Depuis plus de deux décennies maintenant, la configuration d’un routeur domestique se résume toujours à la même opération : choisir une bande Wi-Fi, nommer son réseau, sélectionner un type de sécurité et définir un mot de passe. Une fois que vous avez saisi le nom de votre réseau, vous voyez souvent apparaître à côté une option permettant de masquer ce nom, parfois intitulée Masquer le SSID ou simplement Réseau masqué ouRéseau fermé. Si vous choisissez cette option, le réseau que vous créez ne s’affichera pas automatiquement dans la liste des réseaux Wi-Fi disponibles sur les smartphones, les ordinateurs personnels ou les appareils pour maison connectée : vous devrez saisir manuellement le bon nom du réseau. Ce n’est qu’alors que l’appareil pourra détecter ce réseau et s’y connecter. À première vue, masquer le nom de votre réseau sans fil peut sembler être une précaution judicieuse : vous empêchez ainsi vos voisins ou les passants de se connecter à votre réseau Wi-Fi, puisqu’ils ne peuvent tout simplement pas le voir. Mais en réalité, les choses se passent autrement : tous vos appareils révèlent l’existence de ce réseau masqué, et pas seulement chez vous.
Comment les appareils se connectent au Wi-Fi
Chaque point d’accès Wi-Fi diffuse un petit paquet de données environ 10 fois par seconde afin que votre smartphone ou votre ordinateur puisse vous présenter une liste des noms des réseaux à proximité, par exemple JohnWiFi, TommyNet, CafeDeArts_Guest ou d’autres variantes originales. Ce paquet contient (i) le nom du réseau (Service Set Identifier, ou SSID), (ii) un identifiant unique du point d’accès (Basic Service Set Identifier, ou BSSID) ainsi que (iii) des informations sur le canal radio utilisé par le réseau. Ces informations permettent aux appareils (i) de choisir le meilleur réseau auquel se connecter et (ii) de se connecter automatiquement aux réseaux qu’ils connaissent déjà. Ainsi, aucune des données contenues dans ce paquet n’est chiffrée. Les réseaux masqués diffusent également ces paquets ; ils laissent simplement le champ SSID vide. Cette méthode de détection des réseaux est dite « passive », car un client Wi-Fi, comme votre smartphone, doit simplement écouter les ondes pour repérer les points d’accès à proximité.
De plus, le client peut analyser lui-même les réseaux Wi-Fi, ce que l’on appelle la « découverte active ». Votre smartphone ou votre ordinateur diffuse en permanence les noms des réseaux Wi-Fi qu’il connaît et auxquels il souhaite se connecter. Si l’un de ces réseaux se trouve à proximité, le point d’accès répond et la connexion s’établit.
La découverte active peut parfois vous aider à économiser la batterie de votre smartphone, et elle est indispensable lorsque vous travaillez avec des réseaux masqués. La découverte d’un réseau masqué et la connexion à celui-ci se font en deux étapes. Tout d’abord, le smartphone détecte la présence d’un point d’accès Wi-Fi à proximité dont le nom du réseau est masqué. Il tente ensuite de se connecter à ce réseau en diffusant les noms (SSID) qu’il connaît déjà, qu’il s’agisse de réseaux masqués auxquels il s’est déjà connecté ou du nom saisi par l’utilisateur lors de sa première connexion à un réseau masqué. Si le nom correspond, le routeur répond et la connexion est établie.
Un nom de réseau masqué (SSID) ne masque pas réellement votre réseau Wi-Fi
La liste habituelle des réseaux Wi-Fi disponibles sur votre smartphone ou votre ordinateur n’affiche pas les réseaux qui ne diffusent pas de SSID public. Mais n’importe quel logiciel spécialisé dans l’analyse des réseaux Wi-Fi peut les détecter facilement. Il ne les affichera simplement pas sous leur nom. De plus, les réseaux cachés restent faciles à identifier et à distinguer grâce au BSSID unique de chaque routeur.
