot du dictionnaire ni la valeur par défaut. Une PSK faible peut être déchiffrée hors ligne même avec WPA2 ; la qualité de la phrase secrète détermine donc directement le niveau de sécurité réel du réseau.

Les routeurs sont livrés avec des noms d’utilisateur et des mots de passe d’administration par défaut bien connus, comme admin/admin, publiés en ligne pour chaque modèle. Un attaquant qui atteint la page d’administration peut prendre le contrôle du routeur. Modifiez immédiatement les identifiants d’administration par défaut et remplacez-les par un mot de passe fort et unique. Cela protège la configuration du routeur elle-même, indépendamment de la phrase secrète Wi-Fi utilisée par les utilisateurs pour se connecter.

Le micrologiciel du routeur contient le logiciel qui fait fonctionner le device et reçoit des correctifs de sécurité au fil du temps. Un micrologiciel obsolète peut présenter des vulnérabilités connues et exploitables. Mettez régulièrement à jour le micrologiciel pour corriger ces failles et activez les mises à jour automatiques si elles sont disponibles. Un routeur non corrigé est une cible facile, même si tout le reste est correctement configuré ; il est donc essentiel de maintenir le micrologiciel à jour.

WPS (Wi-Fi Protected Setup) permet aux utilisateurs de se connecter en appuyant sur un bouton ou en saisissant un code PIN court. C’est pratique, mais la méthode par code PIN est notoirement peu sûre : les attaquants peuvent tester systématiquement les combinaisons du code PIN à 8 chiffres pour récupérer le mot de passe Wi-Fi. La bonne pratique consiste à désactiver WPS, en particulier la fonction PIN, afin de supprimer une voie d’attaque facile qui contourne votre phrase secrète forte.

Configurez un réseau invité séparé pour les visiteurs. Il fournit un accès à Internet tout en isolant les invités des device de votre réseau principal, afin qu’un invité ne puisse pas atteindre vos ordinateurs, imprimantes ou fichiers partagés. Cette isolation limite également les effets d’un device invité compromis. Un réseau invité doté de son propre mot de passe est un moyen simple et efficace de limiter l’exposition aux utilisateurs non fiables.

Réfléchissez à votre SSID (nom du réseau). Évitez les noms qui révèlent des informations personnelles ou le modèle du routeur, car ils peuvent aider un attaquant. Masquer le SSID (ne pas le diffuser) est parfois recommandé, mais cela apporte peu de sécurité réelle : le nom reste détectable et les connexions peuvent être compliquées. Un chiffrement fort est bien plus important que le masquage du nom.

Le filtrage MAC n’autorise la connexion que des device dont les adresses matérielles figurent dans une liste. Cela semble sûr, mais la protection est faible : les adresses MAC sont facilement usurpées par un attaquant qui intercepte une adresse valide. Cette fonction peut également être difficile à gérer. Considérez le filtrage MAC tout au plus comme un léger obstacle, et jamais comme un remplacement du chiffrement et de l’authentification forts.

Rassemblez ces mesures dans une liste de contrôle. L’extrait ci-dessous présente les étapes les plus importantes. Appliquées ensemble, elles réduisent considérablement la surface d’attaque d’un réseau sans fil. Les gains les plus importants sont un chiffrement fort associé à une phrase secrète forte, la modification des identifiants d’administration, la mise à jour du micrologiciel et la désactivation de WPS ; les autres mesures ajoutent une défense en profondeur utile.

De nombreux routeurs proposent une gestion à distance, qui permet d’accéder à la page d’administration depuis Internet. C’est pratique, mais cela expose la connexion d’administration à des attaquants du monde entier qui la recherchent. Sauf si vous en avez réellement besoin, désactivez l’administration à distance afin que l’interface de gestion ne soit accessible que depuis votre propre réseau. Désactivez également les autres services inutilisés, comme UPnP s’il n’est pas nécessaire, afin de réduire davantage la surface d’attaque.

Le renforcement transforme un routeur vulnérable configuré par défaut en une cible beaucoup plus difficile à attaquer. Utilisez WPA3 ou WPA2-AES avec une phrase secrète forte, modifiez les identifiants d’administration par défaut, mettez à jour le micrologiciel, désactivez WPS et ajoutez un réseau invité. Retenez que le filtrage MAC et les SSID masqués n’apportent qu’une aide limitée. Ensemble, ces mesures constituent la méthode pratique, vérifiée à l’examen, pour sécuriser tout réseau sans fil.

Testez vos connaissances sur le renforcement.

Renforcez un routeur Wi-Fi par plusieurs mesures complémentaires : activez WPA3 ou WPA2-AES avec une phrase secrète forte et unique ; modifiez les identifiants d’administration par défaut ; mettez régulièrement à jour le micrologiciel ; désactivez WPS (le code PIN peut être découvert par force brute) ; et ajoutez un réseau invité isolé. Retenez que le filtrage MAC (qui peut être usurpé) et le masquage du SSID n’ajoutent qu’une sécurité limitée. Les gains les plus importants sont un chiffrement fort, une phrase secrète forte, un micrologiciel corrigé et la désactivation de WPS.