Sécurité des Réseaux WiFi : WPA3 et

802.1X

1 Protocole WPA3
1.1 Présentation de WPA3
Le Wi-Fi Protected Access 3 (WPA3) est le dernier protocole de sécurité Wi-Fi, introduit
en 2018 par la Wi-Fi Alliance en tant que successeur de WPA2. Il vise à offrir une sécurité
renforcée pour les réseaux sans fil, en particulier dans les environnements domestiques et
professionnels. WPA3 apporte plusieurs améliorations majeures, notamment une meilleure
protection contre les attaques par force brute et une sécurité accrue pour les réseaux
ouverts. Ce protocole introduit de nouvelles méthodes d’authentification, de chiffrement
et de gestion des clés, tout en garantissant une meilleure résistance aux vulnérabilités
exploitables.
Contrairement à WPA2, qui repose principalement sur le pré-partage de clés (PSK),
WPA3 utilise des mécanismes de sécurité plus avancés pour offrir une protection plus
robuste, y compris pour les appareils IoT (Internet des objets). Ce protocole vise à
renforcer la sécurité des connexions sans fil, en particulier dans un contexte où de plus en
plus d’appareils sont connectés à des réseaux Wi-Fi.

1.2 Caractéristiques de WPA3

WPA3 offre plusieurs améliorations significatives par rapport à son prédécesseur WPA2,
notamment :
• Authentification SAE (Simultaneous Authentication of Equals) : WPA3
remplace le protocole WPA2-PSK (Pre-Shared Key) par l’authentification SAE, une
méthode d’authentification résistante aux attaques par dictionnaire et par force brute.
Cette méthode permet une négociation de clé plus sécurisée en assurant que chaque
appareil établit une clé unique pour la session de communication, réduisant ainsi
les risques d’attaque. SAE repose sur des échanges de clés cryptographiques avec
protection contre les tentatives de connexion non autorisées, rendant les attaques
par force brute beaucoup plus difficiles.
• Chiffrement individualisé des communications : WPA3 introduit le chiffrement
des données de manière individuelle pour chaque session de communication, même
sur les réseaux publics et ouverts. Cela signifie que même si un attaquant parvient
à intercepter les données échangées sur un réseau Wi-Fi public, il ne pourra pas
déchiffrer les communications des autres utilisateurs, car chaque session bénéficie
d’une clé de chiffrement unique. Cette fonctionnalité améliore considérablement
la confidentialité des utilisateurs sur les réseaux Wi-Fi publics, là où WPA2 ne
protégeait pas les sessions de manière aussi forte.

1
 • Wi-Fi Easy Connect : Wi-Fi Easy Connect simplifie l’ajout de nouveaux appareils
IoT (Internet des objets) au réseau Wi-Fi, en particulier ceux qui ne disposent pas
d’un écran ou d’une interface de saisie. Ce processus utilise des technologies comme
le code QR ou la communication NFC pour permettre aux utilisateurs d’ajouter
rapidement des appareils à leur réseau sécurisé, sans nécessiter de connexion manuelle
complexe. Cela rend l’intégration de nouveaux dispositifs plus facile et plus sûre.
• Protection contre l’attaque KRACK : WPA3 améliore la gestion des clés de
session et apporte une protection contre les vulnérabilités exploitées par l’attaque
KRACK (Key Reinstallation Attack) qui avait affecté WPA2. Cette attaque
permettait aux attaquants de réinstaller une clé de chiffrement déjà utilisée, facilitant
l’interception et le déchiffrement des communications. WPA3 rend cette attaque
beaucoup plus difficile, renforçant ainsi la sécurité du protocole et protégeant les
utilisateurs contre les attaques de réinstallation de clés.

