WiFi public : les vraies menaces qui vous guettent

Vous arrivez dans une gare ou un café, votre forfait data tousse un peu, et le réflexe pavlovien frappe : connexion immédiate au hotspot ouvert du coin. Mauvaise idée. Si le mythe du pirate de film qui siphonne tous vos mots de passe en clair en trois lignes de commande s'est heurté à la démocratisation salutaire de TLS/HTTPS, naviguer à poil sur un réseau sans fil inconnu reste une roulette russe numérique. Spoiler : vos données personnelles et vos métadonnées valent de l'or, et certains ne se gênent pas pour se servir.

L'essentiel

• Le chiffrement TLS protège le contenu, pas les métadonnées : Même avec HTTPS, vos requêtes DNS et les noms de domaines consultés (via le Server Name Indication non chiffré) restent visibles par l'opérateur du point d'accès ou un observateur sur le même réseau local.
• L'attaque « Evil Twin » reste redoutable : N'importe quel attaquant équipé d'un matériel d'audit peu onéreux peut diffuser un SSID légitime contrefait (ex. faux WiFi d'hôtel ou d'aéroport) pour intercepter le trafic en amont.
• Les portails captifs abusent du pistage : Nombre de réseaux dits gratuits exigent une inscription par adresse e-mail ou numéro de mobile, alimentant des courtiers en données publicitaires.
• La parade efficace existe : Privilégier le partage de connexion 4G/5G, désactiver la reconnexion automatique ou monter un tunnel VPN de confiance (idéalement personnel basé sur WireGuard).

Le mirage de la sécurité absolue par HTTPS

Pendant des années, les guides de sensibilisation ont brandi la menace du renifleur de paquets. Ouvrez Wireshark sur un WiFi ouvert non chiffré en 2012, et vous voyiez passer des identifiants non sécurisés. Aujourd'hui, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) et les standards du web imposent majoritairement HTTPS. Vos mots de passe bancaires ne transitent plus en clair sur la passerelle du bar PMU.

Pour autant, crier victoire relève de la naïveté pure. D'abord, le chiffrement de bout en bout ne masque pas l'adresse IP de destination ni les requêtes DNS standards si vous n'utilisez pas DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT). L'administrateur du réseau, légitime ou malveillant, sait exactement sur quelles plateformes vous surfez, à quelle fréquence et à quelle heure. Franchement, offrir l'historique complet de votre navigation à un intermédiaire non audité, c'est du foutage de gueule envers votre propre vie privée.

Evil Twin et faux portails : le piège du SSID dupliqué

Le risque le plus concret sur le terrain ne vient pas d'un exploit zero-day complexe sur votre système d'exploitation, mais de l'attaque du jumeau maléfique (Evil Twin). Vos smartphones et PC mémorisent les noms des réseaux (SSID) auxquels vous vous êtes déjà connecté. Par défaut, ils tentent de s'y reconnecter dès qu'un point d'accès diffuse ce même nom.

Un cyberattaquant assis à deux tables de vous peut cloner ce SSID sans mot de passe avec une antenne dédiée, forcer votre appareil à s'y associer, puis rediriger votre navigation vers de faux portails captifs destinés à récupérer vos identifiants ou à vous faire télécharger de faux exécutables de mise à jour. Les avis du CERT-FR rappellent régulièrement que le manque d'authentification mutuelle sur les réseaux ouverts permet ce type d'usurpation sans que l'utilisateur lambda ne remarque la supercherie.

Ce que ça change

Pour naviguer sereinement en situation de mobilité, changez immédiatement deux habitudes dans vos réglages :

• Désactivez la connexion automatique aux réseaux ouverts : Empêchez vos terminaux iOS, Android ou Linux de rejoindre spontanément un hotspot non sécurisé sans validation manuelle.
• Bannissez les VPN gratuits douteux : Évitez les extensions de navigateur ou applications mobiles gratuites qui revendent vos journaux de connexion. Déployez votre propre serveur WireGuard sur un VPS loué quelques euros par mois, ou tournez-vous vers des solutions open source réputées pour chiffrer l'intégralité du tunnel IP.
• Privilégiez le partage 4G/5G : Le réseau cellulaire offre un cloisonnement d'authentification nettement supérieur à n'importe quel WiFi public de gare. Si vous avez de la data, ne vous infligez pas un réseau tiers.

Sources et références

• ANSSI (ssi.gouv.fr) : Recommandations sur le nomadisme numérique et la sécurité des postes en déplacement.
• CERT-FR : Bulletins d'actualité et alertes relatives à la sécurité des réseaux sans fil.
• IETF (Internet Engineering Task Force) : Spécifications RFC sur le chiffrement TLS 1.3 et les protocoles DoH / DoT.