Sécurisation des réseaux locaux sans fil avec PEAP et des mots de passe

Introduction : Choix d'une stratégie pour la sécurité des réseaux locaux sans fil

Dernière mise à jour le 03 avril 2004

Afficher toutes les rubriques d'aide consacrées à la sécurité site en anglais

Sur cette page

Introduction
Arguments en faveur des réseaux sans fil
Comment sécuriser (réellement) votre réseau local sans fil
Sélection d'options de réseau sans fil adéquates
Résumé
Références

Introduction

La technologie de réseau local sans fil (Wireless Local Area Network, réseau local sans fil) fait l'objet de nombreuses controverses. Les entreprises qui ont déployé des réseaux locaux sans fil émettent des doutes quant à leur sécurité ; celles qui ne les ont pas encore mis en œuvre craignent de passer à côté de gains de productivité ou d'une réduction de leurs coûts totaux d'exploitation. Une entreprise peut-elle intégrer en toute sécurité un réseau local sans fil à son environnement informatique ? Cette question prête toujours à confusion aujourd'hui.

Dès l'identification des premières failles de sécurité dans les réseaux locaux sans fil de première génération, les analystes et autres professionnels de la sécurité des réseaux n'ont eu cesse de résoudre ces problèmes. Certains de ces efforts ont très largement joué en faveur de la sécurité des réseaux sans fil. D'autres ont eu en revanche une incidence catastrophique : introduction de nouvelles failles de sécurité, recours à un matériel propriétaire onéreux et parfois même absence de réponse à la question de la sécurité des réseaux locaux sans fil par la mise en avant d'une autre technologie de sécurisation potentiellement complexe, comme les réseaux privés virtuels(VPN, Virtual Private Network).

En parallèle, l'IEEE (Institute of Electrical and Electronic Engineers), en collaboration avec d'autres organismes et consortiums de normalisation, s'est attaché à la redéfinition et à l'optimisation des normes de sécurité sans fil, de façon à permettre aux réseaux locaux sans fil de se faire une place dans l'environnement de sécurité hostile du début du vingt-et-unième siècle. Grâce aux efforts acharnés des organismes de normalisation et des chefs de file du secteur, l'expression « sécurité des réseaux locaux sans fil » n'est plus un oxymore aujourd'hui. Le déploiement et l'utilisation de réseaux locaux sans fil peuvent désormais être réalisés en toute sécurité.

Ce document présente deux solutions de sécurisation de réseaux locaux sans fil proposées par Microsoft®. Il répond également aux questions relatives à la sécurité des réseaux locaux sans fil et tente d'identifier la meilleure stratégie de sécurisation possible.

Présentation des solutions sans fil

Le principal objectif de ce document est de vous aider à identifier la méthode de sécurisation la mieux adaptée au réseau local sans fil de votre entreprise. Quatre grands points sont examinés pour ce faire :

  • arguments en faveur des réseaux locaux sans fil (et problèmes de sécurité qui leur sont associés) ;

  • utilisation de normes de réseau local sans fil sécurisées ;

  • autres stratégies possibles, telles que VPN et ISsec (Internet Protocol security) ;

  • sélection d'options de réseau local sans fil adéquates.

Microsoft a mis au point deux solutions de réseau local sans fil, reposant sur les normes ouvertes validées par des organismes tels que l'IEEE, l'IETF (Internet Engineering Task Force) ou encore la Wi-Fi Alliance. Ces deux solutions s'intitulent Sécurisation de réseaux locaux sans fil – Une solution des services de certificats de Windows Server 2003 et Sécurisation des réseaux locaux sans fil avec PEAP et des mots de passe. Comme leurs noms l'indiquent, la première de ces solutions utilise des certificats de clés publiques pour authentifier les utilisateurs et les ordinateurs sur le réseau local sans fil, tandis que la deuxième fait appel à de simples noms d'utilisateur et mots de passe. L'architecture de base des deux solutions est toutefois très similaire. Elles reposent toutes deux sur une infrastructure Microsoft Windows® Server™ 2003 et sur des clients Microsoft Windows XP et Microsoft Pocket PC 2003.

Bien que leur nom ne le laisse pas supposer, ces solutions s'adressent à des publics bien différents. La première, Sécurisation de réseaux locaux sans fil – Une solution des services de certificats de Windows Server 2003 concerne principalement les organisations de grande taille dotées d'environnements informatiques relativement complexes ; la deuxième, Sécurisation des réseaux locaux sans fil avec PEAP et des mots de passe est beaucoup plus simple et peut facilement être déployée par les petites entreprises.

Cette distinction ne signifie en aucune façon que l'authentification par mots de passe ne peut pas être utilisée par les grandes entreprises (ni que l'authentification par certificats ne convient pas aux organisations de taille plus réduite) : elle traduit seulement le type d'organisation dans lequel cette technologie particulière est la plus susceptible d'être utilisée. La figure qui suit représente un organigramme décisionnel simple qui vous aidera à sélectionner la solution adaptée à votre entreprise. Les trois principales options possibles sont les suivantes :

  • clé pré-partagée (PSK, Pre-shared Key) WPA (Wi-Fi Protected Access) pour les très petites entreprises et les télétravailleurs ;

  • sécurité de réseau local sans fil reposant sur des mots de passe pour les organisations qui n'utilisent pas ou n'ont pas besoin de certificats ;

  • sécurité de réseau local sans fil reposant sur des certificats pour les organisations exigeant et susceptibles de déployer des certificats.

Ces options sont plus précisément détaillées dans la suite de ce document, tout comme la possibilité d'associer certaines fonctionnalités des deux dernières propositions pour produire une solution hybride.

Dd491901.PEAP_i01(fr-fr,TechNet.10).gif

Figure 1 : Organigramme décisionnel pour les solutions de réseau local sans fil Microsoft

Arguments en faveur des réseaux sans fil

On comprend aisément l'attrait exercé par les réseaux locaux sans fil sur les entreprises actuelles. Alors que la technologie sans fil existe sous différentes formes depuis près de dix ans déjà, ce n'est bizarrement que très récemment qu'elle a occupé le devant de la scène. C'est seulement en effet lorsqu'une technologie fiable, normalisée et financièrement abordable a répondu au désir grandissant de méthodes de travail plus souples et d'une connectivité encore plus présente, que l'adoption des réseaux locaux sans fil a véritablement commencé à prendre son essor. L'adoption rapide de cette technologie a toutefois mis en lumière un certain nombre de failles de sécurité relativement sérieuses, dans les réseaux locaux sans fil de première génération. Cette section examine à la fois les avantages (la fonctionnalité) et les inconvénients (la sécurité) des réseaux locaux sans fil.

Avantages des réseaux locaux sans fil

On peut ranger les avantages de la technologie sans fil dans deux grandes catégories : avantages métier fondamentaux et avantages opérationnels. Les avantages métier fondamentaux incluent l'amélioration de la productivité des employés, l'optimisation des processus commerciaux et le potentiel de création de processus professionnels entièrement nouveaux. Les avantages opérationnels incluent la réduction des coûts de gestion et la diminution des dépenses d'investissement.

Principaux avantages métier

Les principaux avantages métier des réseaux locaux sans fil découlent de l'amélioration de la souplesse et de la mobilité de vos effectifs.

Les utilisateurs ne sont plus esclaves de leur poste de travail et peuvent se déplacer en toute liberté dans les bureaux sans perdre leur connexion au réseau. Voici quelques exemples qui illustrent les avantages représentés par l'optimisation de la mobilité et de la souplesse du réseau pour les entreprises.

  • Les employés amenés à se déplacer entre différents bureaux, ou bien les télétravailleurs de passage au siège de l'entreprise, évitent perte de temps et ennuis grâce à la connexion transparente au réseau local de l'entreprise. La connexion est quasi instantanée et accessible à partir de toute zone couverte par le réseau local sans fil ; inutile donc de rechercher une prise réseau, un câble voire une personne du service informatique pour vous connecter au réseau.

  • Les employés chargés de la gestion des informations restent joignables où qu'ils se trouvent dans le bâtiment. Grâce au courrier électronique, aux agendas électroniques et aux technologies de messagerie instantanée, votre personnel peut rester en ligne, même durant une réunion ou lorsqu'il est amené à s'éloigner de son poste de travail.

  • Les informations en ligne sont disponibles en permanence. Les réunions n'ont plus besoin d'être interrompues pendant que quelqu'un part à la recherche du rapport des chiffres du mois précédent ou de la mise à jour d'une présentation. La qualité et la productivité des réunions s'en trouvent considérablement améliorées.

