Ce que l’on protège, et par où passent les problèmes
Un logement connecté compte facilement vingt à quarante appareils : ordinateurs, téléphones, téléviseur, console, imprimante, ampoules, prises, capteurs, caméras. La grande majorité des incidents ne vient pas d’une faille exotique, mais de réglages laissés dans leur état d’usine. Quatre portes reviennent systématiquement.
- L’interface d’administration de la box, encore protégée par le mot de passe imprimé sur l’étiquette, que tout visiteur a pu photographier.
- Les fonctions d’appairage simplifié, actives par défaut sur une grande partie du matériel installé.
- Les ouvertures automatiques de ports, qui publient un service interne sur l’adresse publique de la ligne sans que personne ne l’ait demandé.
- Les appareils qui ne reçoivent plus de mise à jour et restent branchés pendant des années.
Traiter ces quatre points prend moins d’une heure. Le reste relève de l’affinage.
Les réglages de la box, dans l’ordre d’importance
| Réglage | Valeur à viser | Ce que cela change | Temps |
|---|---|---|---|
| Mot de passe d’administration | 16 caractères, différent de la clé Wi-Fi | Empêche la reconfiguration de la box depuis le réseau local | 5 min |
| Chiffrement Wi-Fi | WPA3, ou WPA2 en AES si des objets anciens l’imposent | Rend la capture du trafic inexploitable | 2 min |
| Clé Wi-Fi | 20 caractères tirés au sort, ou 5 mots sans lien | Met le calcul hors ligne hors de portée | 10 min |
| Appairage simplifié par bouton et code | désactivé | Supprime un espace de recherche réduit à 11 000 combinaisons | 1 min |
| Administration à distance | désactivée | Retire l’interface de configuration de la vue depuis Internet | 2 min |
| Ouverture automatique de ports | désactivée | Empêche un appareil d’exposer un service de sa propre initiative | 2 min |
| Redirections de ports | aucune, sauf besoin identifié | Réduit à zéro la surface visible depuis Internet | 10 min |
| Pare-feu IPv6 | actif | Couvre les adresses publiques attribuées à chaque appareil | 3 min |
| Mise à jour du micrologiciel | automatique | Ferme les failles publiées sans intervention | 5 min |
| Réseau séparé pour les objets connectés | actif, isolation des clients activée | Cloisonne les appareils les moins suivis | 20 min |
Le mot de passe d’administration
Il vient en premier parce qu’il commande tous les autres. Le mot de passe d’usine est souvent dérivé du numéro de série, ou tout simplement identique à la clé Wi-Fi imprimée sous le boîtier. Toute personne ayant eu accès au réseau, y compris de façon temporaire, peut donc revenir dans l’interface. Il doit être remplacé par une valeur d’au moins seize caractères, différente de la clé Wi-Fi, et rangée dans un gestionnaire de mots de passe.
Le chiffrement du Wi-Fi
Trois générations coexistent encore dans les menus. Le WEP est cassé depuis le début des années 2000 et se retrouve en quelques minutes. Le WPA d’origine, avec son chiffrement TKIP, a été retiré de la norme en 2012 : il n’a plus aucune raison d’être proposé. Restent le WPA2 en mode AES, correct, et le WPA3 en mode SAE, nettement plus solide.
La différence pratique est importante. En WPA2, il suffit de capturer la poignée de main initiale, quatre trames, pour tester ensuite un nombre illimité de mots de passe hors ligne, sur sa propre machine, sans plus rien envoyer au réseau. En WPA3, l’échange est conçu pour qu’un essai de mot de passe nécessite une interaction avec le point d’accès : cette possibilité disparaît. Si le matériel le permet, on bascule en WPA3. S’il reste des objets anciens qui ne le comprennent pas, on choisit le mode mixte WPA2 et WPA3, ou l’on garde ces objets sur un réseau séparé en 2,4 GHz.
L’appairage simplifié par bouton et code
La fonction d’appairage par code à huit chiffres, présente sur presque toutes les box, souffre d’un défaut de conception connu depuis 2011. Le code est vérifié en deux moitiés indépendantes, et le dernier chiffre n’est qu’une somme de contrôle : l’espace de recherche tombe de cent millions de combinaisons à onze mille. Certaines implémentations cèdent en quelques secondes. Cette fonction se désactive dans les paramètres Wi-Fi, sans conséquence sur les appareils déjà appairés.
