WBA : OpenRoaming et Passpoint sécurisent les Wi-Fi publics visiteurs
La Wireless Broadband Alliance (WBA) explique comment les solutions basées sur des normes — WBA OpenRoaming™ et Passpoint® — atténuent les risques liés aux réseaux Wi-Fi publics traditionnels destinés aux visiteurs.
En imposant une authentification mutuelle, un chiffrement de niveau entreprise, la confidentialité des identités et un transport AAA sécurisé, ces normes visent à offrir une expérience d'itinérance sécurisée comparable à celle des réseaux cellulaires.
Contexte
Des rapports récents du secteur, notamment le rapport « Behind the Screens » de Google Android, ont mis en évidence les risques de sécurité liés au Wi-Fi public ouvert traditionnel : usurpation d'identité, interception du trafic, hameçonnage, réseaux usurpés et autres vecteurs d'attaque.
La WBA indique que le secteur a collaboré avec des opérateurs, des fournisseurs d'identité, des fabricants d'appareils et des leaders technologiques pour mettre en place une nouvelle génération de Wi-Fi public pour les invités qui répond à ces risques.
Authentification mutuelle forte
WBA OpenRoaming™ et Passpoint® exigent une authentification mutuelle utilisant des méthodes EAP éprouvées par l'industrie, telles que EAP-TLS, EAP-TTLS, EAP-SIM et EAP-AKA. Cette authentification mutuelle empêche les appareils de se connecter à des points d'accès malveillants présentant des SSID usurpés et réduit l'exposition aux attaques de type « man-in-the-middle ».
Chiffrement de niveau entreprise
Le trafic sur les réseaux compatibles OpenRoaming et Passpoint est protégé par WPA2-Enterprise ou WPA3-Enterprise, grâce à un chiffrement basé sur l'AES et à des trames de gestion protégées. Selon la WBA, cela rapproche le niveau de sécurité du Wi-Fi public de celui des réseaux mobiles et atténue les menaces liées à l'interception de paquets et à la manipulation du trafic.
Confidentialité de l'identité de l'utilisateur dès la conception
La WBA met en avant les fonctionnalités de confidentialité de ces normes afin d'éviter l'exposition des identifiants ou des informations d'identification des utilisateurs par voie hertzienne. Les mécanismes comprennent des identités uniques et anonymes, des identités pseudonymes pour les méthodes basées sur la carte SIM et une identité d'utilisateur facturable opaque en option pour protéger les informations personnelles. Ces mesures visent à empêcher la diffusion des informations d'identification, des identifiants d'appareils ou des IMSI.
Stockage sécurisé des identifiants sur les appareils
Les identifiants pour OpenRoaming et Passpoint doivent être stockés de manière sécurisée sur les appareils, par exemple dans le Keystore Android, le Trousseau iOS ou des modules matériels sécurisés/cartes SIM. Cela empêche l'extraction et la réutilisation inappropriée des identifiants, en les gardant propres à l'appareil et à l'utilisateur.
Transport sécurisé de bout en bout
Afin de protéger l'authentification et la comptabilité au-delà de la couche de liaison Wi-Fi, WBA OpenRoaming impose un transport AAA sécurisé utilisant RadSec (RADIUS sur TLS) ou un VPN. Cela permet de chiffrer les échanges entre les éléments du réseau et de réduire le risque d'interception dans le réseau de raccordement et le réseau de l'opérateur.
Isolation du trafic de couche 2
Les déploiements OpenRoaming et Passpoint appliquent l'isolation des clients et des techniques de filtrage de couche 2 telles que Proxy-ARP et la désactivation de la diffusion/multidiffusion lorsque cela est nécessaire. Ces mesures limitent les mouvements latéraux des attaquants locaux et les attaques de périphérique à périphérique sur les réseaux publics.
Ce que cela signifie pour les intégrateurs et les fournisseurs
Les intégrateurs de systèmes, les fournisseurs de solutions et les opérateurs doivent tenir compte de ces normes lors de la conception ou de la mise à niveau de services Wi-Fi publics. Les points clés de la mise en œuvre comprennent l'intégration avec les fournisseurs d'identité et l'infrastructure AAA, la garantie que l'intégration des appareils prend en charge le stockage sécurisé des identifiants, et l'activation de RadSec ou d'un transport sécurisé équivalent entre les éléments du réseau.
Conclusion
Alors que le Wi-Fi public pour invités traditionnel comporte des risques bien documentés, WBA OpenRoamingTM et Passpoint® constituent une alternative basée sur des normes visant à fournir une intégration automatique sécurisée, des identités protégées, des connexions chiffrées et des réseaux vérifiés. La WBA positionne ces technologies comme le fondement d'une expérience d'itinérance Wi-Fi publique mondiale et fiable.
De plus amples détails sont disponibles sur le site web de la WBA. Informations supplémentaires sur OpenRoaming : https://www.openroaming.org.