2 Outils utilisés pour WPA3

2.1 Wireshark
Wireshark est un analyseur de paquets réseau permettant de capturer et d’examiner les
échanges entre appareils. Dans le contexte de WPA3, il est utilisé pour :
• Observer les échanges de clés et le processus d’authentification basé sur SAE
(Simultaneous Authentication of Equals).
• Vérifier que les communications sont bien chiffrées.
• Détecter d’éventuelles failles ou attaques en surveillant les trames échangées sur un
réseau Wi-Fi.

2.2 Aircrack-ng
Aircrack-ng est une suite d’outils pour tester la sécurité des réseaux sans fil. Son utilisation
avec WPA3 comprend :
• L’audit de la robustesse des clés WPA3 en tentant de capturer des échanges de clés.
• La détection de points d’accès vulnérables ou mal configurés.
• L’analyse des mécanismes de protection et la comparaison avec les protocoles plus
anciens comme WPA2.

2.3 Kali Linux

Kali Linux est une distribution Linux spécialisée dans les tests d’intrusion et la cybersécurité.
Elle inclut de nombreux outils pour évaluer la sécurité de WPA3, notamment :
• Aircrack-ng pour analyser la robustesse du chiffrement.
• Wireshark pour capturer et analyser le trafic réseau.
• Hashcat pour tester la résistance des mots de passe.
• D’autres outils comme Reaver pour tester les failles potentielles du WPS.

2
2.4 Hashcat
Hashcat est un puissant outil de récupération de mots de passe utilisant des algorithmes
de force brute et des attaques par dictionnaire. Dans le cadre de WPA3 :

• Il permet d’évaluer la résistance des mots de passe utilisés pour l’accès au réseau.

• Il teste la complexité des clés WPA3 en essayant de les craquer avec diverses
techniques.

• Il montre l’efficacité de l’authentification SAE face aux attaques classiques de

récupération de clés.

3 Fonctionnement de WPA3

3.1 Échange de clés sécurisé

WPA3 abandonne le protocole PSK (Pre-Shared Key) utilisé dans WPA2 au profit du
SAE (Simultaneous Authentication of Equals). Ce protocole :

• Améliore la sécurité en empêchant les attaques par dictionnaire hors ligne.

• Rend impossible la récupération de la clé Wi-Fi à partir d’une simple capture de

trames réseau.

• Établit un échange plus robuste en protégeant contre les attaques de type « handshake
cracking ».

3.2 Chiffrement avancé des données

Contrairement à WPA2, WPA3 introduit le chiffrement individualisé des sessions.

• Chaque appareil reçoit une clé de chiffrement unique (OWE) pour les réseaux ouverts.

• Cela empêche un attaquant d’intercepter les communications d’autres utilisateurs

sur un réseau Wi-Fi public.

• Même si un attaquant réussit à compromettre une connexion, il ne pourra pas

déchiffrer les échanges des autres appareils.

3.3 Compatibilité avec WPA2

WPA3 propose un mode WPA3 Transition permettant aux anciens appareils WPA2 de se
connecter à un réseau WPA3 sans compromettre la sécurité globale.

• Assure une adoption progressive du protocole sans exclure les anciens périphériques.

• Garantit que les nouveaux routeurs puissent fonctionner avec un maximum d’appareils
existants.

3
4 Forces et Faiblesses de WPA3
4.1 Forces
• Protection contre les attaques par dictionnaire grâce à SAE : WPA3 empêche
les attaques hors ligne en exigeant une interaction en temps réel pour chaque tentative
d’authentification.

• Chiffrement avancé pour éviter l’espionnage sur les réseaux publics :

L’OWE empêche l’interception des données sur les réseaux Wi-Fi ouverts.

• Sécurité améliorée pour les objets connectés grâce à Wi-Fi Easy Connect
: Facilite l’intégration sécurisée des appareils IoT en remplaçant WPS par un
mécanisme plus sécurisé basé sur des QR codes.

4.2 Faiblesses
• Compatibilité limitée avec les anciens appareils : Certains anciens périphériques
ne peuvent pas fonctionner avec WPA3 sans mise à jour du firmware.

