Le Wi-Fi public est-il sûr ? Les risques réels aujourd’hui et comment se protéger

Le Wi-Fi public est-il sûr ?

Pour la plupart des usages courants, oui. La Federal Trade Commission (FTC) américaine explique que le Wi-Fi public était autrefois risqué parce que la plupart des sites web ne chiffraient pas les données, si bien que des attaquants présents sur le même réseau pouvaient les intercepter ; maintenant que la plupart des sites utilisent le chiffrement, se connecter via un réseau Wi-Fi public est généralement sûr ^[1]. Le chiffrement brouille les données échangées entre votre appareil et le site web afin que les autres personnes sur le réseau ne puissent pas les lire.

L’Electronic Frontier Foundation (EFF), une organisation de défense des droits numériques, parvient à la même conclusion : utiliser un VPN sur le Wi-Fi public des cafés ou des aéroports était autrefois un conseil standard, mais ce n’est plus aussi nécessaire pour tout le monde, car la majorité du trafic web est désormais chiffrée avec HTTPS ^[2].

Pour vérifier une connexion dans un navigateur, la FTC conseille de rechercher un cadenas ou la mention « https » à gauche de l’adresse du site, y compris sur les navigateurs mobiles ^[1]. Les applications sont plus difficiles à vérifier, mais la FTC indique que la plupart utilisent le chiffrement ^[1].

Qu’est-ce qui reste risqué ?

Le chiffrement protège les données en transit, pas votre discernement. Les risques qui subsistent sont les faux réseaux, les informations que le chiffrement ne masque pas, les appareils qui partagent des fichiers ou ne sont pas à jour, et les faux sites web eux aussi chiffrés ^[1][2][3]. Les sections ci-dessous les expliquent un par un.

Que peuvent voir les autres sur un réseau Wi-Fi public ?

HTTPS protège le contenu des communications, pas les métadonnées ^[2]. Selon l’EFF, lorsque vous consultez des sites en HTTPS, les intermédiaires sur le trajet peuvent généralement voir les noms de domaine, par exemple wikipedia.org, et l’heure de vos visites, ainsi que la taille des pages et des fichiers que vous chargez ou envoyez ^[2]. Ils ne peuvent pas voir les pages précises de ces sites, votre identifiant ni les messages que vous envoyez ^[2].

Sur un Wi-Fi public, les personnes à portée du réseau pourraient choisir d’écouter et de voir ces mêmes métadonnées, tout comme votre fournisseur d’accès à Internet pourrait le faire chez vous ^[2]. L’EFF estime que si ce risque vous paraît acceptable, vous n’avez pas à vous inquiéter d’utiliser le Wi-Fi public ^[2].

L’opérateur du réseau peut aussi voir l’adresse matérielle de votre appareil, appelée adresse MAC (Media Access Control). Apple explique qu’un appareil qui utilise toujours la même adresse MAC Wi-Fi permet aux opérateurs de réseau et aux observateurs d’associer cette adresse à l’activité et à la localisation de l’appareil au fil du temps ^[8]. Les appareils Apple utilisent donc une adresse Wi-Fi privée différente sur chaque réseau et peuvent la renouveler ^[8], et Android 10 et les versions ultérieures utilisent par défaut une adresse MAC aléatoire ^[9].

Qu’est-ce qu’une attaque Wi-Fi de type evil twin ?

Dans une attaque evil twin (jumeau maléfique), telle que la décrit la Cybersecurity and Infrastructure Security Agency (CISA) américaine, un attaquant recueille des informations sur un point d’accès public et configure son propre système pour l’imiter, avec un signal plus puissant afin que des utilisateurs sans méfiance se connectent au faux ^[3]. Comme le trafic Internet de la victime passe alors par le système de l’attaquant, celui-ci peut utiliser des outils spécialisés pour lire les données envoyées par la victime, qui peuvent inclure des numéros de carte, des noms d’utilisateur et des mots de passe ^[3].

La CISA conseille de toujours vérifier le nom et le mot de passe d’un point d’accès public avant de l’utiliser, afin de vous connecter à un point d’accès de confiance ^[3]. HTTPS limite toujours ce qu’un evil twin peut lire sur les sites correctement chiffrés ^[1][2]. Le danger restant est d’être dirigé vers un faux site : la FTC prévient que des escrocs créent de faux sites web et les chiffrent pour paraître sûrs ; vos données sont peut-être chiffrées en chemin, mais elles ne seront pas à l’abri des escrocs qui exploitent le site ^[1].

Quelqu’un sur le même réseau peut-il détourner mon trafic ?

Oui, dans certains cas. La technique TunnelVision (CVE-2024-3661), dévoilée en 2024, a montré qu’un attaquant présent sur le même réseau local peut utiliser une fonction de DHCP, le protocole qui distribue les paramètres réseau, pour lire, perturber, voire modifier le trafic censé être protégé par un VPN ^[7]. Les chercheurs qui l’ont découverte en ont conclu que les VPN n’ont pas été conçus pour contrer les attaques sur le réseau local physique ^[10].

Les réseaux ouverts sont-ils plus risqués que les réseaux protégés par mot de passe ?

La CISA note que de nombreux points d’accès publics ne sont pas sécurisés et que le trafic qu’ils transportent n’est pas chiffré, si bien que les données envoyées « en clair » peuvent être capturées à l’aide d’outils de reniflage ; elle conseille d’utiliser des points d’accès dotés au minimum du chiffrement WPA2 ^[3]. WPA2 et WPA3 sont des protocoles de sécurité Wi-Fi qui chiffrent le trafic entre votre appareil et le point d’accès ^[3].

