Vous traversez le hall d'une station de métro bondée, votre smartphone soigneusement rangé dans votre manteau. Vous n'avez pas déverrouillé l'écran, ouvert la moindre application, ni rejoint de borne Wi-Fi publique. Pourtant, toutes les quelques secondes, des impulsions radio invisibles s'échappent de votre appareil dans toutes les directions. Assis sur un banc à proximité, un observateur muni d'un petit récepteur sans fil intercepte des trames de gestion non chiffrées circulant dans l'air : Requête de sonde (Probe Request) : Nom de réseau "Maison_5G", Requête de sonde : Nom de réseau "Bureau_Etage_3", Requête de sonde : Nom de réseau "Hotel_Riviera_Vacances".

En quelques secondes, un programme automatisé croise cet ensemble précis de noms avec des répertoires cartographiques publics tels que WiGLE. Le résultat révèle où se situe votre logement, le bâtiment où vous travaillez et l'établissement hôtelier où vous avez séjourné récemment. Même sans jamais vous connecter volontairement à un réseau public, votre appareil mobile diffuse une trace géographique permanente sur les ondes radio environnantes.

[Votre smartphone (Wi-Fi actif)]
       │
       │  1. Requête 802.11 Probe Request non chiffrée (Balayage actif)
       │     Contenu : "Maison_5G", "Bureau_Etage_3"
       ▼
[Récepteur espion / Faux point d'accès malveillant]
       │
       │  2. Extraction de la liste des noms de réseaux (SSID)
       ▼
[Interrogation des répertoires géographiques (ex: WiGLE.net)]
       │
       ├─► Croisement des réseaux ➔ Détermination précise du domicile et du travail
       └─► Fausse réponse émise ➔ Connexion forcée au faux réseau (Attaque KARMA)

Le fonctionnement du balayage actif 802.11 et la liste PNL

Pour comprendre pourquoi les smartphones émettent ces noms dans les airs, il convient d'analyser la façon dont les équipements détectent les réseaux sans fil. Selon la norme IEEE 802.11, les appareils mobiles recherchent les points d'accès par deux procédés :

  1. Le balayage passif (Passive Scanning) : L'appareil écoute silencieusement les fréquences, dans l'attente des trames balises (Beacon frames) émises par les bornes Wi-Fi environ dix fois par seconde. Bien qu'il respecte la confidentialité, ce procédé est lent et consomme une quantité importante d'énergie lors des déplacements.
  2. Le balayage actif (Active Scanning) : Pour accélérer la connexion et préserver la batterie, le terminal transmet une trame de gestion appelée Requête de sonde (Probe Request). Les bornes actives sur cette fréquence répondent par une Réponse de sonde (Probe Response), permettant d'engager la négociation en une fraction de seconde.
+-------------------------------------------------------------------+
|               Structure de trame 802.11 Probe Request             |
+-------------------------------------------------------------------+
| Contrôle de trame | Durée | MAC destination | MAC source | BSSID  |
+-------------------------------------------------------------------+
| Contrôle de séquence | Capacités HT | Paramètres balisés (SSID...) |
+-------------------------------------------------------------------+

La vulnérabilité réside dans les paramètres balisés. Le système d'exploitation conserve un registre interne appelé Liste des réseaux préférés (Preferred Network List - PNL). Cette liste contient l'ensemble des réseaux Wi-Fi auxquels vous vous êtes déjà connecté, avec leurs clés d'accès.

Lorsque l'appareil cherche à retrouver des réseaux connus—en particulier les réseaux masqués (Hidden SSID) qui ne diffusent pas de balises ouvertes—il envoie des requêtes de sonde dirigées. Au lieu de demander globalement "Quels réseaux sont présents ?", il interroge nommément l'environnement : "Le réseau 'Maison_5G' est-il disponible ? Le réseau 'Bureau_Etage_3' est-il ici ?"

Ces trames 802.11 circulant sans protection cryptographique, tout récepteur situé à portée radio peut les intercepter et enregistrer ces demandes.

Pourquoi la randomisation d'adresse MAC reste insuffisante

Les concepteurs de systèmes ont mis en place la randomisation d'adresse MAC pour empêcher le pistage physique basé sur l'identifiant matériel de la carte réseau. Lors du balayage, l'appareil génère périodiquement une adresse MAC synthétique temporaire.