• Vulnérabilité aux attaques par canal auxiliaire : Des failles comme Dragonblood
ont montré que certaines implémentations de WPA3 pouvaient être exploitées.

• Coût plus élevé pour les entreprises : L’adoption de WPA3 implique souvent le
remplacement des équipements réseau existants, augmentant les coûts d’infrastructure.

• Pas totalement invulnérable aux attaques Evil Twin : Un attaquant peut

toujours créer un faux point d’accès Wi-Fi pour piéger les utilisateurs, rendant
nécessaires des protections complémentaires comme l’utilisation de VPN et d’authentifications
basées sur des certificats.

5 Solutions pour renforcer la sécurité de WPA3

5.1 Mise à jour des équipements et activation des fonctionnalités WPA3
• Vérifier que les routeurs et points d’accès supportent WPA3-Personal ou WPA3-
Enterprise.

• Mettre à jour le firmware des équipements.

• Activer le mode WPA3 Transition.

5.2 Sécurisation des mots de passe et authentification forte

• Utiliser des mots de passe robustes.

• Activer l’authentification 802.1X avec un serveur RADIUS pour les réseaux d’entreprise.

4
5.3 Protection contre les attaques de type Evil Twin
• Utiliser un VPN sur les réseaux publics.

• Mettre en place des certificats numériques pour authentifier les points d’accès Wi-Fi.

• Activer le filtrage MAC.

5.4 Sécurisation des objets connectés (IoT)

• Utiliser Wi-Fi Easy Connect.

• Isoler les appareils IoT sur un réseau Wi-Fi invité.

• Désactiver les fonctionnalités non utilisées comme WPS.

5.5 Surveillance et audit régulier du réseau

• Utiliser Wireshark pour analyser les échanges.

• Effectuer des tests de pénétration réguliers avec Aircrack-ng.

• Mettre en place une détection d’intrusion (IDS/IPS).

6 Protocole 802.1X
6.1 Présentation de 802.1X
Le protocole 802.1X est une norme de sécurité définie par l’IEEE (Institute of Electrical
and Electronics Engineers) qui permet de contrôler l’accès au réseau en fonction de
l’authentification des appareils utilisateurs. Ce protocole est principalement utilisé pour
fournir un contrôle d’accès réseau basé sur des identifiants d’utilisateur et des appareils,
garantissant que seuls les dispositifs autorisés peuvent se connecter à un réseau.
Le processus d’authentification repose sur un serveur RADIUS (Remote Authentication
Dial-In User Service) qui valide l’identité des utilisateurs ou des appareils avant de leur
accorder l’accès. 802.1X est couramment déployé dans les environnements de réseaux filaires
et sans fil, tels que les entreprises, les établissements d’enseignement et les institutions
gouvernementales, où la sécurité est primordiale.
Voici les principaux composants du fonctionnement de 802.1X :

• Supplicant : Il s’agit de l’appareil client, qui peut être un ordinateur, un téléphone

mobile ou tout autre appareil connecté au réseau. Le supplicant initie la demande
d’authentification auprès du réseau.

• Authenticator : Le point d’accès ou le switch qui sert de porte d’entrée au réseau. Il

est chargé de relayer la requête d’authentification au serveur RADIUS et de contrôler
l’accès réseau en fonction des décisions de ce serveur.

• RADIUS Server : Le serveur d’authentification qui vérifie les identifiants fournis

par le supplicant et détermine si l’accès au réseau doit être accordé ou non. Le
serveur RADIUS peut interroger des bases de données d’utilisateurs, comme Active
Directory, pour valider les informations d’identification.

