Un client attend dans vos locaux et demande le wifi. Vous lui donnez le mot de passe, celui qui est écrit sur l'étiquette de la box ou affiché à l'accueil. C'est un geste de politesse, et c'est aussi la façon la plus simple de faire entrer un appareil inconnu sur le réseau où se trouvent vos postes, votre imprimante et votre NAS.
Le problème ne vient pas de la malveillance de votre client. Il vient de son téléphone ou de son ordinateur, dont vous ne savez rien.
Ce qu'un appareil invité peut voir
Sur un réseau unique, tous les appareils se voient entre eux. Un ordinateur connecté à votre wifi peut, sans aucune compétence particulière :
- lister les appareils présents : postes, NAS, imprimantes, caméras ;
- ouvrir les dossiers partagés qui ne demandent pas de mot de passe ;
- atteindre la page d'administration de la box, de l'imprimante ou des caméras, souvent protégée par un mot de passe d'usine.
Si cet ordinateur est infecté, le logiciel malveillant fait la même chose, automatiquement. Et le mot de passe que vous avez donné reste valable : la personne peut se reconnecter depuis le parking, des mois plus tard.
Les objets connectés posent le même problème
Imprimantes, caméras, terminal de paiement, télévision de la salle d'attente, thermostat : ces appareils sont rarement mis à jour et gardent parfois leur mot de passe d'origine. Sur le même réseau que vos postes, ils servent de point d'appui à un attaquant.
La règle : un réseau par usage
L'ANSSI, l'agence française de cybersécurité, le formule ainsi dans ses recommandations sur le Wi-Fi : cloisonner les réseaux par usage, et faire en sorte qu'un réseau invité soit « dédié et cloisonné des autres ».
Concrètement, pour une petite entreprise, cela donne trois réseaux :
- Le réseau de travail : vos postes, le NAS, le serveur. Seuls les appareils de l'entreprise s'y connectent.
- Le réseau invités : un accès à Internet, et rien d'autre. Les appareils connectés ne voient ni vos postes ni les autres invités.
- Le réseau des objets : imprimantes, caméras, terminaux. Ils fonctionnent, mais ne peuvent pas atteindre vos postes.
Comment le mettre en place
Avec la box seule. La plupart des box professionnelles et grand public proposent un « wifi invité » à activer dans l'interface. C'est le minimum, et cela prend quelques minutes. Vérifiez ensuite depuis un téléphone connecté au wifi invité que vous ne pouvez pas ouvrir l'interface de la box ni voir le NAS.
Avec un vrai cloisonnement. Dès que vous avez plusieurs bornes wifi, des objets connectés ou des prises réseau accessibles au public, il faut des réseaux séparés au niveau du matériel (ce qu'on appelle des VLAN) et un pare-feu qui décide ce qui a le droit de passer de l'un à l'autre. C'est un réglage à faire une fois, par quelqu'un dont c'est le métier.
Les réglages à vérifier au passage
Les recommandations de l'ANSSI contiennent plusieurs points simples, valables pour toute entreprise :
- Désactiver le WPS, cette fonction qui permet de se connecter en appuyant sur un bouton de la box.
- Désactiver l'UPnP s'il n'est pas utilisé.
- Choisir WPA3, ou à défaut WPA2, avec un mot de passe long. Le changer régulièrement, et tout de suite en cas de doute.
- Changer le nom du réseau par défaut, sans y mettre le nom de l'entreprise ni son activité.
- Ne pas cacher le nom du réseau : cela ne protège pas, et cela complique la vie des utilisateurs.
- Changer le mot de passe d'administration de la box et des bornes, et appliquer les mises à jour.
Ce que vous pouvez faire maintenant
- Activez le wifi invité de votre box et donnez-lui un mot de passe différent.
- Changez le mot de passe du wifi principal s'il a déjà été donné à des personnes extérieures.
- Faites la liste de tout ce qui est connecté à votre réseau. Ce que vous ne reconnaissez pas mérite une vérification.
Sources
Le cloisonnement du réseau fait partie du pack Mise en sécurité : postes, invités et objets connectés ne se voient plus.
Voir les packs et leurs prix