  • L'entreprise jouit d'une souplesse accrue. Le personnel n'étant plus lié à un poste de travail donné, des déplacements simples et rapides de postes de travail ou même de bureaux entiers sont désormais possibles, afin de s'adapter à l'évolution des structures des équipes et des projets.

  • L'intégration de nouveaux périphériques et applications dans l'environnement informatique de l'entreprise évolue de façon très significative. Des périphériques tels que les assistants numériques personnels (PDA) et les Tablet PC, longtemps relégués au rang de joujoux pour cadres branchés, aux antipodes de l'informatique professionnelle, jouissent d'une bien meilleure intégration et revêtent ainsi une utilité nouvelle au sein des organisations prenant en charge les technologies sans fil. Des employés et des processus métier longtemps hors de portée des moyens informatiques peuvent désormais bénéficier des avantages des ordinateurs, périphériques et applications sans fil dans des secteurs jusque-là inaccessibles à l'informatique, tels que les ateliers de fabrication, les salles d'hôpital, les magasins et les restaurants.

Les avantages présentés par la technologie sans fil varient d'une organisation à l'autre ; ils dépendent de plusieurs facteurs tels que nature de vos activités et taille et répartition géographique de vos effectifs.

Avantages opérationnels

Les principaux avantages opérationnels de la technologie réseau local sans fil, à savoir réduction des investissements et des coûts d'exploitation, peuvent se résumer comme suit :

  • Les coûts d'équipement réseau des bâtiments sont considérablement réduits. Bien que la plupart des bureaux soient précâblés, certains espaces de travail, tels que les ateliers, les entrepôts ou les magasins, ne le sont pas. Des réseaux peuvent également être amenés sur des sites sur lesquels des réseaux câblés ne seraient pas envisageables : à l'extérieur, en mer, ou même sur un champ de bataille, par exemple.

  • Le réseau peut facilement être adapté en fonction de l'évolution des besoins de l'entreprise, ou même d'un jour à l'autre ; il est infiniment plus simple de déployer une concentration supérieure de points d'accès sans fil sur un site donné que d'augmenter le nombre de ports réseau câblés.

  • Les investissements ne sont plus liés aux bâtiments : les infrastructures de réseau sans fil peuvent être déplacées facilement vers un nouveau site, tandis que le câblage physique demeure dans les bâtiments.

Problèmes de sécurité liés aux réseaux locaux sans fil

Malgré tous ces avantages, un certain nombre de problèmes de sécurité ont limité l'adoption des réseaux locaux sans fil, notamment dans les secteurs pour lesquels la sécurité est essentielle, tels que les institutions financières ou gouvernementales. Bien que les risques de diffusion de données non protégées semblent évidents, un nombre surprenant de réseaux locaux sans fil sont installés sans aucune fonction de sécurité. La majorité des entreprises ont toutefois mis en place un certain nombre de mécanismes de sécurité sans fil ; ces fonctions de base de sécurité de première génération ne sont malheureusement absolument pas adaptées aux normes actuelles.

Lors de l'établissement des premières normes IEEE 802.11 sur les réseaux locaux sans fil, les préoccupations de sécurité étaient bien loin des enjeux actuels. Le niveau et la sophistication des menaces étaient nettement inférieurs et l'adoption de la technologie sans fil commençait à peine. C'est dans ce contexte qu'apparut la norme WEP (Wired Equivalent Privacy), norme de sécurité sur les réseaux locaux sans fil de première génération. La norme WEP sous–estimait largement les mesures nécessaires pour faire en sorte que la sécurité sans fil soit comparable à la sécurité filaire. Les méthodes de sécurisation des réseaux locaux sans fil actuelles, en revanche, sont parfaitement adaptées aux environnements hostiles comme l'air, pour lesquels il n'existe aucun périmètre physique ou réseau défini.

Il est capital de bien faire la différence entre la norme WEP statique de première génération (qui utilise un mot de passe partagé pour protéger le réseau) et les schémas de sécurité qui font appel à un cryptage WEP associé à une gestion renforcée des clés de cryptage et d'authentification. La première est un schéma de sécurité complet incluant une authentification et une protection des données ; nous la désignerons sous le nom de « WEP statique » dans ce document. La norme WEP dynamique, quant à elle, définit uniquement la méthode d'intégrité et de cryptage de données utilisée dans le cadre de solutions plus sécurisées, décrites dans la suite de ce document.

Les failles de sécurité identifiées dans la norme WEP statique laissent supposer que les réseaux locaux sans fil protégés par cette norme sont vulnérables à différents types de menaces. Du fait de la libre diffusion d'outils d'audit de réseau tels qu'Airsnort et WEPCrack, s'introduire dans des réseaux sans fil protégés par la norme WEP statique est aujourd'hui devenu une simple formalité. Les réseaux locaux sans fil non sécurisés sont de toute évidence exposés aux mêmes menaces, si ce n'est que les attaques exigent moins d'expérience, de temps et de ressources.

Avant de nous intéresser de plus près aux solutions actuelles de sécurité pour réseaux locaux sans fil, nous commencerons par passer en revue les principales menaces qui pèsent sur les réseaux locaux sans fil. Celles-ci sont répertoriées dans le tableau qui suit.

Tableau 1 : Principales menaces de sécurité pesant sur les réseaux locaux sans fil

Menace

Description de la menace

Écoute clandestine (divulgation de données)

L'écoute clandestine des transmissions réseau peut conduire à la divulgation de données confidentielles ou de certificats utilisateur non protégés et donc à un risque d'usurpation d'identité. Elle permet également à des utilisateurs expérimentés mal intentionnés de recueillir des informations relatives à votre système informatique afin d'attaquer d'autres systèmes ou des données normalement non vulnérables.

Interception et modification de données transmises

Si un pirate parvient à accéder au réseau, il peut y adjoindre un ordinateur malveillant pour intercepter et modifier les données échangées entre deux utilisateurs autorisés.

Usurpation

L'accès permanent à un réseau interne permet à un intrus d'envoyer des données semblant émaner d'un utilisateur autorisé par le biais de procédés normalement inutilisables depuis l'extérieur du réseau (message électronique usurpé, par exemple). Les utilisateurs (y compris les administrateurs système) ont tendance à faire bien plus confiance aux éléments issus de leur réseau d'entreprise, qu'à ceux provenant de l'extérieur.

Refus de service

L'utilisateur malveillant dispose ici de toute une palette de possibilités. Des perturbations du signal radio peuvent être déclenchées à l'aide d'un dispositif aussi simple qu'un four à micro–ondes, par exemple. Les attaques les plus sophistiquées prennent directement pour cible les protocoles sans fil de bas niveau, tandis que des attaques moins élaborées se contentent de submerger le réseau local sans fil de trafic aléatoire.

Free-loading (ou vol de ressources)

Un intrus peut avoir pour seul objectif d'utiliser votre réseau en guise de point d'accès gratuit vers Internet. Bien que cette menace présente des conséquences moins graves que celles citées précédemment, elle aura pour effet de réduire la qualité de service disponible pour vos utilisateurs autorisés, sans parler du risque d'introduction de virus et autres dangers.

Risques accidentels

Certaines fonctions des réseaux locaux sans fil peuvent aggraver les risques liés aux attaques non intentionnelles. Un visiteur autorisé qui démarre son ordinateur portable sans avoir l'intention de se connecter à votre réseau, par exemple, peut être automatiquement intégré au réseau local sans fil de votre entreprise. Le portable de votre visiteur devient ainsi un point d'entrée potentiel pour des virus susceptibles d'attaquer votre réseau. Ce type de risque constitue uniquement un problème sur les réseaux locaux sans fil non sécurisés.

Réseaux locaux sans fil malveillants

Même si votre entreprise n'a officiellement déployé aucun réseau local sans fil, vous n'êtes pas à l'abri de voir apparaître des réseaux locaux sans fil illicites sur votre réseau. Ce matériel peu onéreux, installé par des employés enthousiastes, peut entraîner des vulnérabilités inattendues sur votre système.

Les problèmes de sécurité liés aux réseaux locaux sans fil, braqués sur la norme WEP statique, ont eu un large écho dans les médias. Malgré l'existence d'excellentes solutions de sécurité pour combattre ces menaces, les entreprises, quelle que soit leur taille, restent réservées quant à l'adoption de réseaux locaux sans fil ; certaines ont même interrompu le déploiement de la technologie de réseau local sans fil ou ont même été jusqu'à bannir son utilisation. Voici une liste des principaux facteurs contribuant à cette confusion et au consensus général selon lequel réseaux locaux sans fil et insécurité sont indissociables :

  • Le doute subsiste quant à la différenciation des technologies de réseau local sans fil qui sont fiables et celles qui ne le sont pas. Après la succession de failles découvertes dans les fonctions de sécurité initiales du standard WEP statique, les entreprises sont méfiantes à l'égard de toute mesure de sécurisation des réseaux locaux sans fil. La déconcertante liste de standards officiels et de solutions propriétaires prétendant résoudre les problèmes ne contribue guère à éclaircir la situation.

