Wifi public : ce que l'on risque vraiment

Le wifi public a longtemps été présenté comme un danger absolu. La réalité est plus nuancée, et il vaut mieux comprendre le risque réel que de répéter des consignes sans savoir pourquoi.

Ce qui a changé avec le HTTPS

Il y a dix ans, la majorité des sites circulaient en clair. N'importe qui sur le même réseau pouvait lire vos identifiants avec un outil accessible à tous.

Aujourd'hui, la quasi-totalité du web est en HTTPS. Le contenu de ce que vous échangez est chiffré entre votre navigateur et le site. Personne sur le réseau ne peut lire votre mot de passe ni le contenu de vos messages.

C'est un progrès considérable, et il faut le reconnaître plutôt que d'agiter des peurs périmées.

Ce qui reste un vrai risque

Trois choses, dans l'ordre de probabilité.

Le faux point d'accès

C'est aujourd'hui le risque principal, et il est simple à mettre en œuvre.

Un attaquant crée un réseau wifi au nom crédible : Hotel_Invites_Free, Aeroport_WiFi_Gratuit. Vous vous y connectez sans réfléchir, parce que le nom correspond à ce que vous attendez.

Tout votre trafic passe alors par son matériel. Le HTTPS empêche toujours de lire le contenu, mais l'attaquant voit quels sites vous ouvrez, peut vous rediriger vers des pages falsifiées, et peut afficher un faux portail de connexion qui vous demande vos identifiants.

Les métadonnées

Même avec le HTTPS, l'opérateur du réseau voit les noms de domaine que vous demandez, les horaires et les volumes. Ce n'est pas le contenu, mais cela dresse un portrait précis.

Sur le wifi d'un hôtel, cela signifie que l'établissement, ou son prestataire, peut savoir quels services vous utilisez.

Le portail captif

La page de connexion à un wifi public est souvent le maillon faible : elle demande une adresse email, parfois plus, et rien ne garantit ce qu'elle en fait.

Les réflexes qui suffisent

Vérifiez le nom exact du réseau auprès de l'établissement plutôt que de choisir celui qui semble correspondre. Un caractère de différence suffit.

Désactivez la connexion automatique aux réseaux ouverts. Votre téléphone cherche en permanence les réseaux qu'il connaît, et se connecte sans vous demander. C'est exactement ce qu'un faux point d'accès attend.

Activez un VPN avant de naviguer. C'est la protection la plus complète : même sur un réseau hostile, votre trafic devient illisible et non modifiable.

Préférez le partage de connexion de votre téléphone quand c'est possible. Votre réseau mobile est nettement plus sûr qu'un wifi ouvert.

Ce que le VPN règle exactement

Sur un wifi public, le VPN chiffre l'intégralité de votre trafic entre votre appareil et le serveur du fournisseur. Conséquences directes :

• l'opérateur du réseau ne voit plus quels sites vous ouvrez
• un faux point d'accès ne peut ni lire ni modifier votre trafic
• un portail captif qui tenterait une redirection échoue

Deux conditions pour que cela fonctionne : le VPN doit être actif avant que vous ne commenciez à naviguer, et le kill switch doit être activé, sans quoi une coupure vous exposerait sans que vous le remarquiez. Voir le guide du kill switch.

Faut-il un VPN en permanence

Non, et je ne vais pas vous dire le contraire pour vendre un abonnement.

Sur votre box, à la maison, le bénéfice est faible : vous contrôlez le réseau, et le seul observateur est votre fournisseur d'accès.

Sur un réseau que vous ne contrôlez pas, le bénéfice est net et immédiat. C'est le cas d'usage le plus solide d'un VPN, celui que je mets en avant dans le guide complet.

Ma recommandation

Si vous voyagez souvent, regardez aussi meilleur VPN pour le voyage, qui traite des contraintes propres aux déplacements.