Dans un hall d'aéroport, un hôtel ou un café animé, le réflexe immédiat de la plupart des utilisateurs d'ordinateurs et de smartphones est de chercher une connexion sans fil. Lorsqu'un réseau ouvert nommé "Wifi_Aeroport_Gratuit" ou "Cafe_Client" s'affiche avec un signal maximal, la connexion s'effectue souvent sans hésitation. Pourtant, dans de nombreux lieux publics, cette borne n'appartient pas à l'établissement, mais à un individu malveillant situé à proximité.

Cette méthode d'attaque classique est appelée Evil Twin (le faux jumeau). En imitant à la perfection un réseau légitime, l'attaquant se positionne entre votre appareil et Internet afin d'intercepter les communications. Comprendre ce piège et chiffrer l'intégralité du trafic est indispensable pour sécuriser vos comptes personnels.

Fonctionnement technique d'une attaque Evil Twin

La mise en place d'un point d'accès pirate ne nécessite pas de moyens considérables. Un matériel compact associé à des logiciels spécialisés permet de créer un leurre convaincant en quelques instants.

1. Clonage de l'identifiant et de l'adresse matérielle

L'attaquant configure un point d'accès émettant le même nom de réseau (SSID) que la borne officielle. Pour tromper les appareils, il reproduit également l'adresse MAC (BSSID) du routeur du lieu et augmente la puissance d'émission afin d'attirer les connexions proches.

2. Déconnexion forcée des appareils cibles

Les systèmes mobiles se reconnectent automatiquement aux réseaux connus. L'attaquant exploite l'absence de chiffrement des trames de gestion en WPA2 en envoyant de faux paquets de désauthentification 802.11. Votre appareil est alors déconnecté du vrai réseau et bascule instantanément vers la borne Evil Twin au signal plus puissant.

3. Récupération d'identifiants via de faux portails captifs

Une fois l'appareil connecté, l'ensemble du trafic transite par la machine pirate. Un faux portail captif est fréquemment affiché pour réclamer des identifiants ou un numéro de chambre sous prétexte de valider l'accès. Parallèlement, des requêtes DNS falsifiées redirigent l'utilisateur vers des copies de sites web.

Pourquoi le protocole HTTPS ne suffit pas toujours

On pense souvent que l'usage généralisé du protocole HTTPS écarte tout risque sur un réseau public. Or, un attaquant situé au cœur du réseau exploite d'autres failles :

  • Exposition des métadonnées et requêtes DNS : L'extension SNI lors de la poignée de main TLS et les requêtes DNS circulent en clair. L'attaquant peut ainsi lister l'ensemble des services bancaires, messageries et outils professionnels sollicités.
  • Incitation à installer des certificats pirates : Les faux portails incitent parfois à installer un profil de configuration ou un certificat racine. Si l'utilisateur accepte, l'attaquant acquiert la capacité de déchiffrer les flux HTTPS sans déclencher d'alerte dans le navigateur.

Stratégies de défense contre les réseaux sans fil malveillants

Se prémunir contre les bornes clones exige de la vigilance et le recours systématique au chiffrement réseau.

Activer un tunnel WireGuard intégral

La protection la plus fiable contre une attaque Evil Twin consiste à lancer un VPN dès la connexion à un réseau sans fil :

  • Encapsulation complète du trafic : Avec VPNRice, chaque paquet — requêtes DNS, communications système en arrière-plan et données d'applications — est chiffré avant d'être diffusé dans les ondes.
  • Neutralisation des interceptions : Pour le faux point d'accès, la communication n'est qu'un flux impénétrable de datagrammes UDP vers une passerelle distante, interdisant toute extraction de données.
  • Résilience avec RiceGuard : Si le réseau public filtre les paquets VPN conventionnels, la technologie RiceGuard de VPNRice dissimule les en-têtes et ajoute un remplissage dynamique pour maintenir la liaison.

Bonnes pratiques sur les réseaux sans fil

En complément du chiffrement, adoptez ces réflexes essentiels :

  1. Désactiver la connexion automatique : Coupez l'option de connexion automatique aux réseaux connus dans les réglages de votre smartphone.
  2. Refuser les profils inconnus : N'installez jamais de profil de gestion ni de certificat réclamé par une connexion Wi-Fi publique.
  3. Contrôler vos paramètres de sortie : Vérifiez votre adresse externe à l'aide de notre outil gratuit Quel est mon IP. Pour approfondir la protection en déplacement, lisez notre dossier sur la sécurité sur le Wi-Fi public.

Télécharger VPNRice.