  • Le caractère invisible du réseau local sans fil pose problème aux administrateurs de la sécurité du réseau, tant au niveau de la gestion de la sécurité, que sur le plan psychologique. Alors qu'on peut parfaitement voir un intrus brancher un câble sur un réseau filaire, l'intrusion dans les réseaux locaux sans fil est beaucoup moins tangible. Les défenses de sécurité physiques traditionnelles, telles que murs et portes, qui contribuent à la protection de votre réseau câblé, ne sont d'aucun secours dans le cas d'un réseau sans fil.

  • Les entreprises sont désormais beaucoup plus conscientes de la nécessité de sécurisation des informations. Elles deviennent de plus en plus exigeantes quant à la sécurité de leurs systèmes et de plus en plus méfiantes à l'égard des technologies porteuses de vulnérabilités.

  • Parallèlement à cette sensibilisation croissante à la sécurité, des exigences législatives et réglementaires régissant la sécurité des données commencent à apparaître dans un nombre grandissant de pays et de secteurs de l'industrie. L'un des exemples les plus connus de ce phénomène est le Health Insurance Portability and Accountability Act (HIPAA), imposé par le gouvernement américain en 1996 pour régir le traitement des données personnelles de santé.

Comment sécuriser (réellement) votre réseau local sans fil

Depuis la révélation des failles de sécurité des réseaux locaux sans fil décrites plus haut, les principaux fournisseurs de produits réseau, les organismes de normalisation et les analystes ont proposé diverses solutions pour combattre ces problèmes. Un certain nombre de réponses ont ainsi été apportées pour contrer les failles de sécurité des réseaux locaux sans fil. Les principales propositions sont les suivantes :

  • ne pas déployer la technologie réseau local sans fil ;

  • s'en tenir à la norme de sécurité WEP statique 802.11 ;

  • recourir à un réseau privé virtuel pour protéger les données du réseau local sans fil ;

  • recourir au protocole IPsec pour protéger le trafic du réseau local sans fil ;

  • recourir à un cryptage des données et à une authentification 802.1X pour protéger le réseau local sans fil.

Ces stratégies sont classées par ordre de satisfaction croissante, en termes de sécurité, de fonctionnalités et de convivialité, même si cette évaluation est subjective dans une certaine mesure. C'est la dernière proposition qui a la faveur de Microsoft : le recours à une authentification 802.1X et à un cryptage des données du réseau local sans fil. Cette approche est discutée dans la section qui suit, puis évaluée par rapport à la liste des principales menaces pesant sur les réseaux locaux sans fil identifiées plus haut (tableau 1). Les principaux avantages et inconvénients des autres propositions sont également abordés plus loin dans le document, à la suite de cette section.

Protection du réseau local sans fil à l'aide d'un cryptage des données et d'une authentification 802.1X

Cette stratégie présente un certain nombre d'avantages qui lui valent d'être recommandée (bien que son intitulé et le cortège de termes obscurs qui la définissent laissent à désirer !). Avant de discuter les avantages des solutions reposant sur cette stratégie, quelques explications sur la terminologie utilisée et sur les modalités de fonctionnement de cette approche s'imposent toutefois.

Protection d'un réseau local sans fil

La protection d'un réseau local sans fil implique trois principaux éléments :

  • l'authentification de la personne (ou du périphérique) qui se connecte au réseau, identification qui constitue un gage de sécurité ;

  • l'habilitation de la personne ou du périphérique à utiliser le réseau local sans fil, de façon à contrôler les accès au réseau ;

  • la protection des données transmises sur le réseau, de façon à éviter les écoutes clandestines et les modifications non autorisées.

Une fonction d'audit peut venir compléter ces trois éléments, bien que l'audit constitue principalement un moyen de vérifier et renforcer ces éléments.

Authentification et autorisation sur le réseau

La sécurité WEP statique repose sur un secret partagé simple (mot de passe ou clé) qui permet de s'authentifier sur le réseau local sans fil. Toute personne en possession de cette clé secrète peut accéder au réseau local sans fil. Le standard WEP initial ne fournit aucune méthode d'automatisation de la mise à jour ou de la distribution de ces clés, ce qui complique singulièrement leur modification régulière. Les failles cryptographiques de la norme WEP permettent ainsi à un utilisateur malveillant d'identifier les clés de cryptage WEP statiques en recourant à des outils simples.

Pour renforcer la méthode d'authentification et d'autorisation, Microsoft et plusieurs autres éditeurs ont proposé une infrastructure de sécurité pour réseau local sans fil reposant sur le protocole 802.1X. Le protocole 802.1X est une norme de l'IEEE qui permet d'authentifier les accès à un réseau et, éventuellement, de gérer les clés utilisées dans la protection du trafic. Son utilisation n'est pas limitée aux réseaux sans fil ; il est également mis en œuvre sur de nombreux commutateurs de réseau local filaire haut de gamme.

Le protocole 802.1X implique l'utilisateur du réseau, un périphérique d'accès au réseau (ou une passerelle) tel qu'un point d'accès sans fil, et un service d'authentification et d'autorisation sous la forme d'un serveur RADIUS (Remote Authentication Dial-In User Service). Le serveur RADIUS procède aux tâches d'authentification et d'autorisation d'accès des utilisateurs au réseau local sans fil.

Le protocole 1X fait appel à un protocole IETF dit EAP (Extensible Authentication Protocol) pour effectuer la négociation de l'authentification entre le client et le serveur RADIUS (relayé par le point d'accès). Le protocole EAP est un protocole général qui gère plusieurs méthodes d'authentification, qu'elles reposent sur des mots de passe, des certificats numériques ou d'autres types d'identification.

Le protocole EAP étant disponible sous forme de plug-in, il n'existe pas de type d'authentification EAP standard unique à utiliser. Différentes méthodes EAP, utilisant différents types d'identification et protocoles d'authentification, peuvent convenir selon les cas de figure. L'utilisation de méthodes EAP dans l'authentification sur les réseaux locaux sans fil est discutée dans une section ultérieure.

Protection des données du réseau local sans fil

L'authentification 1X et l'accès au réseau ne sont qu'une partie de la solution. L'autre élément fondamental est la protection du trafic du réseau local sans fil.

Les failles de cryptage des données WEP décrites plus haut auraient pu être contrées si le protocole WEP statique avait inclus une méthode de mise à jour automatique et régulière des clés de cryptage. Les outils de décodage du protocole WEP statique doivent recueillir entre un et dix millions de paquets cryptés avec la même clé. Les clés WEP statiques demeurant bien souvent inchangées pendant plusieurs semaines ou plusieurs mois, un utilisateur malveillant n'a généralement aucun mal à recueillir cette quantité de données. Étant donné que tous les ordinateurs d'un réseau local sans fil partagent la même clé statique, toutes les données transmises peuvent être interceptées de façon à découvrir la clé.

Le recours à une solution reposant sur le protocole 802.1X permet une modification régulière des clés de cryptage. Dans le cadre du processus d'authentification 802.1X sécurisé, la méthode EAP génère une clé de cryptage unique pour chaque client. Pour empêcher le décodage du protocole WEP (décrit plus haut), le serveur RADIUS impose régulièrement la génération de nouvelles clés de cryptage. Les algorithmes de cryptage WEP (présents dans la plupart des équipements pour réseaux locaux sans fil actuels) peuvent ainsi être utilisés de façon beaucoup plus sûre.

WPA et 802.11i

Bien que le cryptage WEP avec réattribution 802.1X dynamique des clés convienne dans la plupart des applications pratiques, quelques problèmes subsistent :

  • Le cryptage WEP utilise une clé statique distincte pour les transmissions globales telles que paquets de diffusion. Contrairement aux clés individualisées par utilisateur, la clé globale n'est pas renouvelée régulièrement. Bien que les données confidentielles soient rarement transmises par diffusion, le recours à une clé statique pour les transmissions globales donne aux utilisateurs malveillants la possibilité de découvrir des informations sur le réseau, telles qu'adresses IP ou noms d'ordinateurs et d'utilisateurs.

  • La protection de l'intégrité des trames réseau sécurisées à l'aide du protocole WEP est très insuffisante. En recourant à des techniques cryptographiques, un pirate peut modifier les informations contenues dans la trame du réseau local sans fil et procéder à la mise à jour de la valeur de contrôle d'intégrité de la trame à l'insu du récepteur.