Ainsi, le fait de masquer le nom d’un réseau Wi-Fi ne le rend pas vraiment invisible et ne vous protégera pas contre les cybercriminels. Il convient de noter que toute analyse à grande échelle, comme la cartographie de la répartition géographique des réseaux Wi-Fi, repose sur les BSSID et non sur les SSID. Outre les immenses bases de données gérées par Apple et Google, il existe également des projets publics de cartographie des points d’accès, comme WiGLE.
Si quelqu’un souhaite s’introduire dans un réseau situé à un endroit précis, un logiciel spécialisé lui permet de découvrir son SSID simplement en attendant qu’un des clients autorisés se connecte et en interceptant la session de découverte active. À partir de là, cette personne peut se connecter à ce réseau Wi-Fi, à condition que celui-ci utilise un protocole de sécurité suffisamment faible.
Vos appareils révèlent les noms de réseaux Wi-Fi masqués et divulguent des données personnelles
Le principal inconvénient d’un SSID masqué est que les smartphones et les ordinateurs doivent le diffuser avant de pouvoir se connecter au réseau sans fil. Et ils le font partout, pas seulement à proximité du point d’accès en question. Dès qu’un réseau dont le nom est masqué apparaît à portée du signal, le client tente de s’y connecter et, au cours de cette tentative, il diffuse les noms de tous les réseaux masqués qu’il connaît. De plus, cette transmission n’est pas chiffrée, ce qui signifie que n’importe qui se trouvant à proximité peut capter les données transmises.
En 2021, des chercheurs de l’université de Hambourg ont mené une consistant à collecter des données sur les signaux radio dans une rue très fréquentée. En seulement trois sessions d’écoute d’une heure chacune, ils ont recueilli 252 000 demandes de connexion Wi-Fi provenant des smartphones des passants. Parmi ceux-ci, 23 % contenaient le SSID d’un réseau auquel le smartphone aurait préféré se connecter.
Et c’est là qu’entre en jeu un élément auquel peu prêtent attention : le nom de la chaîne elle-même. Douze pour cent des SSID détectés étaient de longues chaînes de chiffres qui ressemblaient fortement à des mots de passe. Ainsi, une fois que l’on connaît le SSID et le BSSID, il suffit de rechercher le BSSID sur un service tel que WiGLE pour obtenir l’adresse physique du point d’accès. Une fois cette information en sa possession, un pirate informatique peut tenter d’utiliser cette chaîne de caractères à la fois comme SSID et comme mot de passe pour se connecter, avec de bonnes chances de succès. L’échantillon des chercheurs comprenait également 106 SSID contenant un prénom et/ou un nom de famille, 92 SSID indiquant une adresse personnelle et trois révélant une adresse email.
Compte tenu de ce qui précède, il n’est pas surprenant qu’Apple et Asus déconseillent l’utilisation de la fonctionnalité de masquage du SSID.
Autres inconvénients du masquage du réseau Wi-Fi
Au-delà des problèmes de fuite de données, la technologie des SSID masqués, vestige des premières versions du Wi-Fi, nuit également aux performances des versions modernes du protocole radio. Dans la bande des 6 GHz, la recherche d’un réseau Wi-Fi masqué parmi les 59 canaux possibles peut être source de bruit et très gourmande en énergie : le client doit passer en revue toutes les options et envoyer un grand nombre de demandes. En conséquence, les performances de tous les réseaux Wi-Fi voisins opérant dans la bande des 6 GHz s’en trouvent réduites, et le client lui-même épuise rapidement sa batterie en envoyant toutes ces demandes.
Asus également que les appareils Windows ont tendance à se connecter en priorité aux réseaux visibles, même si un réseau dont le SSID est masqué est disponible et défini comme réseau préféré.
Quand un SSID masqué est réellement utile
Il n’y a pas beaucoup de situations où le fait de masquer le nom de son réseau est vraiment utile. Par exemple, si un routeur est destiné à un petit groupe de personnes mais qu’il est installé dans un endroit très fréquenté, un SSID masqué peut réduire le nombre de tentatives de connexion et alléger la charge du routeur. Mais gardez en tête que cela améliore les performances, pas la sécurité, et ce, très légèrement seulement.