Administration à distance, ouverture automatique de ports, pare-feu IPv6
L’administration à distance publie l’interface de configuration sur l’adresse publique de la ligne. Elle doit rester désactivée : on administre sa box depuis son propre réseau.
Le protocole d’ouverture automatique de ports permet à n’importe quel appareil du réseau local de demander à la box d’ouvrir un port vers Internet, sans validation. Une console de jeu s’en sert légitimement, un objet connecté mal conçu aussi. Le désactiver oblige à créer à la main les rares redirections utiles, ce qui est précisément l’objectif. Dans la foulée, on ouvre la liste des redirections existantes et l’on supprime celles dont personne ne se souvient.
Dernier point, le plus souvent oublié : en IPv6, chaque appareil du logement reçoit une adresse publique routable. Le pare-feu IPv6 est parfois une case distincte de celle du pare-feu IPv4, et elle n’est pas toujours cochée. La vérifier prend trente secondes.
Le mot de passe Wi-Fi : la longueur avant la complexité
Une clé Wi-Fi n’est pas testée par un formulaire qui limite les essais. Elle est testée hors ligne, sur du matériel graphique, à raison d’environ un million d’essais par seconde en WPA2. Dans ce contexte, seule la taille de l’espace de recherche compte. Ni la présence d’un caractère spécial, ni le remplacement d’un o par un zéro n’y changent quoi que ce soit : ces substitutions figurent parmi les premières testées.
| Composition de la clé | Nombre de combinaisons | Ordre de grandeur du calcul hors ligne |
|---|---|---|
| 8 lettres minuscules | environ 210 milliards | 2 à 3 jours |
| 10 lettres minuscules | environ 140 000 milliards | 4 à 5 ans |
| 12 lettres minuscules | environ 95 millions de milliards | 3 000 ans |
| 4 mots tirés au sort dans une liste de 7 700 | environ 3,5 millions de milliards | 110 ans |
| 5 mots tirés au sort dans une liste de 7 700 | environ 27 milliards de milliards | hors d’atteinte |
| 20 caractères tirés au sort sur un alphabet complet | plus de 10 suivi de 36 zéros | hors d’atteinte |
Les hypothèses : un million d’essais par seconde, et une clé réellement tirée au hasard. Une clé construite à la main autour d’un prénom, d’une date ou d’un mot du dictionnaire s’effondre bien plus vite que ne le laisse croire sa longueur, car les listes de mots courants sont testées en premier.
Deux règles suffisent. Vingt caractères tirés au sort par un gestionnaire, ou cinq mots sans lien entre eux tirés au hasard et jamais choisis par soi-même. Et une clé différente pour chaque réseau diffusé : réseau principal, réseau des objets connectés, réseau des visiteurs.
Deux réglages qui ne servent à rien
Masquer le nom du réseau ne le rend pas invisible. Il circule en clair dans les trames d’association, et un appareil configuré pour un réseau masqué le réclame à voix haute partout où il passe. Le résultat est une perte de confort sans le moindre gain.
Le filtrage par adresse matérielle ne vaut pas mieux. Ces adresses circulent en clair, même sur un réseau chiffré, et se recopient en une commande. Ces deux réglages coûtent du temps et donnent un sentiment de protection sans fondement technique.
Séparer les objets connectés du reste du réseau
Le cloisonnement est le réglage qui rapporte le plus, une fois les bases posées. Le principe est simple : un objet connecté a besoin de joindre Internet, pas l’ordinateur portable ni le disque réseau du logement.
La plupart des box proposent un réseau invité. Il suffit de le détourner de son usage habituel et d’y placer les objets connectés, avec l’isolation des clients activée : les appareils de ce réseau ne se voient pas entre eux et ne voient pas le réseau principal. Sur un matériel plus complet, on obtient le même résultat avec un réseau virtuel dédié et quelques règles de filtrage.
Deux détails pratiques. Beaucoup d’objets connectés ne fonctionnent qu’en 2,4 GHz, et certains refusent l’appairage si le téléphone est en 5 GHz au même moment : il faut le basculer temporairement sur 2,4 GHz pendant l’installation. Par ailleurs, certaines fonctions locales, diffusion vers un téléviseur, découverte d’une imprimante, cessent de fonctionner entre deux réseaux isolés. On garde donc sur le réseau principal les appareils qui doivent dialoguer entre eux.