Cependant, masquer l'en-tête de liaison de données ne règle en rien la divulgation du contenu de la requête :

En-tête MAC couche 2 :  [ RANDOMISÉ : 3a:7f:12:9b:04:e1 ]  <-- Masqué par le système
Charge utile couche 7 : [ DIRIGÉ : "Resid_Privee_Apt_12" ] <-- Texte en clair exposé

1. La charge utile trahit l'adresse aléatoire

Même si votre téléphone renouvelle son adresse MAC toutes les quinze minutes, il continue d'émettre la même collection de noms de réseaux privés issus de sa mémoire PNL. L'observateur ignore l'adresse matérielle changeante et regroupe les émissions selon leur empreinte nominale spécifique.

2. Empreinte des éléments d'information

Les requêtes Probe Request contiennent de multiples champs techniques sur les débits supportés et les options des puces radio. L'ordonnancement de ces données compose une signature matérielle constante, indépendante de l'adresse MAC.

3. La singularité des combinaisons de réseaux

Des désignations usuelles comme "Wifi-Public-Gare" sont partagées par des millions de personnes, mais l'association de deux ou trois réseaux privés spécifiques devient statistiquement unique. Une personne recherchant à la fois l'accès d'un cabinet professionnel précis et d'une résidence donnée peut être distinguée avec certitude au sein d'une foule.

Localisation géographique via les bases de données radio

Le risque principal lié à la diffusion de ces noms réside dans le repérage physique des usagers. Depuis plus de deux décennies, des cartographies collaboratives ont indexé les infrastructures sans fil mondiales par balayage d'ondes (War-driving).

Des répertoires ouverts tels que WiGLE référencent des centaines de millions d'accès Wi-Fi associés à leurs coordonnées géographiques exactes :

+-------------------------------------+      +-------------------------------+
| Noms de réseaux captés :            | ---> | Recherche dans la base WiGLE  |
| - "Residence_Les_Pins_BatB"         |      | (Centaines de millions d'AP)  |
| - "Cabinet_Medical_Pasteur"         |      +---------------+---------------+
+-------------------------------------+                      │
                                                             ▼
                                             +-------------------------------+
                                             | Coordonnées géographiques :   |
                                             | Domicile : 48.8566° N, 2.3522°|
                                             | Bureau : 48.8738° N, 2.2950° E|
                                             +-------------------------------+

Dès qu'un observateur intercepte votre liste d'émissions, il effectue une requête dans ces registres. Si vos réseaux y figurent, il découvre les adresses de votre lieu de vie et de travail sans jamais avoir accédé physiquement à votre terminal.

L'attaque KARMA et les faux points d'accès malveillants

La diffusion de vos réseaux enregistrés vous expose également à des agressions actives, notamment l'attaque KARMA.

[Smartphone de la cible] ──► Requête Probe : "Hotel_Station_Wifi"
                                  │
[Faux point d'accès espion] ◄─────┘
        │
        ├─► Réponse immédiate : "Oui, je suis 'Hotel_Station_Wifi' !"
        ▼
[Connexion automatique] ──► Le terminal s'associe en toute confiance
        │
        ▼
[Interception des flux / Détournement DNS / Tentatives de capture]

Lorsqu'une borne malveillante capte une requête dirigée vers un réseau ouvert ou déjà connu, elle émet aussitôt une réponse affirmant être ce réseau. Convaincu de retrouver une borne légitime, le smartphone s'y associe automatiquement, sans intervention de votre part.

Une fois connecté, l'attaquant maîtrise la passerelle réseau locale. Il peut tenter de détourner les résolutions DNS, observer les échanges non protégés ou diffuser des portails captifs falsifiés pour dérober des identifiants.