  • Avec l'augmentation de la vitesse de transmission sur les réseaux locaux sans fil, l'amélioration de la vitesse de calcul et l'optimisation des techniques cryptanalytiques, les clés WEP doivent nécessairement être renouvelées plus fréquemment. La charge répercutée sur les serveurs RADIUS risque de s'avérer rapidement inacceptable.

Pour résoudre ces problèmes, l'IEEE travaille actuellement à une nouvelle norme de sécurité pour les réseaux locaux sans fil : le standard 802.11i ou RSN (Robust Security Network). La Wi-Fi Alliance, consortium des principaux fournisseurs d'équipements Wi-Fi, a mis au point ce que l'on peut considérer comme une version préliminaire de la norme 802.11i et l'a publiée dans un standard connu sous le nom de WPA (Wi-Fi Protected Access). Le standard WPA inclut un large éventail des fonctionnalités de la norme 802.11i. La publication du standard WPA a permis à la Wi-Fi Alliance d'exiger une stricte conformité avec la norme WPA pour tous les équipements portant le logo Wi-Fi et aux fournisseurs d'équipements réseau Wi-Fi d'offrir une option standardisée de haute sécurité préalablement à la publication de la norme 802.11i. Le standard WPA associe un ensemble de fonctions de sécurité unanimement considérées comme les techniques de sécurisation de réseaux locaux sans fil les plus fiables à ce jour.

Le standard WPA se décline en deux modes ; le premier utilise la norme 802.1X et une authentification RADIUS (mode WPA) et le deuxième un schéma simplifié reposant sur une clé pré–partagée pour les environnements SOHO (WPA PSK). Le standard WPA allie un cryptage robuste au puissant mécanisme d'authentification et d'autorisation du standard 802.1X. La protection WPA des données élimine les failles identifiées du protocole WEP en :

  • utilisant une clé de cryptage unique pour chaque paquet ;

  • recourant à un vecteur d'initialisation beaucoup plus long, permettant de doubler l'espace réservé aux clés par l'ajout de 128 octets supplémentaires ;

  • ajoutant une valeur de contrôle d'intégrité dans un message signé et non vulnérable aux usurpations d'identité et autres falsifications ;

  • intégrant un compteur de trames cryptées de façon à bloquer les attaques par relecture.

Toutefois, étant donné que le standard WPA utilise des algorithmes cryptographiques similaires à ceux du protocole WEP, il peut être mis en place sur le matériel existant par le biais d'une simple mise à niveau des microprogrammes.

Le mode PSK du standard WPA permet en outre aux petites entreprises et aux télétravailleurs d'utiliser un réseau local sans fil à clés partagées sans aucun des inconvénients du protocole WEP statique (à condition que la clé pré–partagée choisie soit suffisamment sûre pour éviter les attaques par simple décodage du mot de passe). Tout comme pour le WEP dynamique et le WPA RADIUS, des clés de cryptage individuelles sont générées pour chaque client sans fil. La clé pré-partagée fait office d'information d'authentification ; tout possesseur de la clé est autorisé à utiliser le réseau local sans fil et reçoit une clé de cryptage unique pour protéger les données.

Le mode 802.11i (RSN) permettra probablement aux réseaux locaux sans fil de bénéficier de niveaux de sécurité accrus, notamment d'une meilleure protection contre les attaques par refus de service ; sa mise sur le marché est prévue mi–2004.

Méthodes d'authentification EAP

Le protocole EAP, comme son nom le laisse supposer (E étant mis pour Extensible), gère plusieurs méthodes d'authentification. Ces méthodes peuvent faire appel à différents protocoles d'authentification tels que Kerberos, TLS (Transport Layer Security) et MS-CHAP (Microsoft-Challenge Handshake Authentication Protocol) et utiliser un large éventail de types d'identification tels que mots de passe, certificats avec mots de passe à usage unique et biométrie. Bien que chaque méthode EAP puisse théoriquement être utilisée avec le standard 802.1X, toutes les méthodes ne conviennent pas aux réseaux locaux sans fil ; la méthode utilisée doit en effet être adaptée à un environnement non protégé et être en mesure de générer des clés de cryptage.

Les principales méthodes EAP utilisées avec les réseaux locaux sans fil sont les protocoles EAP-TLS, PEAP (Protected EAP), TTLS (Tunneled TLS) et LEAP (Lightweight EAP). Parmi eux, les protocoles PEAP et EAP-TLS sont pris en charge par Microsoft.

EAP-TLS

Le protocole EAP-TLS, standard IETF (RFC 2716), est probablement le protocole le mieux géré, sur les clients sans fil comme sur les serveurs RADIUS. Il utilise des certificats de clés publiques pour authentifier les clients sans fil et les serveurs RADIUS en établissant une session TLS cryptée entre eux.

PEAP

Le protocole PEAP est une méthode d'authentification en deux étapes. La première étape établit une session TLS avec le serveur et autorise le client à authentifier le serveur par le biais de son certificat numérique. La deuxième étape exige une seconde méthode EAP intégrée dans la session PEAP pour authentifier le client sur le serveur RADIUS. Le protocole PEAP peut ainsi faire appel à une grande diversité de méthodes d'authentification des clients, notamment des mots de passe avec le protocole MS-CHAP version 2 (MS-CHAP v2) et des certificats avec le protocole EAP-TLS intégré à PEAP. Les méthodes EAP de type MS-CHAP v2 ne sont pas suffisamment sûres pour être utilisées sans protection PEAP car elles seraient vulnérables à des attaques de dictionnaire hors connexion. Le protocole PEAP est très largement pris en charge dans le secteur et Microsoft Windows XP SP1 et Pocket PC 2003 bénéficient d'une prise en charge intégrée.

TTLS

Le protocole TTLS est un protocole en deux étapes comparable au protocole PEAP qui utilise une session TLS pour protéger une authentification de clients tunnellisés. Outre des méthodes EAP de tunnel, le protocole TTLS peut également utiliser des versions non EAP de protocoles d'authentification tels que CHAP, MS-CHAP et autres. Microsoft et Cisco n'assurent pas la prise en charge du protocole TTLS, mais des clients TTLS sont toutefois disponibles auprès d'autres fournisseurs pour différentes plate–formes.

LEAP

Le protocole LEAP est une méthode EAP propriétaire développée par Cisco, qui authentifie les clients par le biais de mots de passe. Malgré sa popularité, le protocole LEAP est exclusivement compatible avec les matériels et logiciels développés par Cisco et quelques autres fournisseurs. Le protocole LEAP présente aussi plusieurs failles de sécurité telles que vulnérabilité aux attaques de dictionnaire hors connexion (qui peuvent permettre à des pirates de découvrir les mots de passe des utilisateurs) et aux attaques de type de l'homme au milieu. Dans un environnement de type domaine, le protocole LEAP permet exclusivement d'authentifier l'utilisateur sur le réseau local sans fil, mais pas l'ordinateur. Sans authentification de l'ordinateur, les stratégies de groupe de la machine risquent de ne pas s'exécuter correctement, les paramètres d'installation des applications, les profils itinérants et les scripts de connexion d'échouer, et les utilisateurs n'ont pas la possibilité de modifier les mots de passe arrivés à expiration.

Certaines solutions de sécurité pour réseaux locaux sans fil utilisent le standard 802.1X avec d'autres méthodes EAP. Certaines de ces méthodes EAP, telle la méthode EAP-MD5, présentent de nombreuses failles de sécurité lorsqu'elles sont mises en œuvre dans un environnement de réseau local sans fil et ne doivent par conséquent jamais être utilisées. D'autres méthodes gèrent l'utilisation de jetons à mot de passe unique et plusieurs autres protocoles d'authentification tels que Kerberos. Il y a fort à parier qu'elles seront amenées à avoir un impact significatif sur le marché des réseaux locaux sans fil.

Avantages d'une solution 802.1X avec protection des données du réseau local sans fil

Les principaux avantages d'une solution 802.1X sont récapitulés dans la liste qui suit :

  • Sécurité optimale : cette solution d'authentification offre une sécurité optimale car elle peut utiliser des certificats client ou des noms d'utilisateur et des mots de passe.

  • Cryptage renforcé : elle permet un cryptage renforcé des données transmises sur le réseau.

  • Transparence : elle assure une authentification et une connexion transparentes sur le réseau local sans fil.

  • Authentification des utilisateurs et des ordinateurs : elle permet une authentification séparée des utilisateurs et des ordinateurs. Un ordinateur peut ainsi être géré même si aucun utilisateur n'est connecté.

  • Coût modique : prix modique des équipements réseau.

