1.

Interface client (stations)

Les stations équipées d’une carte réseau sans fil (network interface controller ou wirless adaptater)
disponibles sous-différents formats (PCI, USB, PCMCIA …).

 Elle peut être :

 Intégrée sur la carte mère du poste (portable et de plus en plus sur les cartes
mères des machines de bureau)

 Enfichable dans le poste client comme une interface réseau filaire.

 Un adaptateur pour les périphériques ne pouvant pas recevoir de carte (im-

primante)

2.Point d’accès

 Élément central d'un réseau Wi-Fi de type "infrastructure". Il peut être assimiler à un
concentrateur filaire avec des fonctions supplémentaires.

 Différentes fonctions :

 Gestion de l’émission radio

 Gestion de réseau (Connexion au réseau filaire et Fonction "pont" Ethernet/

802.11…)

 Prise en charge de la norme 802.11 avec un aspect sécuritaire (authentifica-

tion et cryptage) qui n'existe pas avec un Switch.

 Logiciel de configuration sous la forme d'un serveur Web ou agent SNMP (à

travers le réseau et/ou prises USB ou série)

 Architecture d’un réseau WiFi

 Les réseaux Wi-Fi proviennent de la norme IEEE 802.11, qui définit une architecture cellu-
laire.

 Un groupe de terminaux munis d’une carte d’interface réseau 802.11 s’associent pour établir
des communications directes.

 Elles forment alors un BSS (Basic Service Set), à ne pas confondre avec le BSS (Base Station
Subsystem) des réseaux GSM.

 La zone occupée par les terminaux d’un BSS peut être une BSA (Basic Set Area) ou une cel-
lule.

 IEEE 802.11 : Fonctionnalités

 Architecture cellulaire : des stations mobiles utilisent des stations de base (points d’accès)
pour communiquer entre eux.

 Un réseau Wi-Fi est composé de un ou plusieurs points d’accès avec plus ou moins de sta-
tions mobiles équipées de cartes Wi-Fi.

 Taille du réseau : dépend de la zone de couverture du point d’accès, aussi appelé cellule.
  Une cellule unique constitue l’architecture de base de Wi-Fi, appelée BSS (Basic Service Set),
ou ensemble de services de bases.

 Architecture d’un réseau WiFi

 IEEE 802.11 : Architecture

Il existe deux types de topologies :

1. Le mode infrastructure

2. Le mode Ad hoc

2. Mode Infrastructure

3. Le réseau WiFi est composé de plusieurs BSS, chacun d’eux est relié à un système de distribu-
tion DS par l’intermédiaire de leur point d’accès (AP) respectif.

4. Un DS correspond en règle générale à un réseau Ethernet filaire.

5. Un groupe de BSS interconnectés par un système de distribution forme un ESS (Extented Ser-
vice Set), qui n’est pas très différent d’un sous-système radio de réseau de mobiles.

6. Le DS est responsable du transfert des paquets entre différents BSS d’un même ESS.

L’ESS peut fournir aux différentes stations mobiles une passerelle d’accès vers un réseau fixe, tel
qu’Internet

 Client WiFi

 Possède un matériel avec une interface sans fil

 Point d'accès WiFi (AP)

 Gère les liaisons sans fil suivant la norme WiFi

 Le plus souvent connecté à Internet via un réseau filaire

 BSS (Basic Service Set)

 L’ensemble des stations radio à portée d’un point d’accès.

 Chaque BSS a un identifiant (BSSID), qui est l’adresse MAC du point d’accès.

 ESS (Extended Service Set)

 Interconnecte plusieurs BSS

 Identifié par un nom ESSID de 32 carac. max, appelé simplement SSID (ex : livebox-
12d3, eduroam, wifi-guest,...)

 Il est configuré manuellement sur les stations clients ou automatiquement par détec-
tion grâce à sa diffusion via le point d’accès.

 Itinérance (roaming)

 Un utilisateur nomade passe de façon transparente d'un BSS à l’autre.

 IEEE 802.11 : Architecture ESS et handover

  Connexion en mode infrastructure

 Authentification

 La station désirant entrer sur le réseau Wi-Fi doit s'authentifier sur l'AP. Si le réseau
est ouvert, cette phase est obligatoirement un succès.

 Les mécanismes actuels demandent un mot de passe, voire différents challenges

pour s'authentifier sur

 un AP. (cf WEP, le WPA et le WPA2)

 Association

 Une fois authentifiée, une station est associée et peut commencer à émettre des
trames sur le réseau.

 Toutes les trames contiennent le SSID de l'ESS : deux réseaux différents peuvent par-
tager la même fréquence, s'ils n'ont pas le même SSID

L'AP relaiera ces informations aux destinataires concernés

Les services en mode infrastructure

En mode infrastructure, les services suivant sont essentiels:

 L'itinérance ou le roaming correspond au fait qu'un utilisateur nomade passe de façon trans-
parente d'un BSS à l'autre.

 Association – désassociation : Une station qui souhaite utiliser le réseau doit s’associer avec
le point d’accès. Grâce à cette association, la station fait partie du BSS du point d’accès. Elle
peut alors, utiliser les services du point d’accès. L’attachement entre la station et le point
d’accès est rompu grâce à la désassociation.

 Distribution: C’est ce service qui aiguille les trames. Il permet à une station d’envoyer des
trames à travers le système de distribution (DS) d’un BSS ou d’un ESS.

 Intégration : Le service d’intégration permet aux différents points d’accès de communiquer

par un canal différent de 802.11, le plus souvent il s’agit d’un réseau local.