Comparaison des modes de découverte sans fil

Mode d'exploration radio Niveau d'exposition Impact batterie Rapidité de liaison Vulnérabilité aux attaques KARMA
Balayage actif générique Modéré : requêtes globales sans nom de réseau Faible Rapide Faible : aucun nom personnel transmis
Balayage actif dirigé Critique : diffusion ouverte des réseaux mémorisés Très faible Maximale Très élevée : usurpation et traçage aisés
Écoute passive seule Haute confidentialité : aucune onde émise Plus lourd Plus lente Nulle : terminal indétectable aux scanners
Tunnel sécurisé RiceGuard Protection totale : chiffrement sur réseau inconnu Neutre Permanente Risque neutralisé : données illisibles

Architecture défensive : neutraliser les risques avec RiceGuard

Bien que limiter l'émission des requêtes Probe nécessite de modifier certains réglages, la protection contre les faux réseaux exige un chiffrement solide de couche réseau. Si un téléphone s'associe par mégarde à une borne hostile, un tunnel chiffré garantit qu'aucune information exploitable ne sera dérobée.

[Système d'exploitation mobile]
                 │
                 ▼ (Connexion involontaire à un faux réseau KARMA)
┌─────────────────────────────────────────────────────────────┐
│ Barrière cryptographique RiceGuard (Sur votre appareil)     │
│                                                             │
│ 1. Capture intégrale des paquets IP sur l'interface TUN     │
│ 2. Encapsulation des données en ChaCha20-Poly1305           │
│ 3. Arrêt d'urgence du trafic (Kill Switch) en cas de coupure│
└──────────────────────────────┬──────────────────────────────┘
                               │
                               ▼ (Flux de données WireGuard chiffré)
[Borne malveillante / Attaquant] ◄── Seuls des paquets chiffrés sont visibles
                               │   Détournement DNS et écoute impossibles
                               ▼
[Passerelle sécurisée VPNRice]
                               │
                               ▼ (Déchiffrement et transmission web)
[Destination finale sur Internet]

VPNRice écarte les dangers liés aux écoutes radio grâce au protocole RiceGuard :

1. Isolation complète face aux passerelles douteuses

Lorsqu'un équipement est attiré vers une fausse borne Wi-Fi, celle-ci tente d'observer les requêtes web ou d'altérer les réponses DNS. RiceGuard opère au niveau de la couche réseau (Layer 3) via une interface virtuelle TUN.

Chaque paquet est immédiatement chiffré au moyen des algorithmes ChaCha20-Poly1305 ou AES-256-GCM. L'administrateur de la borne hostile n'observe qu'un flux uniforme de datagrammes UDP chiffrés. Il ne peut ni lire vos mots de passe, ni détourner votre navigation, ni injecter de données frauduleuses.

2. Commutateur d'arrêt d'urgence (Kill Switch)

Certaines bornes frauduleuses cherchent à perturber le tunnel VPN pour contraindre l'appareil à émettre des données en clair. VPNRice intègre un dispositif Kill Switch directement relié au pare-feu du système. Si le tunnel vacille lors d'un basculement de réseau, le pare-feu bloque instantanément toute émission extérieure.

3. Résolveurs DNS privés et protégés

Les faux réseaux recourent souvent à l'empoisonnement DNS pour rediriger les internautes vers des pages piégées. RiceGuard achemine toutes les demandes de résolution vers ses propres serveurs sans journalisation situés au cœur du tunnel chiffré, ignorant les configurations de la borne locale.

Mesures recommandées pour sécuriser vos liaisons sans fil

  1. Supprimez les réseaux obsolètes : Nettoyez régulièrement la liste des réseaux mémorisés dans les réglages de votre smartphone afin d'effacer les anciennes bornes d'hôtels ou d'aéroports.
  2. Désactivez la connexion automatique : Réglez votre équipement pour qu'il exige une validation manuelle avant toute nouvelle association Wi-Fi.
  3. Coupez le Wi-Fi en déplacement : Lors de vos trajets dans les transports en commun ou les lieux publics denses, désactivez la puce Wi-Fi pour stopper le balayage actif.
  4. Évitez de masquer votre SSID domestique : Ne configurez pas votre box pour masquer son nom de réseau, car cette méthode force les téléphones à émettre en permanence des requêtes dirigées en public.
  5. Conservez RiceGuard actif en permanence : Activez systématiquement VPNRice dès que vous quittez votre domicile pour préserver l'intégrité de vos flux sur les réseaux extérieurs.

La maîtrise des spécificités des protocoles sans fil permet d'adopter des habitudes de protection efficaces et de préserver votre vie privée au quotidien.