5
 Le protocole 802.1X est conçu pour assurer un haut niveau de sécurité en utilisant des
méthodes d’authentification robustes, comme les certificats numériques ou les identifiants
d’utilisateur, et peut être combiné avec des protocoles de chiffrement pour protéger les
données d’authentification pendant leur transmission.
Dans un réseau 802.1X, l’accès est restreint tant que l’utilisateur n’est pas authentifié.
Une fois l’authentification réussie, le supplicant obtient les droits d’accès réseau selon les
politiques définies sur le serveur RADIUS, garantissant ainsi un contrôle d’accès granulaire
et sécurisé.

Figure 1: Architecture du protocole 802.1x

6.2 Caractéristiques de 802.1X

Le protocole 802.1X possède plusieurs caractéristiques clés qui en font une solution robuste
et sécurisée pour l’authentification et le contrôle d’accès au réseau. Ces caractéristiques
sont :

• Authentification centralisée : 802.1X repose sur un serveur RADIUS (Remote

Authentication Dial-In User Service) pour effectuer l’authentification des utilisateurs
et des appareils. Ce système centralisé permet aux administrateurs réseau de contrôler
de manière stricte l’accès au réseau, en vérifiant les identifiants des utilisateurs
ou des dispositifs à partir d’une base de données unique, souvent intégrée à un
annuaire comme Active Directory. Cela simplifie la gestion des accès et permet une
administration centralisée des politiques de sécurité.
• Support de plusieurs méthodes d’authentification : 802.1X prend en charge
différentes méthodes d’authentification, permettant ainsi une grande flexibilité en
fonction des besoins de sécurité du réseau. Les méthodes les plus courantes sont :
– EAP-TLS : L’authentification par certificat, qui offre un niveau de sécurité
élevé en vérifiant les identités à l’aide de certificats numériques pour l’utilisateur
et le serveur.
– EAP-PEAP : L’authentification par mot de passe chiffré, qui encapsule les
informations d’identification de l’utilisateur dans un tunnel sécurisé. C’est
une méthode plus simple à déployer, car elle ne nécessite pas de gestion de
certificats.

6
 – D’autres méthodes, comme EAP-TTLS, EAP-MSCHAPv2, et EAP-FAST,
peuvent aussi être utilisées en fonction des besoins spécifiques de sécurité et
des configurations des utilisateurs.
• Gestion des accès en fonction de l’identité et des permissions : 802.1X
permet de gérer l’accès au réseau en fonction de l’identité de l’utilisateur ou de
l’appareil. Une fois l’utilisateur authentifié, les politiques de sécurité définies par
l’administrateur réseau peuvent être appliquées. Cela inclut la gestion des permissions
d’accès (par exemple, accès complet au réseau ou accès limité à certains services) en
fonction de l’identité, des rôles ou du groupe d’appartenance. Ce contrôle granulaire
assure que seules les personnes ou les dispositifs autorisés peuvent accéder aux
ressources du réseau.
• Sécurité renforcée : 802.1X renforce la sécurité du réseau en utilisant des certificats
numériques pour l’authentification des utilisateurs et des dispositifs, ce qui rend très
difficile toute tentative d’usurpation d’identité. La communication entre le client
et le serveur RADIUS est souvent chiffrée à l’aide de protocoles sécurisés comme
TLS (Transport Layer Security), ce qui protège les informations sensibles échangées
contre les attaques de type "Man-in-the-Middle". En outre, l’authentification basée
sur des certificats ou des mots de passe chiffrés contribue à éviter les risques liés à
des pratiques d’authentification moins sécurisées, comme l’utilisation de mots de
passe en clair.

