Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

26/04/2019

Cybersecurity Insights

WiFi et Déploiement : la base de connaissance du Wifi

Lorsque vient le sujet du déploiement du réseau, le WiFi fait bande à part en constituant en lui-même un domaine particulier. En quoi consiste succinctement les particularités d’un réseau WiFi, et surtout quelle est la manière de procéder lorsqu’il s’agit de déployer ce type de réseau ? C’est à cette question que nous allons tenter de répondre en trois articles avec la proposition d’une méthode universelle qui constitue une approche générique du mode de pensée à adopter face à ce type de problème.

Commençons tout d’abord par bien préciser ce qu’est le WiFi aujourd’hui. Deux organismes sont actuellement les acteurs principaux de cette norme :

  1. L’IEEE (Institute of Electrical and Electronics Engineers) est une association professionnelle mondiale qui a pour objectif de développer des normes de communications (entre autres) qui soient interopérables entre tous les équipements les implémentant. Ils sont à l’origine de la norme régissant les mécanismes du WiFi, c’est-à-dire le 802.11.
  2. La WiFi Alliance est un consortium qui possède réellement la marque « WiFi » et qui attribue et contrôle le logo WiFi pour tous les équipements certifiés être compatibles à la norme et donc capables d’opérer entre eux.

Le WiFi tel que défini par la norme agit donc en tant que protocole de communication pour la couche 1 du modèle OSI (niveau physique), ainsi que la première moitié de la couche 2 (niveau liaison). On parle alors de « trame » WiFi et non de « paquet » !

Il existe deux bandes de fréquences différentes sur lesquelles il est possible de communiquer, qui sont des bandes ouvertes sans licence (autrement dit, n’importe qui est autorisé à émettre sur ces bandes de fréquences dans les limites du respect de la loi sans avoir à obtenir de licence payante de la part de l’état). Ce sont les bandes du 2,4 GHz qui regroupe 13 canaux en France, malheureusement se recouvrant les uns les autres, et du 5 GHz, qui regroupe 19 canaux disjoints pour l’Europe.

Pour information, des discussions au niveau des régulateurs sont en cours pour « ouvrir » une nouvelle bande de fréquence sans licence pouvant être utilisée pour les futurs usages du WiFi : la bande des 6 GHz.

Pour continuer sur cette présentation rapide, ce sont principalement 3 paramètres distincts qui vont participer au fait d’avoir « un bon débit » une fois connecté au réseau WiFi d’un point de vue radio :

  1. La qualité du signal, qui dépend de la puissance d’émission de la borne WiFi (EIRP), de la distance entre la borne et le client, de la présence d’obstacle sur le trajet radio, de la présence d’interférence (niveau de bruit), de la puissance mesurée en réception par le client (RSSI), et bien sûr de la « clarté » avec laquelle le client peut faire la distinction entre le signal d’origine et le niveau de bruit qu’on nomme le « ratio signal sur bruit » (SNR). Cette qualité du signal va permettre au client et à la borne de négocier une certaine granularité de modulation pour échanger les données.
  2. La largeur de bande de fréquences qui correspond simplement à la largeur du canal utilisé pour communiquer. Un canal par défaut en 2,4 GHz ou en 5 GHz fait 20 MHz de large. En cas d’agrégation de canaux, en passant par exemple de 20 MHz à 40 MHz, la capacité à transmettre des informations sur la même période de temps est doublée, doublant ainsi le débit.
  3. Les flux spatiaux constituent une notion complexe à se représenter et à expliquer : au fur et à mesure du développement des communications radios, il a été démontré qu’il était tout à fait envisageable de considérer les « rebonds » faits par les ondes sur les obstacles environnants non pas comme des contraintes d’interférences, mais comme des avantages pour transmettre plusieurs informations en même temps arrivant à destination quasi simultanément. En ajoutant plusieurs radios des deux côtés (client et borne), il est possible de construire virtuellement des « flux spatiaux », autant qu’il existe de pair de radios client/borne. Il y a un lien fort entre cette notion et la technologie MIMO dont on voit souvent la notation 2×2:2 par exemple, signifiant que l’équipement présente 2 radios capables d’émettre, 2 radios capables de recevoir (potentiellement les mêmes), et la capacité de construire ainsi 2 flux spatiaux, multipliant ainsi le débit par 2 par rapport à une « simple » communication de radio unique à radio unique.

Enfin, les dernières notions importantes à considérer pour le déploiement d’infrastructure WiFi sont les différents types d’infrastructures qui, dans le cas d’environnements classiques en entreprise, se répartissent en trois catégories :