  • Excellentes performances : le cryptage étant effectué au niveau des équipements du réseau local sans fil et pas par le processeur de l'ordinateur client, le cryptage du réseau local sans fil n'a aucune incidence sur les performances de l'ordinateur client.

La solution 802.1X n'est cependant pas exempte d'inconvénients.

  • Bien que la norme 802.1X bénéficie d'une acceptation quasi universelle, le recours à différentes méthodes EAP ne permet malheureusement pas de garantir une interopérabilité parfaite.

  • Le standard WPA commence à peine à être adopté et n'est pas toujours disponible sur les équipements plus anciens.

  • Le standard RSN de nouvelle génération (802.11i) est toujours en attente d'homologation et exigera le déploiement de mises à jour matérielles et logicielles (les équipements réseau devront probablement faire l'objet d'une mise à niveau des microprogrammes).

Ces problèmes sont toutefois relativement mineurs et largement contrebalancés par les avantages de la solution, notamment lorsqu'on les compare aux graves déficiences des autres solutions discutées plus loin.

Résilience de la solution 802.1X aux menaces de sécurité

Les principales menaces de sécurité qui pèsent sur les réseaux locaux sans fil ont été décrites un peu plus haut dans ce document (dans le tableau 1). Ces menaces sont ré–évaluées dans le tableau ci–dessous à partir d'une solution reposant sur le standard 802.1X et sur une protection des données du réseau local sans fil.

Tableau 2 : Évaluation des menaces de sécurité à la lumière de la solution proposée

Menace

Minimisation

Écoute clandestine(divulgation de données)

L'affectation dynamique des clés de cryptage, leur modification régulière et le fait que les clés sont uniques pour chaque session d'utilisateur impliquent que la récupération des clés et l'accès aux données est impossible avec les moyens actuellement connus, à condition que l'actualisation des clés soit suffisamment fréquente.

Le standard WPA optimise la sécurité en modifiant les clés de cryptage par paquet. La clé globale (qui protège le trafic de diffusion) est redéfinie pour chaque paquet.

Interception et modification de données transmises

La mise en œuvre d'une intégrité et d'un cryptage renforcé des données entre le client et le point d'accès sans fil interdit à tout utilisateur malveillant d'intercepter les données transmises et de les modifier.

L'authentification mutuelle entre le client, le serveur RADIUS et le point d'accès sans fil complique sérieusement toute tentative d'usurpation d'identité de la part d'un intrus.

Le standard WPA améliore l'intégrité des données grâce au protocole Michael.

Usurpation

L'authentification réseau sécurisée empêche des individus non autorisés de se connecter au réseau et d'introduire des données usurpées par ce biais.

Refus de service (DoS)

Les attaques par submersion de données et autres attaques par refus de service au niveau du réseau sont empêchées par le contrôle des accès au réseau local sans fil via le protocole 802.1X. Ni le WPA, ni le WEP dynamique ne permettent de se protéger contre les attaques par refus de service 802.11 de bas niveau. Le standard 802.11i permet de remédier à ce problème.

Il convient toutefois de noter que même ce nouveau standard ne mettra par les réseaux à l'abri de perturbations radio (de la couche physique).

Ces vulnérabilités sont une caractéristique des réseaux locaux sans fil 802.11 actuels et communes à toutes les autres options abordées dans la suite de ce document.

Free–loading (vol de ressources)

L'exigence d'un niveau élevé d'authentification empêche toute utilisation non autorisée du réseau.

Risques accidentels

L'exigence d'une authentification sécurisée empêche toute connexion accidentelle au réseau local sans fil.

Réseaux locaux sans fil malveillants

Bien que cette solution ne traite pas directement le problème des points d'accès sans fil malveillants, la mise en œuvre d'une solution sans fil sécurisée de ce type décourage généralement les velléités de configuration de réseaux locaux sans fil illicites.

Nous ne saurions toutefois trop vous conseiller d'établir et de publier une stratégie claire pour interdire l'utilisation des réseaux locaux sans fil illicites. Pour appliquer cette stratégie, vous pouvez faire appel à des outils qui analysent le réseau pour rechercher d'éventuelles adresses de points d'accès sans fil et à des équipements portables de détection de réseau local sans fil.

Autres approches pour la sécurisation des réseaux locaux sans fil

La section précédente a présenté de façon assez précise l'authentification 802.1X avec protection des données du réseau local sans fil. Cette section porte plus précisément sur les quatre autres options de sécurité envisageables pour les réseaux locaux sans fil (indiquées aux début de la section « Comment sécuriser (réellement) votre réseau local sans fil ».

Ces quatre approches étaient les suivantes :

  • ne pas déployer la technologie réseau local sans fil ;

  • s'en tenir à la norme de sécurité WEP statique 802.11 ;

  • recourir à un réseau privé virtuel pour protéger les données du réseau local sans fil ;

  • recourir au protocole IPsec pour protéger le trafic du réseau local sans fil .

Le tableau ci-après récapitule les principales différences entre ces approches et la solution 802.1X (l'option « Pas de réseau local sans fil » n'est toutefois pas incluse car elle n'est pas directement comparable aux autres). Ces options sont examinées de façon plus détaillée dans les sections qui suivent.

Tableau 3 : Comparaison des différentes approches en matière de sécurité des réseaux locaux sans fil

Fonctionnalité

Réseau local sans fil 802.1X

WEP statique

VPN

IPsec

Authentification

renforcée (1)

Oui

Non

Oui,

sauf pour les VPN utilisant une authentification par clé partagée

Oui,

en cas d'utilisation d'une authentification Kerberos ou à partir de certificats

Cryptage renforcé des données

Oui

Non

Oui

Oui

Connexion et reconnexion transparentes au réseau local sans fil

Oui

Oui

Non

Oui

Authentification des utilisateurs

Oui

Non

Oui

Oui

Authentification des

ordinateurs (2)

Oui

Oui

Non

Oui

Protection du trafic de diffusion et multidiffusion

Oui

Oui

Oui

Non

Périphériques réseau supplémentaires exigés

Serveurs RADIUS

Non

Serveurs VPN, serveurs RADIUS

Non

Sécurisation des accès au réseau local sans fil lui–même

Oui

Oui

Non

Non

(1) Bon nombre d'implémentations VPN qui utilisent le mode de tunnel IPsec emploient un schéma d'authentification peu sécurisé par clé partagée (XAuth).

(2) L'authentification de l'ordinateur permet à ce dernier de rester connecté au réseau local sans fil et au réseau d'entreprise, même si aucun utilisateur n'a ouvert de session sur le poste de travail. Cette option est indispensable au fonctionnement correct des fonctionnalités de domaine Windows suivantes :

  • profils d'utilisateurs itinérants ;

  • paramètres de stratégie de groupe de l'ordinateur (notamment scripts de démarrage et logiciels déployés) ;

  • scripts de connexion des utilisateurs et applications déployées par le biais d'une stratégie de groupe.

Option 1 – Ne pas déployer la technologie réseau local sans fil

Peut-être le meilleur moyen d'enrayer les menaces de sécurité liées aux réseaux locaux sans fil est-il de les éviter en ne déployant aucun réseau local sans fil. Hormis le fait qu'elle n'apporte aucun des avantages inhérents aux réseaux locaux sans fil mentionnés précédemment, cette stratégie n'est pas exempte de pièges. Toute entreprise qui l'adopte est confrontée à ce que le META Group appelle le « prix du retardement », coût qui se mesure bien plus qu'en termes d'opportunités perdues. Les résultats de l'étude réalisée par le META Group reposent sur une analyse du déploiement anarchique des réseaux locaux filaires dans de nombreuses organisations depuis plus de dix ans. Dans la plupart des cas, les services informatiques centraux ont été obligés d'intervenir et de prendre en charge le déploiement des réseaux locaux de façon réactive. Les coûts de restructuration de cette multitude de réseaux locaux indépendants et bien souvent incompatibles se sont généralement révélés exorbitants. Pour plus d'informations, reportez-vous à l'article « Comment limiter mon exposition aux menaces de sécurité des réseaux locaux sans fil ? » Les nouvelles réalités de la protection des données de l'entreprise », publié par le META Group, le 18/12/2002).

Cette même menace a refait surface avec les réseaux locaux sans fil, plus particulièrement dans les entreprises de grande taille, où il est souvent impossible de visualiser les événements qui surviennent dans chaque site. Le déploiement incontrôlé de réseaux locaux sans fil, rendu possible par le coût extrêmement faible des composants, est sans doute le pire des scénarios. Il expose en effet l'organisation à toutes les menaces de sécurité précédemment citées, sans même que les services informatiques centraux en soient informés ou soient en mesure de prendre les mesures qui s'imposent.