6.3 Outils utilisés pour 802.1X

Plusieurs outils sont utilisés pour configurer, tester et analyser les réseaux 802.1X,
permettant d’assurer une bonne gestion et sécurité des processus d’authentification :
• FreeRADIUS : FreeRADIUS est un serveur RADIUS open-source largement
utilisé dans les réseaux d’entreprise pour gérer l’authentification, l’autorisation
et la comptabilisation (AAA) des utilisateurs. Il prend en charge de nombreux
protocoles d’authentification, notamment EAP-TLS, EAP-PEAP, et EAP-TTLS, et
permet une configuration flexible pour s’adapter aux besoins spécifiques du réseau.
FreeRADIUS peut être intégré à d’autres systèmes tels que Active Directory pour
gérer les identités des utilisateurs et contrôler l’accès au réseau.
• EAPolTest : EAPolTest est un outil de test qui permet de simuler l’authentification
802.1X et de tester différentes méthodes d’authentification prises en charge par le
protocole. Cet outil est principalement utilisé pour tester et valider les configurations
des clients et des serveurs dans un environnement 802.1X, en vérifiant les échanges de
paquets EAP (Extensible Authentication Protocol) et en s’assurant de leur conformité
avec les standards de sécurité. EAPolTest est souvent utilisé pour le diagnostic des
problèmes d’authentification dans les réseaux 802.1X.
• Wireshark : Wireshark est un analyseur de paquets réseau qui permet de capturer et
d’analyser en profondeur les échanges de données sur un réseau. Dans le contexte de
802.1X, Wireshark est utilisé pour capturer et examiner les paquets d’authentification
échangés entre les clients et le serveur RADIUS. Il permet de visualiser les détails des
requêtes et des réponses EAP, d’identifier d’éventuelles erreurs d’authentification ou
de configuration, et d’analyser le trafic réseau pour détecter des attaques potentielles,
comme les attaques de type "Man-in-the-Middle".

7
6.4 Fonctionnement de 802.1X
Le fonctionnement de 802.1X repose sur un processus d’authentification entre l’appareil
client, le point d’accès et le serveur RADIUS. Ce processus se décompose en trois étapes
principales :

1. Demande d’accès : L’appareil client (par exemple, un ordinateur, un smartphone ou

un autre dispositif connecté) envoie une requête d’authentification à un point d’accès
réseau (AP). Cette requête est transmise au serveur RADIUS (Remote Authentication
Dial-In User Service). Le serveur RADIUS est responsable de l’authentification des
appareils clients avant de leur accorder l’accès au réseau.

2. Vérification des identifiants : Une fois la requête d’authentification reçue, le

serveur RADIUS procède à la vérification des identifiants du client. Cette vérification
peut se faire selon différentes méthodes d’authentification (comme EAP-TLS, EAP-
PEAP, EAP-TTLS, etc.), en fonction de la configuration du réseau. Si des certificats
sont utilisés, le serveur RADIUS s’assure de leur validité. Dans d’autres méthodes,
des identifiants classiques comme un nom d’utilisateur et un mot de passe peuvent
être demandés.

3. Accès autorisé ou refusé : Après avoir vérifié les identifiants, le serveur RADIUS
prend une décision en fonction des politiques de sécurité définies par l’administrateur
réseau. Si l’authentification est réussie et que l’appareil client respecte les règles de
sécurité du réseau (par exemple, l’appareil dispose des bons certificats ou des bonnes
configurations), l’accès au réseau est autorisé. En revanche, si l’authentification
échoue ou si l’appareil ne respecte pas les politiques de sécurité, l’accès est refusé, et
l’utilisateur peut être redirigé vers une page de dépannage ou d’assistance.

8
 Figure 2: Architecture du protocole 802.1x

6.5 Forces et Faiblesses de 802.1X

6.5.1 Forces
• Sécurité renforcée avec des certificats numériques : réduit les risques d’usurpation
d’identité et de vol de mots de passe.

• Gestion centralisée des accès : simplifie l’administration et permet un contrôle

granulaire des connexions réseau.

• Protection avancée contre les accès non autorisés : empêche les connexions
non sécurisées en exigeant une authentification forte.

6.5.2 Faiblesses
• Configuration complexe : nécessite des connaissances avancées en réseau et en
administration de serveurs RADIUS.

