Pourquoi votre Wi-Fi invité peut probablement atteindre votre serveur

La plupart des petits bureaux ont deux réseaux Wi-Fi : un pour le personnel, et un appelé quelque chose comme Invité. Cela donne une impression de séparation. Souvent, ce ne sont que deux noms pour le même réseau.

Pourquoi c’est important

Le sans-fil est la seule partie de votre réseau qui dépasse vos murs. Quelqu’un dans le stationnement, le local voisin ou l’étage au-dessus est à portée radio. Et sur un réseau à plat, quiconque s’y joint — un invité, un sous-traitant, un ancien employé qui a gardé le mot de passe — peut tout atteindre : le serveur de fichiers, les imprimantes, les caméras de sécurité, le système comptable.

Vérifiez le vôtre en cinq minutes

Connectez un portable au réseau invité, puis essayez d’atteindre quelque chose qui devrait être privé :

• L’adresse de votre serveur de fichiers ou NAS
• La page web d’une imprimante réseau
• La page d’administration de votre routeur ou pare-feu
• Une caméra de sécurité ou un système de porte

Si l’un d’eux répond, votre réseau invité n’est pas séparé. Un vrai réseau invité atteint Internet et rien d’autre.

À quoi ressemble une vraie segmentation

Segmenter, c’est diviser le réseau en zones appliquées au niveau réseau — pas seulement leur donner des noms différents :

• Personnel — portables et téléphones qui ont besoin des ressources internes
• Invités — Internet seulement, avec des appareils isolés les uns des autres
• Paiement — terminaux de paiement, séparés de tout le reste
• Objets connectés — caméras, thermostats, téléviseurs, rarement mis à jour
• Serveurs — accessibles seulement depuis les zones qui en ont réellement besoin

Les règles entre les zones sont l’élément essentiel. Les invités n’atteignent pas le personnel. Les objets connectés n’atteignent pas les serveurs. Les terminaux de paiement ne parlent qu’au processeur de paiement.

Le problème du mot de passe partagé

Un seul mot de passe Wi-Fi connu de tous ne peut pas être révoqué pour une personne. Chaque visiteur, sous-traitant et ancien employé qui l’a eu l’a encore.

Pour le personnel, des identifiants individuels ou une authentification par certificat règlent le problème : quand quelqu’un part, vous retirez son accès sans rien changer pour les autres. Cela protège aussi contre les attaques par jumeau malveillant, où un attaquant diffuse un réseau portant le nom du vôtre.

Une mauvaise couverture est aussi un problème de sécurité

Quand le Wi-Fi n’atteint pas l’arrière-boutique ou l’entrepôt, quelqu’un finit par brancher son propre routeur. Ce routeur devient un point d’entrée non géré et non surveillé. Corriger la couverture élimine la raison d’en ajouter un.

Nous décrivons un cas typique dans notre Wi-Fi invité peut atteindre le serveur de fichiers. La conception et les tests relèvent de notre pratique en sans-fil et réseaux.