Par conséquent, si votre stratégie consiste à ne pas adopter la technologie de réseau local sans fil, mieux vaut opter pour une démarche active que passive. Votre décision doit être appuyée par une politique clairement affichée et vous devez vous assurer que tous les employés en sont informés et qu'ils connaissent les conséquences d'une éventuelle violation. Vous pouvez également songer à recourir à des équipements d'analyse et de surveillance des paquets réseau pour détecter l'utilisation de matériel sans fil non autorisé sur votre réseau.

Option 2 – Recourir à une sécurité 802.11 de base (WEP statique

La sécurité 802.11 de base (WEP statique) utilise une clé partagée pour contrôler l'accès au réseau et fait appel à cette même clé pour crypter le trafic sans fil. Ce modèle d'autorisation simple est souvent complété par un filtrage des ports reposant sur les adresses matérielles des cartes réseau local sans fil, bien que ce filtrage ne fasse pas à proprement parler partie de la sécurité 802.11. Le principal attrait de cette approche réside dans sa simplicité. Bien qu'elle assure un certain niveau de sécurité sur les réseaux locaux sans fil non sécurisés, elle présente néanmoins de sérieux inconvénients, en termes de gestion comme de sécurité, surtout pour les grandes entreprises.

Voici quelques-uns des inconvénients liés à l'utilisation du WEP :

  • Les clés WEP statiques peuvent être découvertes en l'espace de quelques heures sur un réseau chargé, par le biais d'un PC équipé d'une carte réseau local sans fil et d'outils de piratage tels qu'Airsnort ou WEPCrack.

  • La principale faille du WEP réside dans le fait qu'aucun mécanisme ne permet de procéder à une affectation ou à une mise à jour dynamique de la clé de cryptage réseau. En l'absence des protocoles 802.1X et EAP pour imposer des mises à jour régulières des clés, l'algorithme de cryptage utilisé par le WEP est vulnérable aux attaques de récupération de clés décrites plus haut.

  • Les clés statiques peuvent être modifiées, mais la procédure correspondante exige une intervention manuelle sur les points d'accès et les clients sans fil et demande généralement beaucoup de temps. Et pour accentuer encore le problème : les mises à jour des clés doivent être effectuées simultanément sur les clients et sur les points d'accès, afin d'éviter la déconnexion des clients. Compte tenu de ces difficultés, les clés ne sont généralement pas modifiées dans la pratique.

  • La clé statique doit être partagée entre tous les utilisateurs du réseau local sans fil et tous les points d'accès sans fil. Un secret partagé entre un grand nombre d'utilisateurs et de périphériques reste rarement confidentiel très longtemps.

Le protocole WEP offre un mécanisme de contrôle d'accès très limité aux réseaux locaux sans fil, qui repose sur la connaissance de la clé WEP. Si vous découvrez le nom du réseau (ce qui relativement simple), ainsi que la clé WEP, vous pouvez vous y connecter.

Pour remédier à ce problème, vous pouvez configurer les points d'accès sans fil de façon à ce qu'ils autorisent exclusivement un ensemble prédéfini d'adresses de cartes réseau clientes. On parle dans ce cas de filtrage d'adresses MAC (Media access control) ; la couche MAC fait référence au microprogramme de bas niveau de la carte réseau.

Le filtrage des adresses des cartes réseau en guise de contrôle d'accès comporte son propre lot d'inconvénients :

  • La capacité de gestion est extrêmement faible. À moins de disposer d'un nombre très réduit de clients, la tenue d'une liste des adresses matérielles s'avère difficile. La distribution de cette liste et sa synchronisation sur l'ensemble de vos points d'accès relèvent aussi de la gageure.

  • L'évolutivité est extrêmement réduite. La taille de la table de filtrage des points d'accès peut être limitée, ce qui restreint le nombre de clients susceptibles d'être pris en charge.

  • Dans la mesure où aucun moyen ne permet d'associer une adresse MAC à un nom d'utilisateur, vous pouvez uniquement effectuer l'authentification sur la base de l'identité des ordinateurs, et non de celle des utilisateurs.

  • Un intrus peut usurper une adresse MAC « autorisée ». S'il parvient à découvrir une adresse MAC légale, il n'aura aucune difficulté à l'utiliser en lieu et place de celle qui est prédéfinie sur la carte réseau.

Les solutions reposant sur des clés prépartagées conviennent surtout en présence d'un faible nombre d'utilisateurs et de points d'accès, compte tenu de la difficulté de gestion des mises à jour des clés entre différents sites. Les failles cryptographiques inhérentes au protocole WEP remettent son efficacité en question, mêmes dans les environnements de taille très réduite.

Le mode de clé pré–partagée WPA assure toutefois un bon niveau de sécurité, sans trop de bouleversements d'infrastructure pour les petites entreprises. Le protocole WPA PSK est pris en charge par une grande diversité d'équipements, et les clients du réseau local sans fil peuvent être configurés manuellement. Il s'agit donc sans doute là de la configuration de prédilection pour les environnements SOHO.

Option 3 – Réseaux privés virtuels

Les réseaux privés virtuels constituent probablement la forme la plus populaire de cryptage réseau ; bon nombre d'utilisateurs font appel à ces technologies testées et éprouvées pour protéger la confidentialité des données transmises sur Internet. Lors de la découverte des vulnérabilités inhérentes au WEP statique, le réseau privé virtuel a rapidement été proposé comme la méthode par excellence de sécurisation des données transitant sur un réseau local sans fil. Cette approche a bénéficié de l'aval de spécialistes tels le Gartner Group et a tout naturellement été vantée par les fournisseurs de solutions de réseaux privés virtuels.

Le réseau privé virtuel constitue une excellente solution pour parcourir en toute sécurité un réseau hostile tel qu'Internet (bien que la qualité des installations de réseaux privés virtuels varie). Il ne s'agit pour autant pas de la meilleure solution de sécurisation de réseaux locaux sans fil internes. Dans ce cas de figure, un réseau privé virtuel n'offre qu'un nombre restreint d'options de sécurité supplémentaires (voire aucune) par rapport aux solutions 802.1X, mais il augmente significativement la complexité et les coûts, réduit le confort d'utilisation et rend certaines fonctionnalités essentielles inutilisables.

Remarque : il convient d'établir une distinction avec l'utilisation de réseaux privés virtuels dans le cadre de la sécurisation du trafic sur des zones sensibles de réseaux locaux sans fil. La protection des données réseau des utilisateurs qui se connectent par le biais de réseaux distants hostiles correspond à une utilisation légitime des réseaux privés virtuels. Dans ce type de scénario, les utilisateurs s'attendent à ce qu'une connexion sécurisée soit plus intrusive et moins fonctionnelle qu'une connexion de réseau local ; leurs attentes sont toutes autres dans le cadre du réseau interne de l'entreprise.

Voici quelques-uns des avantages de l'utilisation de réseaux privés virtuels dans la protection des réseaux locaux sans fil :

  • La plupart des entreprises bénéficient généralement d'un réseau privé virtuel existant : les utilisateurs et le personnel informatique sont donc déjà familiarisés avec la solution.

  • La protection des données par réseau privé virtuel utilise généralement un cryptage logiciel : les algorithmes peuvent donc être modifiés et mis à niveau plus facilement que dans le cas d'un cryptage matériel.

  • Vous pouvez recourir à des équipements nettement moins onéreux car la protection par VPN est indépendante des équipements du réseau local sans fil (bien que sans commune mesure avec les prix imbattables des équipements réseau compatibles 802.1X, aujourd'hui envolés).

L'utilisation de réseaux privés virtuels à la place d'une sécurité native du réseau local sans fil présente cependant de nombreux inconvénients :

  • Le réseau privé virtuel manque de transparence pour les utilisateurs. Les clients du VPN exigent généralement l'établissement d'une connexion manuelle avec le serveur VPN de la part de l'utilisateur ; la connexion ne sera donc jamais aussi transparente qu'une connexion sur un réseau local filaire. Les clients de VPN non compatibles Microsoft exigent en outre parfois des informations d'identification à la connexion, en plus des connexions standard au réseau ou au domaine. Si le réseau privé virtuel se déconnecte, à cause d'un signal insuffisant sur le réseau local sans fil ou du déplacement de l'utilisateur entre deux points d'accès, l'utilisateur est obligé de se reconnecter.

  • La connexion au réseau privé virtuel étant établie par l'utilisateur uniquement, un ordinateur inactif sur lequel aucune session n'a été ouverte ne peut jamais être connecté au VPN (et par conséquent au réseau local de l'entreprise). Un ordinateur ne peut donc être géré ou surveillé à distance que si un utilisateur est connecté. Certains paramètres de l'objet Stratégie de groupe (GPO) de l'ordinateur, tels que scripts de démarrage et applications attribuées par l'ordinateur, ne sont de ce fait jamais appliqués.