  • Le mode autonome est le mode historique des bornes WiFi. Chaque borne était alors indépendante, avait pour charge toutes les fonctions radios et réseaux, et n’interagissait pas avec les autres bornes de l’infrastructure. Il était alors nécessaire de se connecter à chacune d’entre elles pour effectuer les configurations et les mises à jour. Ce mode n’est plus d’actualité pour la plupart des constructeurs et ne pourrait être envisagé que pour des cas de limitation de budget conséquent et de projets petits à l’échelle de quelques bornes tout au plus.
  • L’architecture contrôlée est arrivée rapidement et est encore très présente aujourd’hui. Le principe initial est de déporter l’intelligence de toutes les bornes dans un seul et unique boitier à installer sur le réseau afin de les laisser se charger de la partie radio uniquement. Ce mode permet le déploiement de très nombreuses bornes, potentiellement sur plusieurs sites, dépendant d’un système de contrôleurs (au moins 2 pour la redondance). Dans ce type d’architecture, les flux radio des bornes à destination du réseau sont remontés centralement aux contrôleurs au travers du réseau filaire par des tunnels dit « CAPWAP », avant d’être commutés centralement par les équipements contrôleurs. Ainsi, ces architectures ont un défaut : en cas de panne des contrôleurs, l’ensemble des services WiFi ne fonctionnent plus. C’est pourquoi de nombreuses solutions actuelles proposent un mode de fonctionnement différent qui est de laisser l’intelligence réseau à la main des bornes pour effectuer la commutation localement (local switching). Ce type d’architecture reste toujours prisé pour sa fonction de centralisation des flux malgré ses défauts.
  • Finalement, l’architecture managée est arrivée il y a une dizaine d’années. Celle-ci a pour objectif de conserver les fonctions de management et de supervision centralisées apportées par le contrôleur, mais en relocalisant l’intelligence au niveau des bornes WiFi en leur fournissant la capacité à s’organiser entre elles d’elles-mêmes. La brique « manager » devient alors purement logicielle, peut s’installer sur son réseau ou être disponible dans le Cloud, et ne constitue pas un point névralgique (ou SPOF : Single Point Of Failure) de notre solution. Si le manager tombe en panne, le reste de l’infrastructure continue à fonctionner sans problème, seules les fonctions d’administration et de supervision seront temporairement perdues. Le fonctionnement des architectures managées correspond bien nativement à la commutation locale des flux (local switching), mais il existe des solutions proposées par les constructeurs pour tunneliser certains types de trafic pour les besoins spécifiques de centralisation (central switching).

Le premier article de cette série touche à sa fin et nous a permis de réaliser un tour d’horizon du fonctionnement du WiFi qu’il nous est nécessaire d’intégrer pour comprendre les étapes d’un déploiement. Dans les deux articles suivants, nous formulons une proposition de méthodologie générique qui se présente de la manière suivante :

L’objectif du prochain article est de décrire les trois premières étapes de cette méthodologie :

1. Définir le besoin du service WiFi attendu, dans quelles zones et pour quels utilisateurs

2. Analyser les contraintes physiques et les contraintes radio de notre environnement

3. Réaliser un audit préalable sur plan ou sur site

Un troisième et dernier article de cette série présente les dernières étapes de cette méthodologie:

4. Élaborer une stratégie de déploiement de l’infrastructure Wifi

5. Réaliser un audit de validation et inventorier les types d’audit existants pour la vie de la solution WiFi

6. Mettre en place une supervision complète du service déployé.

Adrien GAILLARD

Consultant senior Infrastructure Security

Voir les derniers Cybersecurity & Digital Technology Insights

22 novembre 2023
Le Digital & Technology Insights de ce jour permet d’appréhender la nécessité de positionner de manière lisible et assumée sa Direction des Systèmes d’Information conditionnant l’organisation la plus efficiente à déployer pour décliner la stratégie IT toute en accompagnement le business.
13 novembre 2023
Version révisée (Edition 4) de la norme ISO/CEI 27005 : Almond vous propose un top 3 des changements normatifs et des précisions sur leurs implications directes dans les travaux des Risk Managers au sein des organisations.
8 novembre 2023
Digital & Technology Insights : Asma nous plonge au cœur du rôle crucial de la donnée en tant qu'élément moteur qui alimente l'innovation urbaine, ouvrant la voie à des villes plus durables et une meilleure qualité de vie pour les résidents.
19 octobre 2023
C’est ce que tente d’éclairer cet article en explorant les avantages d’une approche ISO 27001 pour structurer les réponses attendues par vos clients dans les questionnaires SSI qu’ils vous transmettent.
16 octobre 2023
L'authentification multi-facteurs, un sujet toujours d'actualité à ne pas négliger !
11 octobre 2023
Chez Almond, nous préconisons de parachever les pratiques de contrôle par une approche par les risques pour améliorer la qualité du portefeuille des fonds d’investissement.
5 octobre 2023
Did you ever imagine that you or your colleagues could be a serious threat to your company? Discover our study: Insider Threat !
29 septembre 2023
Découvrez la solution SASE de Zscaler avec Benoit Vérove, Partner et Lead Security Integration chez Almond et Reda Nedjar, Principal Sales Engineer chez Zscaler au travers d'une démonstration technique au cœur de l'outil Zscaler Zero Trust Exchange™!
12 juillet 2023
Luc nous parle des services IXP ​et des nombreux bénéfices qu’il apporte aux entreprises.
16 juin 2023
Le SASE en 7 min chrono : décrypter le SASE, sa fonction et ses usages. Pour y voir plus clair, nous vous proposons d’entrer en immersion dans les plateformes SASE des experts du secteur. Découvrons ensemble, la solution SASE proposée par Cato Networks. Joseph Fernando, SE Manager South EMEA, chez Cato Networks réalise une démonstration technique de la solution Cato SASE Cloud, au côté de Benoit Vérove, Partner et Lead Security Integration chez Almond.

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Pour y répondre, rendez-vous sur notre page Linkedin ! A vos votes !

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou « Distributed Denial of Service » est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/