Faux Wi-Fi public (evil twin) : comment ça marche et comment le repérer

Vous vous installez dans un café, ouvrez la liste des réseaux et voyez Cafe_WiFi. Vous le touchez, acceptez peut-être une page de connexion, et vous voilà en ligne. Ce que vous ne voyez pas, c'est si ce réseau appartient au café ou à quelqu'un à la table d'à côté, avec un ordinateur portable et un adaptateur Wi-Fi bon marché.

Ce second réseau est un faux Wi-Fi, aussi appelé « jumeau maléfique » (evil twin) : un point d'accès qui copie le nom d'un vrai réseau. Le procédé est ancien et marche toujours, à cause de la façon dont le Wi-Fi décide à quel réseau se fier.

Pourquoi un téléphone tombe dans le piège d'un nom copié

• Un réseau Wi-Fi se reconnaît à son nom. Sur un réseau ouvert, rien ne prouve que le point d'accès nommé Cafe_WiFi est celui du café. N'importe qui peut diffuser n'importe quel nom.
• Le téléphone se reconnecte aux noms qu'il connaît. Si vous avez déjà utilisé Aeroport_WiFi_Gratuit, votre téléphone peut rejoindre n'importe quel réseau portant ce nom, n'importe où, sans vous demander.
• Le signal le plus fort l'emporte souvent. Un jumeau plus proche de vous que le vrai routeur paraît le meilleur choix.
• Un mot de passe affiché au mur n'y change rien. Si tous les clients le connaissent, l'attaquant aussi, et il peut créer un jumeau avec le même nom et le même mot de passe.

Ce qu'un faux point d'accès peut voir et faire

Celui qui gère un point d'accès, vrai ou faux, se trouve entre vous et Internet. Sur un faux, cette personne est malveillante.

Le tableau contient aussi la bonne nouvelle. Presque tout ce que vous faites aujourd'hui passe par HTTPS, qui protège le contenu des pages ; c'est pourquoi la Commission fédérale du commerce américaine juge le Wi-Fi public « généralement sûr » pour ce contenu. Beaucoup de sites utilisent en plus HSTS (RFC 6797), qui oblige le navigateur à refuser toute connexion non sécurisée vers eux et à ne pas vous laisser ignorer une erreur de certificat. Le vrai pouvoir d'un jumeau tient au reste : la liste des lieux que vous visitez, les sites sans HTTPS et ce que vous tapez sur ses pages. Notre article sur ce que voit le propriétaire du Wi-Fi détaille cette liste, et l'outil Ce que voit votre réseau Wi-Fi la montre sur votre propre connexion.

Les signaux d'alerte

Aucun ne prouve une attaque, mais chacun est une raison de vérifier :

• Deux réseaux du même nom, l'un ouvert et l'autre avec un cadenas, ou le même nom deux fois avec des signaux différents.
• Une page de connexion trop gourmande : le mot de passe de votre messagerie ou d'un réseau social, un numéro de carte pour un Wi-Fi « gratuit », une appli ou un profil à installer.
• Une alerte de certificat dans le navigateur sur un site qui fonctionne d'habitude. Partez, ne passez pas outre.
• Un nom presque juste : Aeroport-WiFi-Gratuit alors que le réseau officiel s'appelle Aeroport WiFi Gratuit.
• Des sites un peu différents de d'habitude, ou une page de connexion de votre banque à une adresse que vous ne reconnaissez pas.

Se protéger, étape par étape

1. Demandez au personnel le nom exact du réseau et s'il y a un mot de passe. Les affiches et les tickets de caisse aident aussi.
2. Empêchez la connexion automatique aux réseaux ouverts. Sur Android, ouvrez Paramètres › Réseau et Internet › Internet, touchez la roue dentée à côté d'un réseau public enregistré et désactivez Connexion automatique, ou touchez Supprimer après votre voyage.
3. Ne tapez jamais le mot de passe d'un compte ni un numéro de carte sur une page de connexion Wi-Fi. La page d'un vrai café ou hôtel vous demande d'accepter des conditions, ou un numéro de chambre ou un code imprimé sur le ticket.
4. Prenez les alertes de certificat pour un panneau stop. C'est souvent le seul signe visible que quelqu'un s'est glissé au milieu.
5. Passez par la 4G/5G pour les opérations sensibles, comme la banque ou un changement de mot de passe, quand c'est possible. C'est aussi ce que recommande Cybermalveillance.gouv.fr.
6. Utilisez un VPN qui se connecte tout seul sur les réseaux auxquels vous ne faites pas confiance, avec le kill switch d'Android activé pour que rien ne fuie pendant la connexion. Notre article sur le kill switch sur Android explique comment faire.