Un mot de passe partagé affiché sur le mur d’un café ne rend pas un réseau privé, car tous ceux qui le connaissent peuvent s’y connecter ; les normes Wi-Fi plus récentes répondent en partie à ce risque. La Wi-Fi Alliance, l’organisme du secteur qui certifie les produits Wi-Fi, indique que WPA3 est obligatoire pour les appareils Wi-Fi CERTIFIED et offre aux utilisateurs de WPA3-Personal une meilleure protection contre les tentatives pour deviner le mot de passe ^[4]. Elle propose aussi Wi-Fi Enhanced Open, qui assure un chiffrement des données sans authentification sur les réseaux ouverts, une amélioration par rapport aux réseaux ouverts traditionnels dépourvus de toute protection, et qui est conçu pour fonctionner avec les réseaux existants, même ceux qui utilisent un portail captif (la page de connexion qu’affichent de nombreux points d’accès) ^[4].

Le chiffrement Wi-Fi est une couche supplémentaire utile, mais c’est le chiffrement HTTPS des sites eux-mêmes qui protège vos données jusqu’au site ^[1][6].

Le Wi-Fi lui-même peut-il être piraté ?

Oui, et l’histoire montre pourquoi les mises à jour comptent. En 2017, le chercheur Mathy Vanhoef a dévoilé KRACK (key reinstallation attacks), de graves faiblesses de WPA2 qui permettaient à un attaquant à portée de lire des informations supposées chiffrées en toute sécurité et, selon la configuration, d’injecter des données ^[5]. Pour se prémunir contre l’attaque, les utilisateurs devaient mettre à jour les produits concernés dès que des mises à jour de sécurité étaient disponibles ^[5].

En mai 2021, Vanhoef a dévoilé FragAttacks, un ensemble de vulnérabilités touchant tous les protocoles de sécurité Wi-Fi modernes, y compris WPA3, et même le WEP d’origine ^[6]. Trois d’entre elles étaient des défauts de conception de la norme Wi-Fi, mais difficiles à exploiter car elles exigent une interaction de l’utilisateur ou des réglages peu courants ; plusieurs erreurs de programmation dans des produits Wi-Fi étaient plus préoccupantes, car certaines étaient très faciles à exploiter ^[6]. Des mises à jour ont été préparées au cours d’une divulgation coordonnée de 9 mois supervisée par la Wi-Fi Alliance et l’ICASI ^[6].

Vanhoef a noté que lorsqu’un site web utilise HSTS, un réglage qui impose HTTPS, les données transmises ne pouvaient pas être volées par ces failles, et que les applications mobiles récentes utilisent HTTPS par défaut ^[6]. Autrement dit, c’est la superposition des couches de chiffrement qui explique qu’une faille Wi-Fi n’expose pas automatiquement tout.

Comment rester en sécurité sur un Wi-Fi public ?

1. Vérifiez le nom du réseau. Demandez au personnel le nom exact du point d’accès et son mot de passe avant de vous connecter, afin d’éviter les evil twins ^[3].
2. Vérifiez la présence de HTTPS. Recherchez le cadenas ou la mention « https » avant de saisir quoi que ce soit de sensible ^[1].
3. Désactivez le partage de fichiers. La CISA indique qu’un réseau public non sécurisé combiné au partage de fichiers pourrait permettre à un utilisateur malveillant d’accéder à des fichiers partagés par erreur ; n’autorisez le partage que sur des réseaux domestiques reconnus ^[3].
4. Maintenez vos logiciels à jour. Mettez à jour votre logiciel de sécurité, votre système d’exploitation et votre navigateur, et activez les mises à jour automatiques sur votre téléphone ^[1].
5. Utilisez des mots de passe robustes et l’authentification à deux facteurs. La FTC recommande les deux, afin qu’un mot de passe volé ne suffise pas à lui seul ^[1].
6. Laissez les adresses Wi-Fi privées activées. Apple recommande de garder les adresses privées activées pour tous les réseaux qui les prennent en charge ^[8].
7. Faites attention à votre entourage. La CISA prévient que des personnes peuvent tout simplement regarder par-dessus votre épaule pendant que vous tapez ^[3].

Faut-il un VPN sur un Wi-Fi public ?

Pas nécessairement. L’EFF indique qu’un VPN correctement configuré peut protéger le trafic non chiffré et pourrait masquer vos métadonnées à une personne qui écoute sur le réseau local, mais que le fournisseur du VPN les verrait alors toutes ^[2]. Elle suggère qu’un VPN peut être utile lorsque vous devez utiliser un réseau public auquel vous ne faites pas confiance, dont vous ne savez pas qui le gère, et que vous disposez d’un VPN auquel vous faites confiance ^[2].

• Avantage : masque les sites que vous consultez aux personnes connectées au même Wi-Fi ^[2].
• Inconvénient : transfère cette visibilité à l’entreprise du VPN, qui peut enregistrer ou vendre des données si sa politique le permet ^[2].
• Limite : un VPN obsolète peut mal vous protéger ; l’EFF cite TunnelVision en exemple ^[2], et lors des tests le VPN continuait d’indiquer qu’il était connecté alors que le trafic fuyait ^[10].

Il existe aussi des obstacles pratiques : le National Cyber Security Centre britannique note que certains réseaux tiers restreignent ou bloquent le trafic VPN IPsec, et que forcer tout le trafic à passer par un VPN peut entrer en conflit avec les portails captifs des Wi-Fi publics ^[11]. Autre option, par précaution générale : utiliser les données mobiles de votre propre téléphone lorsque vous ne faites pas confiance à un point d’accès, ce qui évite de partager un réseau local avec des inconnus.