  • Les profils itinérants, scripts de connexion et logiciels déployés pour l'utilisateur par le biais d'un GPO risquent de ne pas fonctionner correctement. À moins que l'utilisateur ne choisisse d'ouvrir une session à partir de l'invite de commandes de Windows, l'ordinateur ne se connecte au réseau local de l'entreprise qu'après l'ouverture d'une session et l'établissement par l'utilisateur d'une connexion avec le VPN. Les tentatives préalables d'accès au réseau sécurisé échouent. Dans le cas d'un client de VPN non compatible Microsoft, les tentatives d'ouverture de session sur un domaine complet par le biais de la connexion VPN sont parfois impossibles.

  • La reprise après mise en veille ou mise en veille prolongée ne rétablit pas automatiquement la connexion au réseau privé virtuel ; l'utilisateur doit intervenir manuellement.

  • Bien que les données contenues dans le tunnel VPN soient protégées, le réseau privé virtuel n'assure aucune protection pour le réseau local sans fil même. Un intrus garde la possibilité de se connecter au réseau local sans fil et peut tenter d'analyser ou d'attaquer certains des périphériques qui y sont rattachés.

  • Les serveurs du VPN peuvent rapidement se transformer en goulets d'étranglement. Tous les clients du réseau local sans fil qui accèdent au réseau local de l'entreprise transitent par le serveur VPN. Les périphériques du VPN desservent généralement un grand nombre de clients distants basse vitesse ; la plupart des passerelles VPN ne sont par conséquent pas en mesure de gérer des dizaines ou centaines de clients qui s'exécutent à haute vitesse.

  • Le coût lié aux équipements supplémentaires et à l'administration continue des périphériques du VPN est souvent nettement supérieur à celui d'une solution de réseau local sans fil native. Chaque site exige généralement son propre serveur VPN en plus des points d'accès au réseau local sans fil.

  • Les sessions VPN sont nettement plus sujettes à déconnexion lorsque les clients se déplacent entre plusieurs points d'accès. Tandis que les applications tolèrent généralement une déconnexion momentanée lors du passage d'un point d'accès du réseau sans fil à un autre, les sessions VPN sont bien souvent interrompues, ce qui exige une reconnexion manuelle de la part de l'utilisateur.

  • Le coût des licences des logiciels serveur et client VPN, ainsi que le coût lié au déploiement des logiciels, peut poser problème dans le cas de solutions VPN non compatibles Microsoft. Des problèmes de compatibilité peuvent également exister pour les logiciels clients du VPN car les clients autres que Microsoft remplacent souvent des fonctionnalités Windows essentielles.

  • Bon nombre d'analystes et de fournisseurs continuent de soutenir que la sécurité des VPN est toujours meilleure que celle des réseaux locaux sans fil. Bien que cette affirmation puisse être vraie pour les solutions WEP statiques, ce n'est pas nécessairement le cas pour les solutions EAP de type 802.1X décrites dans ce document. Les méthodes d'authentification du VPN, en particulier, sont généralement beaucoup moins sûres, et dans le meilleur des cas à peine équivalentes, mais certainement pas beaucoup plus fiables. Les solutions de réseau local sans fil prises en charge par Microsoft, par exemple, utilisent exactement les mêmes méthodes d'authentification EAP que les solutions VPN (EAP-TLS et MS-CHAP v2). La plupart des solutions VPN, notamment celles qui reposent sur le mode de tunnel IPsec, utilisent une authentification par clé pré-partagée (mot de passe de groupe). Les faits prouvent que ces solutions présentent de nombreuses vulnérabilités de sécurité, dont certaines communes avec le WEP statique.

  • Un VPN ne sécurise en rien le réseau local sans fil lui-même. Bien que les données contenues dans les tunnels VPN soient protégées, tout utilisateur peut se connecter au réseau local sans fil et tenter d'attaquer des clients légitimes et autres périphériques présents sur le réseau local sans fil.

Le VPN constitue une solution idéale pour la sécurisation du trafic transitant sur des réseaux hostiles, que l'utilisateur soit connecté par le biais d'une connexion large bande privée ou d'une zone réactive sans fil. Un VPN n'a jamais toutefois été conçu dans l'optique de la sécurisation du trafic sur des réseaux internes. Dans les entreprises où le VPN remplit ce rôle, il s'avère beaucoup trop lourd et limité en fonctionnalités pour l'utilisateur et beaucoup trop onéreux et complexe d'administration pour le service informatique.

Dans les cas exceptionnels où une connexion particulière ou un type de trafic spécifique exigerait une sécurité renforcée, elle pourrait être assurée par un tunnel VPN ou un mode de transport IPsec venant s'ajouter à la protection de réseau local sans fil native. Cette utilisation des ressources réseau est nettement plus sensée.

Option 4 – Sécurité IP

Le protocole IPsec permet à deux homologues de s'authentifier mutuellement en toute sécurité sur un réseau et d'authentifier ou de crypter des paquets réseau individuels. Le protocole IPsec peut aussi bien s'utiliser pour la tunnellisation sécurisée d'un réseau sur un autre que pour la simple protection des paquets IP transmis entre deux ordinateurs.

Des tunnels IPsec sont généralement mis en œuvre dans les connexions d'accès client ou VPN de site à site. Le mode de tunnel IPsec est une forme de réseau privé virtuel qui consiste en l'encapsulation d'un paquet IP entier à l'intérieur d'un paquet IPsec protégé. Il en résulte un débit accru des communications, comme dans le cas des autres solutions de réseau privé virtuel, ce qui n'est pas forcément souhaitable pour les communications entre des systèmes appartenant à un même réseau. Les avantages et les inconvénients du mode de tunnel IPsec ont été présentés dans la section précédente, consacrée aux réseaux privés virtuels.

Le protocole IPsec permet également la sécurisation du trafic de bout en bout entre deux ordinateurs (sans tunnellisation) via le mode de transport IPsec. Tout comme le réseau privé virtuel, le protocole IPSec constitue une excellente solution dans de nombreuses circonstances, mais, comme nous le verrons dans cette section, il ne saurait en aucun cas se substituer à la protection native des réseaux locaux sans fil, mise en œuvre au niveau de la couche matérielle.

Voici quelques-uns des avantages d'une protection par le biais du mode de transport IPsec :

  • Elle est transparente pour les utilisateurs. À la différence des réseaux privés virtuels, elle n'exige aucune procédure de connexion spéciale.

  • La protection IPsec est indépendante des équipements du réseau local sans fil. Elle exige seulement un réseau local sans fil ouvert et authentifié. Contrairement aux réseaux privés virtuels, elle ne requiert aucun serveur ni périphérique supplémentaire car la sécurité est directement négociée entre les ordinateurs à chaque extrémité de la communication.

  • L'utilisation d'algorithmes cryptographiques n'est pas tributaire des équipements du réseau local sans fil.

L'utilisation du protocole IPsec à la place d'une sécurité native du réseau local sans fil présente cependant de nombreux inconvénients :

  • Le protocole IPSec utilise uniquement une authentification au niveau de l'ordinateur ; il ne permet pas la mise en œuvre d'un mode d'authentification reposant sur l'utilisateur. Il ne s'agit pas d'un gros problème pour la plupart des entreprises, mais des utilisateurs non autorisés ont la possibilité de se connecter à d'autres ordinateurs du réseau protégés par le protocole IPsec s'ils sont en mesure d'ouvrir une session sur un ordinateur autorisé.

    **Remarque :**certaines solutions IPSec mises en œuvre sur des plates-formes non Windows emploient une authentification exclusivement basée sur l'utilisateur. Comme dans le cas de la solution VPN, l'ordinateur n'est toutefois pas connecté au réseau tant que l'utilisateur n'a pas ouvert de session, ce qui interdit certaines opérations de gestion et désactive un certain nombre de paramètres utilisateur.

  • La gestion de stratégies IPsec peut s'avérer complexe pour les entreprises de grande taille. Les tentatives de mise en œuvre d'une protection générale du trafic IP peuvent interférer avec des utilisations plus spécialisées d'IPsec exigeant une protection de bout en bout.

  • Une sécurité complète exige le cryptage de l'ensemble du trafic de bout en bout, mais tous les périphériques ne sont pas forcément compatibles IPsec. Des données non cryptées doivent par conséquent être transmises à ces périphériques. Le protocole IPsec n'assure aucune protection à ces périphériques, qui sont donc exposés à tout utilisateur qui se connecte au réseau local sans fil.