Ce qu'un VPN fait, et ne fait pas, face à un faux Wi-Fi

Il fait :

• Chiffrer tout ce qui passe entre votre téléphone et le serveur VPN : le jumeau ne voit qu'une connexion chiffrée au lieu de vos sites.
• Répondre aux requêtes DNS dans le tunnel, pour que le jumeau ne puisse pas vous envoyer vers de fausses adresses.
• Refuser de parler aux imposteurs. WireGuard ne termine un échange de clés qu'avec un serveur dont l'appli connaît déjà la clé publique : un faux point d'accès ne peut donc pas se faire passer pour le serveur VPN.

Il ne fait pas :

• Vous protéger avant d'être connecté. La fausse page de connexion s'affiche d'abord, et un VPN ne peut pas vous empêcher d'y taper quelque chose.
• Arrêter l'hameçonnage. Si vous saisissez votre mot de passe sur un faux site, le chiffrement n'y peut rien.
• Réparer un téléphone déjà infecté.

Et le WPA3, et les réseaux « sécurisés » ?

Les normes de sécurité Wi-Fi récentes aident, dans certaines limites. Selon la Wi-Fi Alliance, WPA3-Personal offre « une meilleure protection contre les tentatives de deviner le mot de passe », et Wi-Fi Enhanced Open ajoute du chiffrement aux réseaux ouverts. Aucune ne prouve qui gère le point d'accès quand le mot de passe est public ou qu'il n'y en a pas. Les réseaux d'entreprise avec identifiant personnel peuvent prouver leur identité, mais seulement si votre téléphone est réglé pour vérifier le certificat du réseau.

Comment PryVPN aide sur le Wi-Fi public

• Connexion auto sur les Wi-Fi non fiables. Dans Réglages › Connexion auto et Wi-Fi, activez Sur les Wi-Fi non fiables : PryVPN se connecte alors sur tout réseau que vous n'avez pas marqué comme fiable. L'article d'aide sur le Wi-Fi public donne les détails.
• Les pages de connexion, gérées exprès. PryVPN détecte la page de connexion du réseau et vous demande de vous identifier d'abord, au lieu d'échouer en silence (pages de connexion Wi-Fi). C'est aussi le moment de vérifier que la page ne demande que ce qu'un café demanderait.
• DNS dans le tunnel. Les requêtes vont au résolveur de notre serveur, qui répond depuis la mémoire et ne les enregistre pas.

Questions fréquentes

Un faux Wi-Fi peut-il voler mes mots de passe ?

Seulement si vous les lui donnez : en les tapant sur ses pages, en ignorant une alerte de certificat ou en utilisant un site sans HTTPS. Avec HTTPS et un VPN, il ne voit que des données chiffrées illisibles.

Le Wi-Fi protégé par mot de passe d'un café est-il à l'abri des jumeaux ?

Pas vraiment. Si le mot de passe est imprimé sur la carte, l'attaquant peut s'en servir aussi. Il empêche les inconnus d'entrer ; il ne prouve pas quel point d'accès est le vrai.

HTTPS me protège-t-il sur un faux point d'accès ?

Il protège le contenu de la page, tant que vous n'ignorez jamais une alerte de certificat. Il ne cache pas les sites que vous visitez et ne vous empêche pas de taper sur une fausse page de connexion.

Faut-il éviter le Wi-Fi public ?

Pour les opérations sensibles, la 4G/5G reste le plus simple. Pour la navigation courante, le Wi-Fi public avec HTTPS et un VPN convient. Notre guide pour savoir si le Wi-Fi public est dangereux va plus loin.

Si vous voulez un VPN qui s'active tout seul quand vous rejoignez un réseau douteux, vous pouvez rejoindre la bêta de PryVPN.

Vous avez repéré une erreur ? Écrivez-nous à support@pryvpn.com : nous la corrigeons et mettons la date à jour.