Un autre cas similaire est celui d’un réseau Wi-Fi technique destiné à un nombre limité d’appareils fixes, comme un réseau de caméras de sécurité ou d’appareils pour maison connectée. Ces appareils restent toujours au même endroit. Ainsi, chaque fois qu’ils tentent de se connecter à votre réseau Wi-Fi qui leur a été attribué, ils le détectent immédiatement et aucune donnée n’est divulguée, à moins qu’un pirate informatique n’écoute le signal radio à proximité du routeur. Par ailleurs, les personnes extérieures sont moins susceptibles d’essayer de se connecter à un tel réseau.
Comment renforcer la sécurité de votre réseau Wi-Fi
Pour protéger votre réseau Wi-Fi contre les pirates informatiques, ne masquez pas le SSID : utilisez plutôt le protocole de sécurité moderne WPA3, associé à un mot de passe long. Les pirates informatiques sont capables d’intercepter les données transmises sans fil, puis de tenter de pirater le mot de passe par force brute. C’est pourquoi un mot de passe Wi-Fi sécurisé doit comporter au moins 20 caractères. Le moyen le plus simple de générer et de stocker ces mots de passe longs et difficiles à pirater consiste à utiliser un gestionnaire de mots de passe qui se synchronise sur tous vos appareils.Ainsi, vous les avez toujours à portée de main, quel que soit l’appareil que vous utilisez.
Si certains de vos anciens appareils ne prennent pas en charge le protocole WPA3, vous pouvez tout à fait utiliser le protocole WPA2 en activant les trames de gestion protégées (PMF), qui offrent une protection contre de nombreux types d’attaques visant les réseaux Wi-Fi.
Vous devez également vous assurer que la fonction Wi-Fi Protected Setup (WPS) est désactivée, car elle remplace essentiellement votre mot de passe par un code PIN facile à deviner.
Pour repérer rapidement les appareils inconnus connectés à votre réseau Wi-Fi, utilisez la fonction Contrôle des maisons connectées incluse dans Kaspersky Premium.
En ce qui concerne le nom du réseau, au lieu de le masquer, choisissez-en un qui ne révèle ni votre nom, ni votre adresse, ni aucune autre information personnelle. Il est également préférable d’éviter les noms de réseau par défaut tels que NomFAI-XXXX ou dlink, mais pour une raison différente : ce genre de noms génériques peut prêter à confusion, tant pour vous que pour vos invités. Si vous ne souhaitez pas que votre point d’accès apparaisse sur les cartes de géolocalisation Wi-Fi d’Apple, de Google et d’autres fournisseurs, vous pouvez ajouter le suffixe _nomap à la fin du nom de votre réseau Wi-Fi, mais rien ne garantit que cela fonctionnera réellement.
En plus de protéger votre réseau Wi-Fi, assurez-vous que votre routeur est configuré de manière sécurisée dans son ensemble. Avant tout, cela implique de lui attribuer un mot de passe administrateur long et unique, et de veiller à ce qu’il soit toujours à jour avec la dernière version du micrologiciel fournie par le fabricant. Et si vous avez un peu plus de temps, vous pourriez même améliorer les performances de votre réseau Wi-Fi.
Comment les réseaux Wi-Fi sont piratés et comment les protéger : Comment localiser une personne et déterminer sa pose à l’aide du Wi-Fi ? Votre imprimante vous dénonce-t-elle à la police ? Piratage du réseau Wi-Fi par interception du PMKID Comment protéger votre maison connectée Assurer la sécurité du domicile
Comment les réseaux Wi-Fi sont piratés et comment les protéger :
- Comment localiser une personne et déterminer sa pose à l’aide du Wi-Fi ?
- Votre imprimante vous dénonce-t-elle à la police ?
- Piratage du réseau Wi-Fi par interception du PMKID
- Comment protéger votre maison connectée
- Assurer la sécurité du domicile
