Wi-Fi corporate : EAP-TLS et certificats MDM

Un mot de passe Wi-Fi partagé représente un vecteur d'intrusion majeur dans tout parc de 20 endpoints ou plus. L'authentification par certificat via EAP-TLS élimine ce risque — à condition de maîtriser le cycle de vie PKI et le déploiement MDM.

Intro

Dans la majorité des PME romandes, le Wi-Fi corporate est encore protégé par un secret partagé WPA2-PSK distribué par e-mail et rarement changé — parfois encore connu d'ex-collaborateurs partis sans déprovisionnement formel. Passer à EAP-TLS (Extensible Authentication Protocol – Transport Layer Security) avec des certificats individuels émis via MDM supprime ce risque structurel et permet une révocation instantanée par utilisateur ou par machine.

Pourquoi EAP-TLS plutôt que PEAP ou WPA2-PSK

Les limites des alternatives

WPA2/WPA3-PSK : un seul secret pour tout le parc. La compromission d'un poste ou le départ d'un employé impose un remplacement sur l'ensemble des équipements. Pour 50 endpoints, cela représente entre 2 et 4 heures de réintervention sur chaque machine hors MDM, ou un push MDM qui reste risqué si le secret transite en clair dans un profil non chiffré.

PEAP-MSCHAPv2 : repose sur des identifiants Active Directory. Vulnérable aux attaques de type evil twin avec downgrade ; les outils publics (hostapd-wpe, asleap) permettent de capturer et craquer les challenges MS-CHAPv2 en quelques heures sur du matériel grand public. Le NCSC recense régulièrement ce vecteur dans ses rapports semestriels sur les cybermenaces en Suisse.

EAP-TLS : authentification mutuelle par certificat X.509. Ni le mot de passe ni le hash ne transitent. L'AP (Access Point) et le client s'authentifient mutuellement via leur certificat. La révocation s'opère en désactivant le certificat dans la PKI ou en poussant un profil vide via MDM — effet immédiat au prochain renouvellement de bail RADIUS (généralement 3 600 secondes, configurable).

Conformité et cadre suisse

La nLPD (nouvelle Loi fédérale sur la protection des données), en vigueur depuis le 01.09.2023, impose des mesures techniques appropriées pour protéger les données personnelles traitées. Un réseau Wi-Fi accessible par mot de passe partagé et transmettant des données RH, comptables ou médicales constitue une lacune documentable lors d'un audit. EAP-TLS, associé à la segmentation réseau (VLAN), répond à l'exigence de l'article 8 nLPD sur les mesures organisationnelles et techniques.

Pour les entités régulées (banques, gestionnaires de fortune), la circulaire FINMA 2023/1 sur les risques opérationnels et la résilience exige une traçabilité des accès réseau. Un log RADIUS horodaté par certificat (donc par identité machine/utilisateur) satisfait cette exigence de journalisation.

Architecture PKI et RADIUS : les briques nécessaires

Infrastructure minimale

Un déploiement EAP-TLS viable pour une PME de 20 à 150 endpoints repose sur quatre composants :

CA racine (Root CA) : offline, idéalement sur une VM isolée ou un HSM. Signe uniquement la CA émettrice.
CA émettrice (Issuing CA / SubCA) : online, intégrée à Windows Server ADCS ou à une PKI cloud (SCEP via MDM). Émet les certificats clients et le certificat serveur RADIUS.
Serveur RADIUS : NPS (Network Policy Server) sous Windows Server 2019/2022, ou FreeRADIUS ≥ 3.2 sous Linux. Écoute sur UDP/1812 (authentification) et UDP/1813 (accounting). Le certificat serveur doit être signé par la même CA que les certificats clients pour que la validation mutuelle fonctionne.
Points d'accès 802.1X-capables : Cisco Catalyst, Aruba, Ubiquiti UniFi (firmware ≥ 8.x supportant WPA3-Enterprise 192-bit) configurés en mode WPA2/WPA3-Enterprise avec l'IP du serveur RADIUS et un secret partagé AP↔RADIUS (chaîne aléatoire ≥ 32 caractères, différente par AP).

Distribution des certificats par MDM

Le protocole SCEP (Simple Certificate Enrollment Protocol) permet au MDM de demander et installer automatiquement un certificat sur chaque endpoint lors de l'enrôlement, sans intervention utilisateur. Chaque plateforme a ses spécificités :

