Rechercher
Fermer ce champ de recherche.

Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

02/05/2019

Cybersecurity Insights

WiFi et Déploiement : bien se préparer pour le déploiement

Lorsque vient le sujet du déploiement du réseau, le WiFi fait bande à part en constituant en lui-même un domaine particulier. En quoi consiste succinctement les particularités d’un réseau WiFi, et surtout quelle est la manière de procéder lorsqu’il s’agit de déployer ce type de réseau ?

C’est à cette question que nous allons tenter de répondre en trois articles avec la proposition d’une méthode universelle qui constitue une approche générique du mode de pensée à adopter face à ce type de problème. Pour donner suite à la revue générale du fonctionnement du Wifi de l’article précédent, nous proposons ici une méthode générique de déploiement d’un réseau WiFi quelle que soit sa dimension.

Dans cet article, nous nous attèlerons à détailler les trois premières phases de cette méthodologie.

Définir le besoin

Une phase nécessaire à tout projet est de bien cadrer le besoin afin de dimensionner la solution au plus près de ce qui est nécessaire, d’une part au moment où les besoins sont émis et d’autre part pour les évolutions qu’il sera nécessaire de prendre en compte. Un certain nombre de points sont à identifier à ce stade :

Zones de couvertures

Quelles sont les zones à couvrir ? Y a-t-il des escaliers, des ascenseurs ? Où sont positionnées les zones de bureaux, les salles de réunions ? Y a-t-il des zones spécifiques comme l’accueil du bâtiment, des amphithéâtres, des parkings ? Doit-on couvrir les zones extérieures ? Y a-t-il des entrepôts et que faut-il couvrir ?

Type de clients

« Le client est roi », cet adage fonctionne particulièrement bien en WiFi puisque la qualité de la connexion et un nombre conséquent de décisions sont prises directement par l’équipement WiFi du client et non par l’infrastructure et les bornes WiFi. Quel est le nombre de clients à prendre en charge ? quelle est la densité estimée par zone de couverture ? Quel est l’inventaire des types de clients, des marques de PC/téléphones/tablettes ? Y a-t-il des équipements spécifiques ? Faut-il mener des tests particuliers sur les équipements industriels pour vérifier leurs capacités à se connecter ? Ces questions ont un rapport fort à la capacité radio, mais aussi à la capacité à mettre en place de la sécurité au niveau des équipements clients.

Usage clients

Chaque zone à couvrir doit être identifiée avec les usages réels des clients se connectant au réseau : bureautique, hotspot, téléphonique, visio, géolocalisation ? Il est nécessaire de s’interroger sur les pics de charge de certaines zones : est-ce que tous les équipements doivent pouvoir téléphoner en IP dans la cantine lors de la pause déjeuné ? Est-ce que l’accès à Internet est assuré pour tous les équipements si l’amphithéâtre de 500 personnes est rempli de journalistes pour les événements ? Enfin question importante : est-ce qu’une personne doit pouvoir téléphoner en IP et se déplacer dans les locaux simultanément ? (problématique de roaming).

Analyser les contraintes  ?

Les contraintes sont extrêmement nombreuses sur un projet de déploiement WiFi et peuvent se répartir en 4 catégories.

Contraintes physiques et environnementales

Une visite de site ou une connaissance des zones à couvrir est fortement recommandée pour évaluer les premiers critères à prendre en compte. Quelle est la hauteur du plafond ? Si les bornes doivent être cachées dans le faux plafond, quelle est le matériau de ce faux plafond ? Peut-on installer les bornes à n’importe quel endroit du faux plafond ? Quels sont les types de matériaux des murs/cloisons ? Pour les entrepôts, dans quel sens sont les allées ? Que contiennent les racks de l’entrepôt (les objets métalliques et liquides auront tendance à absorber grandement les ondes radios) ? En extérieur, quelle est la position des arbres ?

Contraintes physiques de raccordement

Tout d’abord, la règle d’or à noter pour une borne WiFi classique omnidirectionnelle avec antennes intégrées est la suivante : « une borne doit toujours être installée horizontalement ». En effet, il faut imaginer la propagation radio depuis ce type de borne sous la forme d’un « donut » : si la borne est installée verticalement, ce sont majoritairement le sol et le plafond qui seront les mieux servis, et moins les zones alentours. Au-delà du sens de l’installation de la borne, deux autres contraintes de raccordement des bornes WiFi sont à prendre en compte :

