Configurer la vérification du certificat Radius pour sécuriser votre réseau Wi-Fi 802.1X

Cette vidéo explique pourquoi le passage au protocole 802.1X peut paradoxalement diminuer la sécurité d'un réseau Wi-Fi si une étape de configuration est négligée. Le problème principal est l'absence de vérification du certificat du serveur RADIUS par les clients. Sans cette vérification, les utilisateurs sont vulnérables à l'attaque « Evil Twin », où un attaquant crée un faux point d'accès avec le même nom que le réseau légitime. Les clients se connectent alors au faux réseau et transmettent leurs identifiants à l'attaquant. Si ces identifiants sont les mêmes que ceux utilisés dans Active Directory, l'attaquant obtient un accès complet au réseau d'entreprise. La solution consiste à configurer tous les clients pour qu'ils valident l'authenticité du serveur RADIUS via son certificat. Cette configuration peut être déployée massivement via des GPO, Intune ou tout autre outil de gestion mobile (MDM).

Exemple : Un employé arrive au bureau et son téléphone détecte deux réseaux nommés « Entreprise-WiFi ». L'un est le vrai, l'autre est le faux créé par l'attaquant. Si le téléphone ne vérifie pas le certificat, il se connecte au faux réseau. L'attaquant capture le mot de passe de l'employé. Comme ce mot de passe est celui de son compte Windows, l'attaquant peut ensuite se connecter à n'importe quel poste de travail de l'entreprise.