macOS / iOS (Apple Business Manager) : profil de configuration Apple (.mobileconfig) contenant un payload SCEP pointant vers l'URL de la CA émettrice, puis un payload Wi-Fi référençant le certificat via son UUID interne. Le profil est signé et chiffré par le MDM avant déploiement. Avec ABM, le flux DEP garantit que le certificat est installé avant que l'utilisateur ne touche à la session.
Windows (Autopilot) : profil SCEP déployé via Intune (ou équivalent) dans la phase OOBE, avant que le poste rejoigne le réseau Wi-Fi cible. Le profil Wi-Fi référence le certificat par empreinte ou par OID d'émetteur. Windows 11 23H2 gère nativement la rotation automatique des certificats si le MDM envoie un nouveau profil SCEP avant expiration.
Android (Android Enterprise / Zero-Touch) : payload SCEP via l'API DevicePolicyManager, profil Wi-Fi EAP-TLS avec champ ca_cert pointant vers le certificat de la CA et client_cert vers le certificat utilisateur. Nécessite Android 10+ pour le managed keystore sans interaction utilisateur.
Linux (FleetDM + certbot/ACME ou SCEP client) : configuration via wpa_supplicant.conf avec eap=TLS, ca_cert, client_cert, private_key. FleetDM peut auditer la présence et la validité du certificat via une osquery query (SELECT * FROM certificates WHERE path LIKE '/etc/ssl/certs/%') et déclencher une alerte si le certificat expire dans moins de 30 jours.

Segmentation VLAN et politique RADIUS

Le RADIUS peut retourner des attributs VLAN dynamiques (RFC 2868 : Tunnel-Type=VLAN, Tunnel-Medium-Type=IEEE-802, Tunnel-Private-Group-ID=<VLAN-ID>) selon le groupe AD ou l'OID du certificat. Une PME avec 80 endpoints peut ainsi automatiser :

VLAN 10 — postes managés avec certificat valide → accès interne complet
VLAN 20 — BYOD avec certificat utilisateur uniquement → accès Internet + VPN uniquement
VLAN 99 — échec d'authentification → quarantaine (port TCP/443 vers portail captif seulement)

Cycle de vie des certificats : le vrai risque opérationnel

Durée de validité et renouvellement

Un certificat client EAP-TLS avec une durée de validité de 1 an est un bon compromis. En dessous de 90 jours, la charge de renouvellement devient visible si le SCEP est mal configuré. Au-delà de 2 ans, la fenêtre de compromission s'élargit. Les CIS Benchmarks (niveau 2, section PKI) recommandent 1 an pour les certificats d'authentification machine et 90 jours pour les certificats serveur RADIUS.

Le MDM doit déclencher le renouvellement SCEP automatiquement à J-30. Sur Windows via Intune, le paramètre RenewalThresholdPercentage (défaut : 20 %) déclenche le renouvellement lorsque la durée restante passe sous 20 % de la durée totale — soit 73 jours sur un certificat d'un an. Ajustez à 10 % (36 jours) pour éviter les rafales de renouvellement simultané sur un grand parc.

Révocation : OCSP ou CRL

La révocation immédiate est l'argument central d'EAP-TLS. Deux mécanismes :

CRL (Certificate Revocation List) : liste publiée par la CA, téléchargée par le RADIUS selon un intervalle configurable (typiquement toutes les heures). Latence de révocation : jusqu'à 1 heure si la CRL vient d'être émise.
OCSP (Online Certificate Status Protocol) : requête en temps réel par le serveur RADIUS avant chaque authentification. Latence quasi nulle. Nécessite que le serveur OCSP soit disponible (SLA à définir : 99,9 % recommandé).

Pour une PME sans infrastructure OCSP interne, la CRL avec un intervalle de 1 heure est pragmatique. Configurez NPS ou FreeRADIUS avec check_crl = yes et pointez vers le CDP (CRL Distribution Point) publié par votre CA émettrice.

Déprovisionnement d'un collaborateur

Procédure en cas de départ :

RH → DSI/RSSI : notification de départ le jour J, idéalement avant la fin de journée.
DSI : désactivation du compte AD/Entra ID → interrompt l'accès VPN et e-mail.
DSI : révocation du certificat EAP-TLS dans la console ADCS (certsrv.msc → Revoke Certificate → Reason: cessation of operation). Publication de la CRL mise à jour.
MDM : wipe ou retrait du profil Wi-Fi sur le device du collaborateur (si BYOD).
RSSI : vérification dans les logs RADIUS que le certificat révoqué n'a plus été utilisé après l'heure de révocation.

Sans EAP-TLS, l'étape 3 n'existe pas — le collaborateur conserve l'accès Wi-Fi jusqu'au prochain changement de PSK.

Cas pratique

Fiduciaire vaudoise — 45 endpoints, 3 sites

Contexte : Cabinet fiduciaire à Lausanne avec 38 postes Windows 11 23H2, 5 MacBook Pro sous macOS 14.5 (Sonoma), 2 iPad iOS 17 pour les experts en déplacement. Deux sites secondaires à Morges et Yverdon-les-Bains, chacun avec 4 AP Ubiquiti UniFi U6-Pro. Données traitées : déclarations fiscales, bilans, données salariales (soumises nLPD). Réseau Wi-Fi jusqu'alors WPA2-PSK avec un secret de 12 caractères inchangé depuis 3 ans. Anciens collaborateurs : 6 personnes ayant quitté le cabinet depuis le dernier changement de mot de passe.