 Mode Ad-Hoc

Le mode Ad-Hoc

 Un réseau en mode ad-hoc est un groupe de terminaux formant un ensemble de services de

base indépendants (en anglais independant basic service set, IBSS).

 Dans ce mode, les machines se connectent les unes aux autres dans une topologie point à
point (peer to peer).

 Chaque station peut établir une communication avec n’importe quelle autre station dans
l’IBSS, sans être obligée de passer par un point d’accès.

 Chaque machine joue à la fois les rôles de client et de point d'accès.

 Mode Ad-hoc
  Représente un groupe de PC (jusqu'a 5) avec chacun un adaptateur sans-fil connecté entre
eux via le signal radio et sur le même canal, sans point d’accès.

 Dans ce mode, le réseau fonctionne de façon complètement distribué.

 La norme désigne l’ensemble des stations à portée radio mutuelle par l'appellation IBSS (In-
dependent Basic Service Set) .

 une station peut partager un accès à Internet : le réseau fonctionne comme un BSS

La sécurité en Wi-Fi

DEFINITION

 Les réseaux sans fil diffusant les messages échangés par ondes radioélectriques, sont
particulièrement sensibles aux écoutes clandestines

 Pour cela il faut protège le canal contre toute type d’écoute en utilisant des méthodes de
sécurité.

 Le groupe de travail 802.11 a mis au point le des protocoles, dont les mécanismes s’appuient
sur le chiffrage des données et l’authentification des stations.

 Parmi ces protocoles on trouve :

 WEP (Wired Equivalent Privacy).

 WPA (Wi-Fi Protected Access).

 La sécurité

L'authentification et la confidentialité (cryptage) des échanges sur un réseau WiFi a beaucoup évo-
lué :

 La technique préconisée à l'origine par la norme 802.11 est le WEP (Wired Equiva-
lent Privacy). Plusieurs défauts et faiblesses ont été décelés dans cette technique.

 En 2003, apparition du WPA (WiFi Protected Access), amélioré…

 En 2004, avec le WPA2 (normalisé par 802.11i et certifié par la WiFi Alliance)

 Le WEP (Wired Equivalent Privacy)

C’est un protocole qui permet d’éviter le écoute clandestine, en chiffrant les communications. Il
peut être utilisé pendant la phase d’authentification ou encore pour chacune des trames de données.
Il repose sur l’algorithme à clé symétrique RC4.

 Le WEP procède en 3 étapes :

1. Génération d'une clé pseudo aléatoire à partir d’une clé partagée.

2. Génération d'un contrôle d'intégrité

3. Génération du message crypté qui est transmis

  WEP (Wired Equivalent Privacy)

 Génération d'un clé pseudo aléatoire

Les deux partenaires (point d'accès et station) possède une clé privée de 40 ou 104
bits.
Cette clé est obtenue par la concaténation d’une clé secrète de 40 ou 104 bits et d’un
vecteur d’initialisation IV (Initialization Vector) de 24 bits. La taille de la clé finale est
de 64 ou 128 bits. À partir de la clé obtenue, l’algorithme RC4 (Ron’s Code 4) réalise
le chiffrement des données en mode flux .

1. Génération d'un contrôle d'intégrité

Le contrôle d'intégrité sera recalculé par le destinataire pour savoir si le message n'a
pas subi de modification (intentionnelle ou non)

2. Génération d'un contrôle d'intégrité

Le contrôle d'intégrité sera recalculé par le destinataire pour savoir si le message n'a
pas subi de modification (intentionnelle ou non)

3. Génération du message crypté qui est transmis

Le message transmis sera l'association du résultat d'un simple XOR entre les résultats
des étapes 1 et 2 accompagné du vecteur d’initialisation IV (en clair)

3. Processus de chiffrement

4. Limitation de WEP

5. On constate que la séquence aléatoire utilisé en chiffrement et au déchiffrement est fixe

(Statique), alors si un pirate arrive à détecter cette séquence il va déchiffrer les infos qui cir-
cule. C’est pour cela que l’évolution du sécurité vient à proposer la WPA qui se base sur une
séquence aléatoire dynamique.

WPA et WPA2

 WPA et WPA2 (WiFi Protected Access)

 WPA basé sur TKIP (Temporal Key Integrity Protocol) est un protocole de communi-
cation utilisé pour la protection et l'authentification des données transitant sur un ré-
seau WiFi.

 WPA doit être considéré comme une étape intermédiaire (amélioration de WEP)
avant la mise en place de WPA2.

 Mais l'aspect innovant de WPA qui n'intègre pas la sécurité 802.11i est l'utilisation du
protocole TKIP (Temporal Key Integrity Protocol) qui assure une modification dyna-
mique de la clé de cryptage à chaque paquet (tous les 10ko de données échangés).

 WPA2 préconise d'utiliser CCMP (Counter-Mode/CBC-Mac protocol ) à la place de

PKIP.

 La sécurité
  WPA et WPA2 (WiFi Protected Access)

 TKIP continue d'utiliser l'algorithme RC4 alors que CCMP utilise l'algorithme AES (Ex-
tensible Authenfication Protocol)

 TKIP utilise une clé de 128 bits et un vecteur d'initialisation de 48 bits (au lieu des 24
bits dans WEP)

 WPA et WPA2 utilisent un contrôle d'intégrité nommé MIC (Message intégrity Code)
au lieu du CRC utilisé par le WEP (MIC est prénommé Michael)

 TKIP est donc plus performant que le WEP.

 Solutions actuelles : serveurs d’authentification + tunnels

 IEEE 802.1x : contrôleur + serveur d’authentification

 réseaux privés virtuels (VPN)

 Utilisation de serveur RADIUS

gestion dynamique des clefs : modifier la clef périodiquement