Lors des Jeux olympiques de Paris 2024, une analyse de Kaspersky portant sur près de 25 000 points d’accès wifi dans la capitale a révélé que 25 % présentaient de graves faiblesses de chiffrement. Seulement 6 % utilisaient le protocole WPA3, pourtant disponible depuis plusieurs années. Les réseaux wifi publics restent un vecteur d’exposition des données sensibles, et la réalité technique derrière ce constat mérite un examen détaillé.
Wifi public et chiffrement : ce que révèle l’analyse des hotspots parisiens
Le chiffre de 25 % de points d’accès vulnérables à Paris ne concerne pas des réseaux confidentiels ou mal entretenus. Il s’agit de hotspots situés dans des zones à forte affluence, accessibles à des millions de visiteurs internationaux.
A voir aussi : Des failles critiques détectées dans certains routeurs domestiques
Parmi les failles identifiées, environ 20 % des bornes utilisaient encore le protocole WPS, qualifié d’obsolète et facile à compromettre. Ce protocole, conçu pour simplifier l’appairage d’appareils, ouvre une brèche exploitable sans matériel sophistiqué.
L’adoption marginale de WPA3 sur les réseaux publics s’explique en partie par le coût de renouvellement des équipements, mais aussi par l’absence de contrainte réglementaire imposant un standard de chiffrement minimal aux opérateurs de hotspots. La plupart des bornes fonctionnent encore en WPA2, voire en réseau ouvert sans aucun chiffrement.
Lire également : Les sauvegardes automatiques protègent contre la perte de données
Interception de données sur un réseau wifi public : les techniques concrètes
Sur un réseau ouvert ou mal sécurisé, le trafic circule en clair entre l’appareil de l’utilisateur et le point d’accès. Plusieurs méthodes d’interception exploitent cette faiblesse.
- Le point d’accès jumeau (evil twin) : un pirate crée un hotspot portant le même nom qu’un réseau légitime, par exemple celui d’un café ou d’un hôtel. Les appareils s’y connectent automatiquement si le réseau est enregistré, et tout le trafic transite par l’attaquant.
- L’attaque man-in-the-middle : l’attaquant se place entre l’utilisateur et le point d’accès réel. Il intercepte, lit et peut modifier les données échangées, y compris les identifiants de connexion sur des sites non protégés.
- Le sniffing passif : sur un réseau sans chiffrement, un logiciel d’analyse réseau capture l’ensemble des paquets de données émis par les appareils connectés. Les requêtes DNS, les échanges HTTP et certaines métadonnées sont alors lisibles.
La généralisation du HTTPS a réduit la surface d’attaque pour les sites web. En revanche, toutes les applications mobiles ne chiffrent pas systématiquement leurs échanges. Des fuites de données restent possibles via des applications mal configurées ou des protocoles de messagerie non sécurisés.
Conservation des données de connexion wifi : ce que prévoit le cadre français
Les opérateurs de hotspots wifi publics en France sont soumis à des obligations de conservation des données techniques de connexion. Ces données (adresse IP, horodatage, durée de session) doivent être conservées pendant une durée fixée par la réglementation.
Un point rarement détaillé dans les articles sur le sujet concerne la distinction entre données techniques et identité civile. L’identité civile des usagers n’est pas obligatoirement collectée par l’opérateur du hotspot. Si une collectivité ou un commerce décide de recueillir cette information via un portail captif, la durée de conservation passe alors à cinq ans.
Cette distinction a des conséquences directes. Un réseau wifi de gare qui demande uniquement une adresse e-mail ne conserve pas la même catégorie de données qu’un réseau municipal exigeant un nom et un numéro de téléphone. L’utilisateur n’a généralement aucune visibilité sur ce qui est stocké ni sur la durée de rétention.
Portails captifs et collecte de données personnelles
Les portails captifs, ces pages de connexion qui s’affichent avant d’accéder au réseau, collectent souvent plus d’informations que nécessaire. Adresse e-mail, numéro de téléphone, données de navigation : le wifi gratuit se paie en données personnelles.
La CNIL recommande de remplir le moins d’informations possible sur ces portails et d’éviter d’utiliser son adresse e-mail principale. Un conseil simple, mais qui suppose que l’utilisateur comprenne ce qui se joue derrière l’écran de connexion.
Protection sur les réseaux wifi publics : VPN et limites pratiques
Le recours à un VPN reste la mesure de protection la plus citée pour sécuriser une connexion sur un réseau public. Le VPN chiffre l’ensemble du trafic entre l’appareil et le serveur distant, rendant l’interception inutilisable même sur un réseau ouvert.
Les limites sont réelles. Un VPN gratuit peut lui-même collecter et revendre les données de navigation. La qualité du chiffrement varie selon les fournisseurs. Et l’utilisation d’un VPN ne protège pas contre un appareil déjà compromis par un logiciel malveillant.
Au-delà du VPN, plusieurs mesures réduisent l’exposition :
- Désactiver la connexion wifi automatique pour éviter l’association à un point d’accès jumeau.
- Vérifier la présence du HTTPS sur chaque site consulté, en particulier pour les opérations bancaires ou la saisie d’identifiants.
- Désactiver le partage de fichiers et le Bluetooth lorsqu’ils ne sont pas utilisés, pour limiter la surface d’attaque sur l’appareil.
- Privilégier le partage de connexion mobile (4G/5G) pour les opérations sensibles, le réseau cellulaire étant nettement plus difficile à intercepter qu’un hotspot ouvert.
Le partage de connexion mobile reste plus sûr qu’un hotspot public pour toute opération impliquant des données bancaires ou des identifiants professionnels.
Entreprises et wifi public : un angle mort de la sécurité
Pour les entreprises, le risque ne se limite pas aux données personnelles des salariés. Un appareil professionnel connecté à un réseau public mal sécurisé peut servir de porte d’entrée vers le réseau interne de l’entreprise. Les politiques de sécurité imposant un VPN d’entreprise obligatoire sur les connexions extérieures restent la norme dans les grandes structures, mais les PME les déploient rarement.
L’ANSSI recommande de sécuriser les accès wifi en entreprise et de sensibiliser les collaborateurs aux risques des réseaux publics, notamment lors des déplacements professionnels.
Le décalage entre la disponibilité massive des hotspots wifi publics et le faible niveau de chiffrement déployé sur ces réseaux ne se comble pas. L’adoption de WPA3 progresse lentement, les portails captifs continuent de collecter des données sans transparence suffisante, et les utilisateurs sous-estiment la facilité avec laquelle un trafic non chiffré peut être capté. La connexion cellulaire, quand elle est disponible, reste le choix le plus raisonnable pour tout échange sensible.