• Dépendance au serveur RADIUS : en cas de panne, aucun appareil ne peut

s’authentifier sur le réseau, ce qui peut perturber les opérations.

• Coût élevé : mise en place et maintenance nécessitent des investissements en

matériel et en formation du personnel.

9
7 Solutions pour une meilleure adoption de 802.1X
7.1 Automatisation du déploiement
L’un des principaux défis de l’adoption de 802.1X est la gestion des certificats et des
configurations pour les utilisateurs et les appareils. L’automatisation du déploiement
permet de :
• Simplifier la gestion des certificats : L’utilisation de solutions comme Active
Directory Certificate Services (AD CS) ou des plateformes comme SCEP (Simple
Certificate Enrollment Protocol) permet d’émettre et de renouveler automatiquement
les certificats d’authentification pour les utilisateurs et les terminaux.
• Réduire les erreurs de configuration : Les erreurs humaines peuvent compromettre
la sécurité ou empêcher l’accès au réseau. Des solutions comme Microsoft Intune,
Cisco ISE, ou des scripts d’automatisation via PowerShell permettent de configurer
automatiquement les paramètres de connexion sur les postes clients.
• Faciliter l’onboarding des nouveaux utilisateurs : L’intégration d’un portail
d’auto-enregistrement permet aux utilisateurs de configurer leur accès réseau sans
intervention manuelle de l’administrateur.

7.2 Sécurisation du serveur RADIUS

Le serveur RADIUS (Remote Authentication Dial-In User Service) joue un rôle central
dans le mécanisme d’authentification de 802.1X. Il est essentiel de renforcer sa sécurité en
adoptant plusieurs mesures :
• Mise en place de pare-feu et de systèmes de détection d’intrusion (IDS/IPS)
: Ces outils permettent de filtrer le trafic réseau et de détecter toute tentative
d’attaque sur le serveur RADIUS.
• Mises à jour régulières : Un serveur non mis à jour peut être vulnérable à des
exploits connus. Il est important d’appliquer rapidement les correctifs de sécurité
pour éviter les failles potentielles.
• Utilisation d’un chiffrement fort pour les communications : L’activation de
TLS (Transport Layer Security) entre le client et le serveur RADIUS empêche les
attaques de type "Man-in-the-Middle" et garantit l’intégrité des données transmises.
• Segmentation du réseau : Le serveur RADIUS doit être isolé dans un VLAN
sécurisé pour limiter les risques d’attaques provenant du réseau interne.

7.3 Utilisation de méthodes d’authentification hybrides

Le choix du protocole d’authentification joue un rôle clé dans la flexibilité et la sécurité du
réseau. L’adoption de méthodes hybrides permet de s’adapter aux besoins de différentes
catégories d’utilisateurs et d’appareils :
• EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
: Cette méthode offre un haut niveau de sécurité en s’appuyant sur des certificats
numériques pour authentifier les clients et le serveur. Cependant, elle nécessite une
infrastructure de gestion des certificats (PKI).

10
 • EAP-PEAP (Protected Extensible Authentication Protocol) : Cette méthode
encapsule l’authentification dans un tunnel TLS sécurisé et permet d’utiliser des
identifiants classiques (nom d’utilisateur et mot de passe) au lieu de certificats. Elle
est plus simple à mettre en œuvre mais moins sécurisée qu’EAP-TLS.

• EAP-TTLS (Tunneled Transport Layer Security) : Cette alternative permet

également d’authentifier les utilisateurs via un tunnel sécurisé et prend en charge
divers protocoles d’authentification (PAP, CHAP, MS-CHAPv2).

8 Conclusion
Les protocoles WPA3 et 802.1X renforcent la sécurité des réseaux WiFi, mais leur
adoption nécessite des mises à jour matérielles et une sensibilisation accrue. Une mise en
œuvre progressive est essentielle pour garantir une transition réussie vers ces nouvelles
normes.

11