Architecture retenue :

Windows Server 2022 existant promu en ADCS (CA racine offline sur VM snapshot hebdomadaire, CA émettrice online).
NPS installé sur le même serveur Windows Server 2022 (charge estimée : < 5 auth/seconde, largement dans les capacités NPS).
MDM : Intune (Plan P1) pour Windows et iOS/macOS via ABM.
Durée certificats clients : 365 jours, renouvellement SCEP à J-36 (10 %).
CRL publiée via IIS sur le même serveur, intervalle 2 heures.

Procédure de déploiement (6 semaines) :

S1 — PKI : Installation ADCS, génération CA racine (RSA 4096, validité 10 ans), CA émettrice (RSA 2048, validité 5 ans). Test de révocation OCSP optionnel repoussé à phase 2.
S2 — RADIUS : Configuration NPS avec politique EAP-TLS, groupe AD Wi-Fi-Users, attributs VLAN retournés. Test avec un poste pilote.
S3 — Intune profiles : Création du profil SCEP (URL CA, Subject = CN={{UserName}}, SAN = UPN), profil Wi-Fi EAP-TLS référençant le certificat SCEP, profil CA racine de confiance. Déploiement sur groupe pilote (5 machines).
S4 — ABM / macOS + iOS : Profil .mobileconfig équivalent via Intune (Apple MDM). Validation sur les 5 Mac et 2 iPad. Particularité macOS 14 : le certificat privé doit être dans le keychain système, pas utilisateur — vérifier le payload PayloadScope = System.
S5 — Déploiement progressif : Push sur l'ensemble des 45 endpoints. Maintien du SSID WPA2-PSK en parallèle pendant 2 semaines pour les incidents.
S6 — Bascule et audit : Désactivation du SSID PSK. Revue des logs RADIUS sur 48h. Changement du secret partagé AP↔RADIUS (rotation sécurité). Coût total estimé : 3 jours·ingénieur (CHF 3 600 à CHF 250/h), plus la licence Intune P1 déjà existante.

Résultat mesurable : Lors du départ d'un collaborateur 3 semaines après le déploiement, la révocation du certificat a été effective en 47 minutes (délai CRL). Sans EAP-TLS, le même collaborateur aurait conservé l'accès Wi-Fi indéfiniment. Les logs NPS permettent désormais de produire un rapport d'accès horodaté par utilisateur, conforme aux exigences de documentation nLPD.

Récapitulatif opérationnel

Éliminez le PSK partagé dès que le parc dépasse 10 endpoints ou que des données personnelles (nLPD art. 8) transitent sur le Wi-Fi.
Déployez une PKI interne à deux niveaux (CA racine offline + CA émettrice) ou utilisez un service SCEP cloud si vous n'avez pas de serveur Windows — la CA racine offline est non négociable.
Configurez SCEP dans votre MDM (Intune, Jamf, MDM Android Enterprise) pour que le certificat soit installé avant le premier accès réseau, pas après.
Validez la révocation : testez OCSP ou CRL avant la mise en production. Un NPS qui ne vérifie pas les CRL annule l'intérêt de la révocation.
Segmentez par VLAN dynamique via attributs RADIUS : postes managés certifiés ≠ BYOD ≠ quarantaine.
Durée certificats clients : 365 jours, renouvellement automatique SCEP à J-30 minimum. Auditez l'expiration via osquery (FleetDM) ou les rapports Intune.
Documentez la procédure de déprovisionnement : RH → révocation certificat → wipe MDM, avec délai maximal de 4 heures entre notification départ et révocation effective.
Journalisez les authentifications RADIUS (UDP/1813 accounting) dans votre SIEM ou log centralisé — durée de rétention 12 mois minimum selon les bonnes pratiques NCSC pour les incidents à déclaration différée.
Testez la rotation annuelle du certificat serveur RADIUS : un certificat RADIUS expiré coupe l'ensemble du Wi-Fi d'entreprise, y compris les accès critiques.
Pour les sites secondaires : répliquez les profils MDM et vérifiez que chaque AP pointe vers le même NPS ou vers un NPS secondaire avec failover (UDP/1812 avec timeout 5 secondes, 3 tentatives).

SynGuard accompagne les PME romandes dans la mise en place de ces architectures MDM et PKI, de l'enrôlement ABM/Autopilot jusqu'à l'audit de conformité nLPD.

Sources

Nouvelle loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — Texte consolidé en vigueur depuis le 01.09.2023, base légale pour les mesures techniques de protection des données personnelles.
Centre national pour la cybersécurité (NCSC) — Rapports semestriels sur les cybermenaces en Suisse, recommandations pour les PME.
CIS Benchmarks — Center for Internet Security — Référentiels de configuration sécurisée pour PKI, systèmes d'exploitation et équipements réseau.
NIST Cybersecurity Framework — nist.gov — Cadre de gestion des risques cybersécurité incluant les contrôles d'accès réseau (PR.AC).
Préposé fédéral à la protection des données et à la transparence (PFPDT) — Autorité de contrôle nLPD, guide sur les mesures techniques appropriées.

Wi-Fi corporate sécurisé : EAP-TLS et certificats utilisateur par MDM