  • La protection IPsec intervenant au niveau du réseau et non pas au niveau de la couche MAC, elle n'est pas complètement transparente à certains périphériques du réseau tels que pare-feu. Certaines solutions IPsec ne fonctionnent pas sur les périphériques NAT (Network Address Translation).

  • Une solution IPsec de bout en bout ne permet pas la protection du trafic de diffusion ou de multidiffusion car le protocole IPsec repose sur deux homologues qui s'authentifient mutuellement et qui s'échangent des clés.

  • Bien que les données contenues dans les paquets IPsec soient protégées, le réseau local sans fil lui-même ne l'est pas. Un intrus garde la possibilité de se connecter au réseau local sans fil et peut tenter d'analyser ou d'attaquer certains des périphériques qui y sont rattachés ou de surveiller le trafic non protégé par le protocole IPsec.

  • Le cryptage et le décryptage IPsec du trafic réseau augmentent la charge de travail des processeurs. Les serveurs fortement sollicités risquent d'être rapidement surchargés. Bien que ces surcharges de traitement puissent être transférées vers des cartes réseau spécialisées, celles-ci ne sont généralement pas installées par défaut.

Tout comme le réseau privé virtuel, le protocole IPsec constitue une excellente solution pour la plupart des scénarios de sécurité, mais il n'est pas aussi efficace qu'une protection native du réseau local sans fil.

Sélection d'options de réseau sans fil adéquates

L'exposé qui précède permet de conclure que la solution de réseau local sans fil 802.1X est, de très loin, le meilleur choix possible. Toutefois, comme nous l'avons vu dans la section « Protection d'un réseau local sans fil », dès lors que vous avez opté pour une solution 802.1X, vous devez sélectionner les options constitutives de la solution.

Les deux principaux choix sont les suivants :

  • utilisation de mots de passe ou de certificats pour l'authentification des utilisateurs et des ordinateurs ;

  • recours à une protection WEP dynamique ou WPA pour les données du réseau local sans fil.

Ces deux éléments sont parfaitement indépendants l'un de l'autre.

Comme nous l'avons vu plus haut, Microsoft propose deux guides de solutions de sécurité pour les réseaux locaux sans fil ; le premier utilise une authentification par mot de passe et le second une authentification par certificat. Ces solutions fonctionnent aussi bien avec le WEP dynamique qu'avec le WPA.

Sélection de la solution de sécurité la mieux adaptée à un réseau local sans fil

L'organigramme ci–dessous récapitule les principales différences entre les deux solutions de sécurité pour réseau local sans fil.

Dd491901.PEAP_i02(fr-fr,TechNet.10).gif

Figure 2 : Organigramme décisionnel pour la sélection d'une solution de sécurité pour réseau local sans fil

La décision finale dépend de la taille de votre entreprise et des exigences requises en matière de sécurité. La plupart des organisations pourront utiliser l'une ou l'autre des solutions de réseau local sans fil Microsoft sans aucune modification. Les petites et moyennes entreprises, par exemple, optent généralement pour la solution la plus simple d'authentification par mot de passe, décrite dans le guide de la solution Sécurisation des réseaux sans fil avec PEAP et des mots de passe. Les grandes entreprises préfèrent généralement la solution reposant sur des certificats numériques, décrite dans le guide Sécurisation de réseaux locaux sans fil – Une solution des services de certificats de Windows Server 2003.

Bien que chacune de ces solutions ait plus particulièrement été conçue à l'intention de ces publics, il existe néanmoins une certaine marge de manœuvre. La solution Sécurisation des réseaux locaux sans fil avec PEAP et des mots de passe peut aussi bien être déployée par des organisations comptant quelques dizaines d'utilisateurs que par celles qui en comptent plusieurs milliers. La solution Sécurisation de réseaux locaux sans fil – Une solution des services de certificats de Windows Server 2003concerne les entreprises comptant entre quelques centaines et plusieurs dizaines de milliers d'utilisateurs (les organisations comptant moins de cinq cents utilisateurs ne disposent généralement pas de ressources informatiques suffisantes pour déployer et gérer des autorités de certification).

L'un des cas de figure les plus courants, qui n'est pas directement abordé dans ces guides, concerne les grandes entreprises qui optent pour le déploiement de solutions de réseau local sans fil reposant sur des mots de passe. Bien que les aspects techniques de la solution Sécurisation des réseaux locaux sans fil avec PEAP et des mots de passe s'appliquent aussi bien aux grandes qu'aux petites entreprises, la plupart des détails de conception, de planification et d'exploitation requis par les grandes entreprises ont été omis pour des raisons de simplicité. Fort heureusement, les similitudes entre l'architecture et les composants techniques utilisés dans les deux solutions vous permettent de combiner des éléments de ces deux solutions relativement aisément. L'annexe du guide Sécurisation des réseaux locaux sans fil avec PEAP et des mots de passe pourra vous aider à identifier les éléments appropriés dans chaque solution.

WEP dynamique ou WPA ?

La protection WEP des données, lorsqu'elle est associée à l'authentification renforcée et à la mise à jour dynamique des clés assurées par le protocole 802.1X et EAP, offre un niveau de sécurité qui convient très largement aux exigences de la plupart des entreprises. Le standard WPA améliore cependant ces niveaux de sécurité.

Les différences entre l'utilisation du standard WPA ou du WEP dynamique dans l'une ou l'autre des solutions sont très minimes, et la migration d'un environnement WEP dynamique vers un environnement WPA est extrêmement simple. La migration d'un environnement WEP dynamique vers un environnement WPA implique les modifications suivantes :

  • Si vos équipements réseau (points d'accès sans fil et cartes réseau sans fil) ne gèrent pas le standard WPA, vous devez vous procurer et déployer des mises à jour pour les microprogrammes. Les mises à jour des microprogrammes des cartes réseau sans fil sont généralement incluses dans les mises à jour des pilotes réseau.

  • Vous devez activer le standard WPA sur vos points d'accès sans fil.

  • La configuration des clients du réseau local sans fil doit être modifiée de façon à négocier une sécurité WPA au lieu d'une sécurité WEP.

  • Le délai d'attente de session défini pour la stratégie d'accès distant du service IAS (Internet Authentication Service), utilisé pour forcer l'actualisation des clés WEP, doit être augmenté, de façon à réduire la charge de travail sur le serveur IAS.

    Remarque : le service IAS est la solution de serveur RADIUS de Microsoft ; il est inclus à Windows Server 2003 mais pas installé par défaut.

Le standard WPA doit être votre choix de prédilection, si vous en avez la possibilité. Tenez toutefois compte des observations qui suivent, afin de déterminer si l'utilisation du standard WPA ne risque pas de se révéler plus problématique qu'utile.

  • Vos équipements réseau ne gèrent peut-être pas le standard WPA (c'est rarement le cas pour les équipements récents, mais vous disposez peut-être d'une large base de matériel antérieur au standard WPA).

  • La prise en charge des paramètres contrôlés par GPO n'est disponible que dans la version SP1 de Windows Server 2003 (prévue fin 2004) ; dans les versions antérieures, les paramètres WPA doivent être configurés manuellement sur les clients Windows XP.

  • Le standard WPA n'est pas forcément pris en charge par l'ensemble de vos clients ; Windows 2000 et versions antérieures et Pocket PC ne gèrent pas par défaut le standard WPA, par exemple.

Si vous considérez que vos infrastructures actuelles ne vous permettent pas de déployer le standard WPA, optez pour le déploiement d'une solution WEP dynamique et prévoyez une migration vers le WPA lorsque les circonstances vous le permettront.

Résumé

Ce document devrait vous avoir fourni toutes les informations nécessaires à l'élaboration d'une stratégie de sécurisation de votre réseau local sans fil. Dans la première partie du document, nous avons passé en revue les principaux avantages des réseaux sans fil pour une entreprise ainsi que les menaces de sécurité pesant sur les réseaux locaux sans fil ne bénéficiant pas d'une sécurité adéquate. Nous avons ensuite expliqué comment combattre ces menaces par la mise en œuvre d'une sécurité reposant sur les standards 802.1X, EAP et sur une protection renforcée des données pour le réseau local sans fil. Les mérites relatifs de solutions telles que VPN, IPsec et sécurité WEP statique ont également été examinés. Enfin, la dernière section vous a fourni quelques conseils sur les options de sécurité à choisir pour votre réseau local sans fil et sur les solutions de sécurité Microsoft pour réseaux locaux sans fil les mieux adaptées à votre organisation.

Références

Cette section fournit des références vers des informations complémentaires importantes et autres documentations de soutien en rapport avec ce document.

Télécharger la solution complète

Sécurisation des réseaux locaux sans fil avec PEAP et des mots de passe