Sur un réseau wifi public, les données transitent entre votre appareil et le point d’accès sans protection dédiée. Un attaquant connecté au même réseau peut intercepter ces échanges grâce à des outils d’analyse de trafic accessibles librement. Comprendre les mécanismes de cette exposition permet de choisir les parades adaptées, du paramétrage du système d’exploitation jusqu’au chiffrement de la connexion par VPN.
Protocoles réseau vulnérables sur un wifi public
La plupart des guides de sécurité se concentrent sur le comportement de l’utilisateur. Ils passent sous silence un problème situé en amont : certains protocoles actifs par défaut sur votre appareil facilitent les attaques avant même que vous n’ouvriez un navigateur.
A lire également : Protection des données personnelles sur les réseaux sociaux
Deux mécanismes méritent une attention particulière. LLMNR (Link-Local Multicast Name Resolution) et NetBIOS sont des protocoles de résolution de noms hérités, présents sur les systèmes Windows. Leur rôle initial est de permettre à des machines d’un même réseau local de se trouver mutuellement sans serveur DNS.
Sur un réseau domestique, c’est une commodité. Sur un wifi public, c’est une faille. Un attaquant peut répondre aux requêtes LLMNR ou NetBIOS de votre poste et rediriger votre trafic vers sa propre machine, une technique d’empoisonnement de résolution qui lui donne accès à vos identifiants.
A découvrir également : Le rôle des mises à jour logicielles dans la cybersécurité
Désactiver ces protocoles sous Windows
La désactivation de LLMNR passe par l’éditeur de stratégie de groupe locale (gpedit.msc) ou par une clé de registre. Pour NetBIOS, le réglage se trouve dans les propriétés avancées de la carte réseau, onglet WINS. Ces manipulations ne cassent rien sur un réseau public puisque ces protocoles n’y servent à rien.
Autre réglage sous-exploité : activer le profil de réseau public dans le pare-feu. Ce profil bloque la découverte réseau et les connexions entrantes non sollicitées. Windows le propose normalement à la première connexion, mais beaucoup d’utilisateurs le basculent en « privé » par habitude, supprimant cette couche de protection.
Chiffrement de la connexion wifi : VPN et mode HTTPS-only
Le chiffrement reste la parade la plus directe contre l’interception de données. Deux outils se complètent : le VPN pour tout le trafic sortant, et le mode HTTPS-only du navigateur pour la couche web.
Ce que fait réellement un VPN sur un réseau public
Un VPN crée un tunnel chiffré entre votre appareil et un serveur distant. Toutes les données qui transitent par le wifi public deviennent illisibles pour quiconque intercepte le signal, y compris l’opérateur du point d’accès. Le trafic DNS, les requêtes HTTP résiduelles, les échanges applicatifs : tout passe dans le tunnel.
Pour que la protection soit réelle, le VPN doit utiliser un protocole récent (WireGuard ou OpenVPN, par exemple) et disposer d’un kill switch. Cette fonction coupe la connexion internet si le tunnel VPN tombe, évitant que du trafic non chiffré s’échappe à votre insu.
Le mode HTTPS-only dans le navigateur
La majorité des sites utilisent aujourd’hui HTTPS, mais des cas de dégradation vers HTTP existent encore, notamment via des redirections mal configurées ou des portails captifs. Le mode HTTPS-only force le navigateur à refuser toute connexion non chiffrée.
Ce paramètre se trouve dans les réglages de sécurité de Firefox, Chrome et Edge. Il ne remplace pas un VPN, mais il ajoute une barrière contre les attaques de type downgrade, où un intermédiaire force la connexion vers une version non sécurisée d’un site.
Portails captifs et faux points d’accès wifi
Avant même de naviguer sur le web, la connexion à un wifi public commence souvent par un portail captif, cette page qui demande d’accepter des conditions ou de saisir un code. Ce portail est lui-même un point de vigilance.
Des sources de sécurité récentes soulignent qu’il ne faut pas saisir d’informations sensibles dans ces pages de connexion. Certains faux réseaux wifi imitent le nom d’un établissement légitime (hôtel, café, aéroport) et affichent un portail captif conçu pour collecter des données.
- Vérifiez le nom exact du réseau auprès du personnel de l’établissement avant de vous connecter, car un caractère modifié suffit à distinguer un faux point d’accès
- Ne saisissez jamais de mot de passe personnel, numéro de carte bancaire ou adresse email principale dans un portail captif
- Désactivez la connexion automatique aux réseaux wifi sur votre appareil pour éviter de rejoindre un réseau malveillant sans le savoir
Un faux point d’accès reproduit fidèlement l’apparence d’un réseau légitime. La seule différence se situe dans l’infrastructure derrière : tout le trafic passe par la machine de l’attaquant.
Réglages de sécurité à vérifier sur vos appareils
Au-delà du VPN et du navigateur, plusieurs paramètres système réduisent la surface d’attaque sur un réseau public.
- Désactivez le partage de fichiers et d’imprimantes dans les paramètres réseau. Sous Windows, le profil « réseau public » s’en charge. Sous macOS, vérifiez que le partage AirDrop est limité aux contacts
- Coupez le Bluetooth si vous ne l’utilisez pas activement. Ce protocole peut servir de vecteur d’attaque complémentaire dans un lieu à forte densité d’appareils
- Sur Android comme sur iOS, désactivez la recherche automatique de réseaux wifi. Votre appareil cesse alors de diffuser la liste des réseaux auxquels il s’est déjà connecté, information exploitable par un attaquant
- Maintenez votre système d’exploitation et vos applications à jour. Les correctifs de sécurité corrigent régulièrement des failles liées au traitement des protocoles réseau
Ces réglages forment un socle de protection passive. Ils ne demandent aucun logiciel supplémentaire et restent efficaces même sans VPN, bien que les deux approches se complètent.
Le cas du partage de connexion comme alternative
Utiliser le partage de connexion 4G/5G de votre téléphone supprime le risque lié au wifi public. Le trafic transite directement par le réseau mobile, qui utilise son propre chiffrement. Pour les opérations sensibles (banque en ligne, accès à un compte professionnel), cette option reste la plus fiable quand elle est disponible.
La protection des données personnelles sur un wifi public repose sur une combinaison de réglages système, de chiffrement actif et de vigilance face aux faux réseaux. Désactiver les protocoles de résolution de noms hérités, activer un VPN avec kill switch et forcer le HTTPS dans le navigateur couvrent la grande majorité des scénarios d’attaque rencontrés sur ces réseaux ouverts.