  • Electrique : Comme tout équipement électronique, une borne WiFi a besoin d’une alimentation électrique, entre 15W et 45W pour la plupart des modèles suivant les fonctionnalités activées. Soit il est possible d’obtenir une prise courant faible à chaque emplacement de borne WiFi, auquel cas la solution du branchement direct peut être choisi. Il en va de même pour la solution des « Power Injector » qui permettent de prendre en entrée le câble RJ45, en provenance du commutateur d’accès, et l’arrivée électrique pour proposer en sortie un simple câble RJ45 fonctionnant en PoE (Power over Ethernet). Dans la majorité des installations, on préférera se fournir en commutateurs capables d’envoyer de l’énergie directement sur les ports concernés en PoE vers les bornes WiFi. On notera que les bornes WiFi actuelles fonctionnent pour la plupart en PoE+ à 30 Watts(norme 802.3at).
  • Réseau : Deux possibilités pour le raccordement réseau des bornes WiFi. La solution la plus utilisée est bien sûr le raccordement filaire RJ45 pour lequel on fera attention à la distance maximum des transmissions en cuivre qui est de 100 mètres, mais aussi au débit maximum permis par notre infrastructure réseau. En effet, les normes WiFi d’aujourd’hui permettent de monter à un débit de 7 Gbps théorique sur la communication radio (et donc 7 fois plus qu’un câble Ethernet cuivre classique de catégorie 5E à 1Gbps), attention donc aux goulots d’étranglement sur le reste du réseau pour les besoins de hauts débits exprimés par les clients. Une autre possibilité de raccordement au réseau pour les zones qui ne pourraient pas être câblées en RJ45 : l’architecture Mesh. Cette architecture permet aux bornes WiFi de monter un « backhaul » radio avec une autre borne elle-même raccordée au réseau, constituant ainsi le « lien uplink » vers le reste du réseau.

Contraintes radios externes

Les contraintes radios à prendre en compte en premier sont les interférences qui entrent en jeu sur les zones à couvrir. Les autres réseaux WiFi voisins et non maîtrisés par exemple, peuvent constituer la première source d’interférence. Également à prendre en compte : les fameux micro-ondes bien sûr qui émettent à plusieurs centaines de Watts en 2,4 GHz, certains modèles de détecteurs de mouvement, tous les périphériques Bluetooth, les téléphones sans fils DECT, les systèmes d’éclairage utilisant le gaz néon, etc. pour ne citer que les principaux. Un autre type de contraintes radios externes et non des moindres : les clients à connecter sur notre réseau. Les équipements connus ont-ils des limitations de bandes de fréquences ? Ont-ils des limitations de capacités sur les canaux à utiliser ? Connait-on des problèmes récurrents à ces types de clients (comme les problématiques de roaming et de SSID caché pour les chromebook par exemple, ou de Sticky Client pour les équipements disposant de driver anciens) ?

Contraintes radios internes

Enfin, nous pouvons nous heurter à des contraintes radios inhérentes à l’installation d’un réseau WiFi. Ces contraintes sont principalement constituées du design des canaux pour éviter les interférences entre cellules radios (CCI : co-channel interference), et des limitations de puissance pour établir une bonne communication avec les clients (les cellules ne doivent pas être trop grandes d’une part, mais il faut aussi penser que les équipements clients n’ont pas les mêmes capacités de puissance qu’une borne WiFi, il faut éviter les déséquilibres) ainsi que pour se contraindre à la législation du pays concerné (20 dBm en 2,4 GHZ et 23 dBm en 5 GHz en France pour des environnements intérieurs).

Réaliser un audit préalable

Une fois l’ensemble des besoins et des contraintes listés, il est important de ne pas se jeter sur le déploiement, mais de procéder à une phase d’étude et d’audit des zones à couvrir. Pour se faire, deux outils principaux dominent le marché des experts de ces sujets : l’outil Ekahau et la suite Airmagnet. Suivant l’environnement des zones à couvrir et des moyens du projet, deux types d’audit peuvent être menés.

Audit sur plan

Munis des plans des zones à couvrir, il est possible de positionner les types de murs à prendre en compte ainsi que les caractéristiques des bornes qui seront installées pour générer une simulation de la position optimale de chacune d’entre elles. Il est alors possible de calculer les zones de couverture potentielles et une proposition de configuration des puissances et des canaux de nos bornes. Pour aller plus loin, nous pouvons ajouter à la simulation une notion de capacity planning pour anticiper le type et le nombre d’équipements clients dans les différentes zones et en déduire une meilleure approximation de la quantité et de la position des bornes.

Audit sur site

En complément de l’audit sur plan, il est fortement recommandé de se rendre physiquement dans les locaux à couvrir pour évaluer (avec les outils cités) les interférences réelles existantes et les types de murs avec leur atténuation. Ces mesures constituent ce qu’on appelle un audit « passif ». Il est possible d’envisager un audit actif, en amenant une borne WiFi du même modèle que celui qui sera déployé, de la monter sur un mât pour simuler son installation au plafond, et de mesurer la qualité de la connexion et le débit réel d’un client dans l’environnement de la zone à couvrir. Les audits actifs permettent d’avoir une mesure réelle des conditions de l’environnement et sont à privilégier.