Ne pas publier un flux vidéo sur Internet
La redirection de port vers une caméra, pour la consulter depuis l’extérieur, est le réglage à éviter. Un service ainsi publié est repéré en quelques heures par les moteurs qui indexent les adresses publiques, et les identifiants d’usine de ces appareils circulent librement. La consultation à distance passe par le service en ligne prévu par le constructeur, ou par un tunnel chiffré ouvert vers son propre réseau, jamais par une ouverture directe.
Les comptes qui pilotent les objets
Un objet connecté n’est pas plus solide que le compte qui le commande. Ce compte est souvent créé à la va-vite, avec un mot de passe déjà utilisé ailleurs, et il donne accès à des enregistrements, à un historique de présence ou à une serrure.
- Un mot de passe unique par service, stocké dans un gestionnaire. La réutilisation reste la première cause de compromission de compte.
- La double authentification partout où elle existe, de préférence par application de codes temporaires plutôt que par SMS.
- Une adresse e-mail dédiée aux comptes domotiques, distincte de l’adresse principale et non publiée.
- Une revue des partages. Les applications permettent d’inviter d’autres personnes. Un accès accordé à un ancien colocataire ou à un artisan reste actif tant qu’il n’est pas révoqué explicitement.
- La désactivation de l’accès distant pour les appareils dont on n’a pas l’usage en dehors du logement.
Entretenir : inventaire, mises à jour, appareils oubliés
Un réseau se dégrade tout seul, par accumulation. Trois habitudes suffisent à le tenir.
L’inventaire. La page des appareils connectés de la box liste les adresses attribuées. Une fois par trimestre, on la parcourt et on renomme chaque ligne avec un nom lisible. L’objectif n’est pas de repérer un appareil étranger, mais de constater que quatre appareils sur trente ne sont plus identifiables : ce sont ceux-là qu’il faut débrancher ou isoler.
Les mises à jour. On active la mise à jour automatique sur la box et sur chaque appareil qui le propose. Pour les autres, une vérification manuelle tous les trois à six mois suffit. Un correctif publié est aussi une information publique sur la faille qu’il corrige : le délai d’installation est la vraie fenêtre.
Les appareils en fin de vie. Un objet qui n’a rien reçu depuis trois ans ne recevra plus rien. Deux options seulement : le retirer, ou le laisser sur le réseau isolé des objets connectés en sachant ce qu’il vaut. La pire option consiste à le garder sur le réseau principal en supposant qu’il est encore suivi.
Un dernier réglage, discret mais utile : choisir explicitement le résolveur DNS dans la configuration de la box, et activer le filtrage de domaines s’il est proposé. Cela ne remplace aucun des points précédents, mais cela s’applique d’un coup à tous les appareils du logement.
Ce qu’il faut retenir
- Le mot de passe d’administration de la box commande tous les autres réglages : le changer en premier, seize caractères, différent de la clé Wi-Fi.
- Le WPA3 supprime le calcul de mot de passe hors ligne que permet le WPA2. Le WEP et le WPA avec TKIP n’ont plus aucune raison d’apparaître dans les menus.
- Une clé Wi-Fi se juge à sa longueur et à son caractère aléatoire, pas à ses caractères spéciaux : viser vingt caractères tirés au sort ou cinq mots sans lien.
- Désactiver l’appairage par code supprime un espace de recherche tombé à onze mille combinaisons à cause d’un défaut de conception.
- Fermer l’administration à distance et l’ouverture automatique de ports, vérifier qu’aucune redirection oubliée ne subsiste, et cocher le pare-feu IPv6, souvent séparé de celui du pare-feu IPv4.
- Masquer le nom du réseau et filtrer les adresses matérielles ne servent à rien : les deux informations circulent en clair.
- Placer les objets connectés sur un réseau séparé avec isolation des clients offre le rapport effort sur résultat le plus favorable, une fois les réglages de base posés.
- Ne pas publier un flux vidéo par une redirection de port : les services ainsi exposés sont indexés en quelques heures.
- Le compte qui pilote les objets mérite autant d’attention que le réseau : mot de passe unique, double authentification, revue des partages.
- Un appareil sans mise à jour depuis trois ans se retire ou s’isole. Le laisser sur le réseau principal est le pire des choix.