Sécuriser un hotspot
RADIUS, portail captif et angles morts

RADIUS : ce qu'il protège, et ce qu'il ne protège pas

RADIUS est le protocole qui décide si un appareil a le droit d'entrer sur le réseau, pour combien de temps et avec quel profil. Il transporte trois choses : l'authentification (qui es-tu), l'autorisation (à quoi as-tu droit), et la comptabilité (ce que tu as consommé). C'est le cœur d'un hotspot, donc la cible.

Le point faible le plus souvent négligé n'est pas le protocole, c'est le secret partagé. Un secret RADIUS faible ou commun à tous les équipements permet à un attaquant de répondre à la place du serveur, ou de forger des requêtes de comptabilité. Trois règles : un secret par équipement, long et aléatoire, changé au départ de la personne qui le connaissait.

La chaîne de sécurité d'un hotspot, maillon par maillon

Le walled garden, bien fait

Avant de s'authentifier, un invité n'a droit à rien, sauf à ce qui lui permet de s'authentifier : le portail lui-même, le serveur de temps, éventuellement un portail de paiement. Cette liste blanche s'appelle un walled garden, et c'est là que se glissent les erreurs : un domaine autorisé « pour tester » qui reste ouvert des mois, une IP de résolution DNS laissée en accès récursif, un port 443 ouvert vers tout Internet parce que le portail utilisait un CDN.

La bonne pratique est de traiter cette liste comme du code : versionnée, relue, avec une date d'expiration pour chaque exception.

Les angles morts qu'on oublie

• L'adresse MAC n'est pas une identité depuis des années, les téléphones randomisent leur MAC par réseau. Une authentification par adresse MAC fonctionne encore sur des flottes maîtrisées, pas sur des invités.
• Le WPA2-PSK partagé est un mot de passe public il circule sur tous les téléphones de l'établissement. Le PSK n'est pas de la sécurité, c'est un filtre d'honnêteté.
• Le point d'accès fantôme un SSID identique diffusé par un attaquant attire les appareils qui le connaissent. La détection de points d'accès illégitimes et la surveillance du voisinage radio font partie de l'exploitation.
• Le filtrage DNS n'est pas un pare-feu il empêche la résolution d'un domaine malveillant, il n'empêche pas une connexion directe par adresse IP.
• La conservation des journaux combien de temps, pour qui, sur quelle base. Un journal qu'on garde « au cas où » sans finalité est un risque juridique, pas une sécurité.

Durcir Hotspot Manager lui-même

Le portail est un serveur web avec une base de données : il se durcit comme tel.

• Mises à jour suivies la plateforme tourne en conteneurs ; une mise à jour se planifie, se teste sur un portail de recette, et se documente.
• Sauvegarde de la base et des thèmes les thèmes personnalisés sont du travail ; les perdre, c'est recommencer.
• Comptes nominatifs un compte par administrateur, pas de compte partagé « admin » dont on ne sait plus qui l'utilise.
• Journalisation vers le SIEM les journaux d'accès du portail et la comptabilité RADIUS doivent remonter ailleurs que sur la machine qui les produit.
• Test de bout en bout un vrai appareil, une vraie connexion, un vrai code d'accès, un vrai contrôle de la session dans les journaux. Le portail qui « marche » sur le papier ne prouve rien.

Un hotspot invité est une porte d'entrée sur votre réseau : il mérite le même sérieux qu'un accès VPN, pas moins.