Nous avons vu dans cet article les trois premières phases de la méthodologie qui nous permettent de bien aborder le déploiement de l’infrastructure WiFi et de prendre en compte les besoins et les contraintes de notre environnement, ainsi que de mesurer certains paramètres de ces contraintes directement sur site.

Dans le troisième et dernier article de cette série nous vous présenterons les dernières étapes de cette méthodologie :

  1. Élaborer une stratégie de déploiement de l’infrastructure Wifi
  2. Réaliser un audit de validation et inventorier les types d’audit existants pour la vie de la solution WiFi
  3. Mettre en place une supervision complète du service déployé.

Retrouvez le premier article de la série : WiFi et Déploiement : la base de connaissance du WiFi

Adrien GAILLARD

Consultant senior Infrastructure Security

Voir les derniers Cybersecurity & Digital Technology Insights

22 novembre 2023
Le Digital & Technology Insights de ce jour permet d’appréhender la nécessité de positionner de manière lisible et assumée sa Direction des Systèmes d’Information conditionnant l’organisation la plus efficiente à déployer pour décliner la stratégie IT toute en accompagnement le business.
13 novembre 2023
Version révisée (Edition 4) de la norme ISO/CEI 27005 : Almond vous propose un top 3 des changements normatifs et des précisions sur leurs implications directes dans les travaux des Risk Managers au sein des organisations.
8 novembre 2023
Digital & Technology Insights : Asma nous plonge au cœur du rôle crucial de la donnée en tant qu'élément moteur qui alimente l'innovation urbaine, ouvrant la voie à des villes plus durables et une meilleure qualité de vie pour les résidents.
19 octobre 2023
C’est ce que tente d’éclairer cet article en explorant les avantages d’une approche ISO 27001 pour structurer les réponses attendues par vos clients dans les questionnaires SSI qu’ils vous transmettent.
16 octobre 2023
L'authentification multi-facteurs, un sujet toujours d'actualité à ne pas négliger !
11 octobre 2023
Chez Almond, nous préconisons de parachever les pratiques de contrôle par une approche par les risques pour améliorer la qualité du portefeuille des fonds d’investissement.
5 octobre 2023
Did you ever imagine that you or your colleagues could be a serious threat to your company? Discover our study: Insider Threat !
29 septembre 2023
Découvrez la solution SASE de Zscaler avec Benoit Vérove, Partner et Lead Security Integration chez Almond et Reda Nedjar, Principal Sales Engineer chez Zscaler au travers d'une démonstration technique au cœur de l'outil Zscaler Zero Trust Exchange™!
12 juillet 2023
Luc nous parle des services IXP ​et des nombreux bénéfices qu’il apporte aux entreprises.
16 juin 2023
Le SASE en 7 min chrono : décrypter le SASE, sa fonction et ses usages. Pour y voir plus clair, nous vous proposons d’entrer en immersion dans les plateformes SASE des experts du secteur. Découvrons ensemble, la solution SASE proposée par Cato Networks. Joseph Fernando, SE Manager South EMEA, chez Cato Networks réalise une démonstration technique de la solution Cato SASE Cloud, au côté de Benoit Vérove, Partner et Lead Security Integration chez Almond.

Jour 5 : CTF #1 de l'avent

On complexifie le jeu pour ce jour #5 ! Notre équipe CERT vous propose aujourd’hui un petit challenge CTF à résoudre avant demain matin ! 

Retrouvez le challenge ici !

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Laïus explicatif : Le ransomware à triple extorsion est comme son nom l’indique une attaque durant laquelle les cybercriminels menacent de trois façons différentes leur victime.

  1. L’attaquant va demander une rançon à la victime pour qu’il puisse récupérer/déchiffrer ses données
  2. L’attaquant va demander une rançon pour ne pas publier / divulguer les données exfiltrées, il peut aussi demander une rançon pour un délai supplémentaire avant divulgation (retarder le compte à rebours)
  3. L’attaquant va mettre la pression à la victime pour augmenter les chances de paiement de la rançon via des attaques de type DDoS ou des appels téléphoniques, enfin il peut aussi demander des rançons aux victimes collatérales, dont les données auraient fuité indirectement dans l’attaque

Ce type d’attaque permet aux attaquants de maximiser le gain financier pour chaque victime, le ransomware étant déjà l’une des attaques les plus lucratives, il convient d’anticiper ce scénario et de s’en protéger convenablement.

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou « Distributed Denial of Service » est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/