On s’obstine tous à mettre nos objets connectés sur le même Wi-Fi que nos ordinateurs, alors que c’est un second réseau de la box qui décide de ce qu’un intrus atteint

Ampoules connectées, prises intelligentes, caméras de surveillance, enceintes vocales : ces objets rejoignent presque tous le Wi-Fi principal du foyer, celui-là même qui héberge l’ordinateur du télétravail, le NAS familial ou le compte bancaire ouvert sur smartphone. Or les box internet proposent depuis des années un second réseau, souvent ignoré, spécifiquement pensé pour contenir ces appareils. L’ANSSI recommande explicitement de connecter ces objets à un réseau Wi-Fi distinct et dédié. Le problème n’est pas technique, il est comportemental : ce réseau existe, il est déjà installé sur votre box, et presque personne ne l’active pour les bonnes raisons.

Le maillon faible n’est pas votre PC, c’est votre thermostat

Le raisonnement paraît contre-intuitif au premier abord. On protège son ordinateur avec un antivirus, on verrouille son smartphone avec une empreinte digitale, mais on branche une ampoule à 15 euros sur le même réseau sans se poser de question. Les objets connectés IoT présentent un profil de sécurité souvent faible : une ampoule connectée, un thermostat ou une sonnette vidéo bon marché peuvent embarquer des logiciels peu mis à jour, voire des portes dérobées, et les connecter au même réseau que vos ordinateurs crée un vecteur d’attaque supplémentaire. C’est exactement la logique inverse d’un coffre-fort qu’on laisserait ouvert parce que la porte d’entrée, elle, est bien verrouillée.

Le risque ne s’arrête pas à l’objet compromis lui-même. Un objet connecté peu sécurisé peut servir de tremplin vers d’autres appareils, ordinateur, smartphone, NAS, imprimante ou compte bancaire consulté depuis le Wi-Fi familial, et une ampoule connectée ou une prise intelligente mal mise à jour peut devenir le maillon faible d’un réseau utilisé pour des activités sensibles. Une caméra de sécurité mal configurée illustre bien cette porosité : une caméra mal protégée peut devenir une fenêtre ouverte sur votre vie privée, un piratage particulièrement intrusif car il touche à l’intimité du foyer. L’ANSSI ne se contente pas d’un conseil isolé sur ce point : elle préconise d’isoler les objets connectés sur un réseau séparé du réseau principal, et le constat vaut aussi bien pour les particuliers que pour les entreprises, où l’agence indique qu’il est important que le système des objets connectés soit cloisonné des autres systèmes d’information, et préconise une isolation par VLAN dédiés et filtrés au niveau des commutateurs.

Ce fameux réseau invité, techniquement un second Wi-Fi

C’est là que le fameux réseau invité entre en scène. Loin d’être un simple gadget pour dépanner un cousin en visite, il fonctionne comme une cloison logique entre deux mondes. Le réseau invité est un deuxième réseau sans fil diffusé par votre box, avec son propre nom (SSID) et son propre mot de passe, et les appareils qui s’y connectent accèdent à Internet, mais ne voient pas vos ordinateurs, votre imprimante ou votre stockage partagé. Concrètement, une caméra connectée sur ce réseau peut toujours envoyer ses images vers le cloud du fabricant, mais elle ne pourra jamais scanner le reste de la maison numérique pour y chercher une faille.

L’activation se fait en général sans matériel additionnel. La plupart des box récentes intègrent cette fonction, de la Livebox à la Freebox, et elle se règle en quelques minutes depuis l’interface de la box ou l’application mobile de l’opérateur, sans matériel supplémentaire ni abonnement à part. Chez Orange, la manipulation est balisée : l’assistance détaille la procédure d’activation directement sur son site. Chez Free, l’emplacement est précis : le réseau invité se crée dans Freebox OS, à la page mafreebox.freebox.fr, via la rubrique Réseau local puis Wi-Fi invité, avec une durée d’accès réglable. Attention toutefois à une confusion fréquente chez les abonnés Free : l’option « Partager mes accès WiFi » de l’application Freebox Connect transmet les identifiants du réseau principal par QR code ou lien temporaire et n’apporte donc aucune isolation, contrairement au réseau invité. Deux fonctions qui se ressemblent, deux niveaux de sécurité radicalement différents.

La limite du bricolage grand public

Le réseau invité reste malgré tout un compromis, pas une solution professionnelle. La plupart des box grand public ne permettent qu’un seul réseau isolé, sans distinction fine entre visiteurs occasionnels et parc d’objets connectés. On ne peut généralement créer qu’un seul réseau invité, sans séparation possible entre caméras, IoT et invités, et les règles de pare-feu restent limitées, en tout ou rien. Les box françaises grand public ne facilitent pas non plus la segmentation plus poussée par VLAN, réservée en théorie aux techniciens : la majorité des Livebox, Freebox et SFR Box standards ne permettent pas de créer des VLANs via leur interface. Une exception notable côté Free : sur les Freebox Delta et Ultra, Freebox OS permet de segmenter les SSID via des VLANs depuis le firmware 4.10.1, une fonction qui reste absente sur les modèles Livebox équivalents. Pour la majorité des foyers, l’arbitrage recommandé reste pragmatique : utiliser l’isolation des appareils via réseaux invités ou VLANs pour les technophiles, un compromis sécurité-simplicité jugé le meilleur pour la majorité des utilisateurs non-techniques.

Reste un détail qu’on oublie systématiquement une fois le réseau invité activé : le mot de passe du terminal lui-même. Une ampoule ou une prise connectée conserve souvent l’identifiant et le code fournis en usine, identiques pour des milliers d’exemplaires vendus dans le monde. Changer les mots de passe par défaut et installer les mises à jour de vos objets connectés dès leur sortie reste un réflexe aussi indispensable que la segmentation réseau, faute de quoi la cloison la mieux construite protège un appareil qui, lui, reste grand ouvert.

Sources : selectra.info | mjsolution.fr