Migration du WiFi du personnel d'un mot de passe partagé vers 802.1X sur un parc multisite

Faites fonctionner un nouvel SSID WPA-Enterprise en parallèle du SSID à mot de passe partagé et déplacez les appareils par vagues. Les appareils gérés reçoivent des certificats EAP-TLS de votre MDM. Les téléphones personnels sont intégrés via un Captive Portal. Les appareils ne pouvant pas conserver de certificat obtiennent leur propre clé sur un réseau xPSK. Désactivez le mot de passe partagé sur chaque site une fois que son journal d'authentification ne montre plus aucun appareil hérité.

Qu'est-ce que le passage du WiFi du personnel d'un mot de passe partagé à 802.1X change ?

Un mot de passe partagé pour le personnel est un secret unique détenu par chaque collègue, chaque appareil et chaque ancien collègue. Quand quelqu'un quitte l'entreprise, il le conserve. Le modifier implique de re-saisir la clé sur chaque caisse, tablette et ordinateur portable de chaque site.

La exigence 2.3.2 de PCI-DSS v4.0.1 transforme cela en obligation. Elle couvre les environnements sans fil connectés à l'environnement de données des titulaires de cartes ou transmettant des données de compte. Vous devez modifier les clés de chiffrement sans fil dès que quelqu'un qui les connaît quitte l'entreprise ou le rôle qui en avait besoin. Vous devez également les modifier lorsqu'une clé est suspectée ou connue pour être compromise. Dans un parc à fort taux de rotation, une lecture littérale implique une modification des clés la plupart des semaines.

IEEE 802.1X supprime le secret partagé. C'est la norme pour le contrôle d'accès au réseau basé sur les ports. Un appareil doit prouver son identité avant que le point d'accès ne transmette son trafic. Le point d'accès interroge via RADIUS, le protocole utilisé par les équipements réseau pour interroger un serveur d'authentification.

EAP-TLS (Extensible Authentication Protocol avec Transport Layer Security, RFC 5216) est le moyen le plus sécurisé de répondre. L'appareil et le serveur présentent chacun un certificat. Il n'y a pas de mot de passe à partager, à hameçonner ou à écrire sur le tableau blanc du back-office.

L'identité définit ensuite le VLAN (LAN virtuel, un segment de réseau logiquement séparé). RADIUS renvoie un VLAN pour chaque appareil en utilisant les attributs de tunnel définis dans la RFC 3580. Un ordinateur portable du service financier et une tablette de cuisine peuvent rejoindre le même SSID et atterrir dans des segments différents.

Où cela se situe sur Purple Access

Purple Access exécute trois réseaux sur une seule plateforme :

• Open : un Captive Portal, la page web qu'un appareil voit avant d'accéder au réseau. Dans cette migration, il intègre les téléphones personnels.
• Secure : EAP-TLS, intégration du fournisseur d'identité, Passpoint et cloud RADIUS. Les ordinateurs portables, tablettes et téléphones du personnel se retrouvent ici.
• xPSK : une clé séparée pour chaque appareil, appelée iPSK ou PPSK selon votre fournisseur. Tout appareil ne pouvant pas conserver de certificat se retrouve ici.

Le WiFi invité reste sur son propre réseau et en dehors de ce projet. Guest network security: A practical Guide for 2026 couvre cet aspect. Le filtrage DNS sur l'un de ces réseaux s'effectue via Shield. Pour une vue d'ensemble plus large, consultez notre pilier sur la sécurité WiFi.

Comparaison des modèles d'identifiants

PEAP-MSCHAPv2 (EAP protégé avec un nom d'utilisateur et un mot de passe) constitue la solution intermédiaire habituelle, il a donc toute sa place dans la comparaison.

Modèle d'identifiants	Ce que chaque équipement présente	Ce qu'un collaborateur partant emporte	Révocation d'une personne ou d'un équipement	Effet sur les changements de clés PCI DSS 2.3.2	Adapté à
PSK partagée	Un mot de passe pour tout le monde	La clé de chaque site	Recréer la clé sur chaque équipement du SSID	Changer la clé pour tout le monde à chaque fois qu'un partant la connaissait	Un seul petit site sans données de carte bancaire sur le WiFi
PEAP-MSCHAPv2	Nom d'utilisateur et mot de passe personnels	Son propre mot de passe jusqu'à la désactivation du compte	Désactiver le compte	Pas de clé partagée, mais les mots de passe peuvent être interceptés si les certificats serveur ne sont pas validés	Parcs sans autorité de certification pour le moment
EAP-TLS	Un certificat par équipement ou par personne	Rien d'exploitable une fois le certificat révoqué	Révoquer le certificat ou désactiver l'identité	Pas de clé partagée à modifier	Ordinateurs portables, tablettes, terminaux portables gérés et téléphones intégrés
xPSK	Une clé unique par équipement	Uniquement les clés d'équipements qu'il a lui-même saisies	Supprimer la clé de cet équipement	Changer uniquement les clés manipulées par le partant	Caisses, terminaux de paiement, imprimantes, vidéosurveillance, affichage dynamique

De quoi avez-vous besoin avant de migrer un mot de passe WiFi partagé vers le 802.1X ?

Vous n'avez besoin d'aucun nouveau point d'accès. Purple Access est indépendant du matériel et fonctionne comme une superposition cloud sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Vous devez toutefois réunir six éléments avant le projet pilote.

1. Un inventaire des équipements par site. Exportez la liste des clients pour le SSID du personnel depuis la console de chaque site, en couvrant au moins 14 jours. Classez chaque équipement dans l'une des trois catégories suivantes. Les équipements gérés sont inscrits dans votre MDM (plateforme de gestion des équipements mobiles). Les équipements personnels sont les téléphones appartenant au personnel. Les équipements sans écran sont les caisses, terminaux de paiement, imprimantes, caméras et tout autre matériel ne disposant pas d'un magasin de certificats.
2. Un fournisseur d'identités avec des groupes propres. Utilisez Microsoft Entra ID, Okta ou Google Workspace. Chaque groupe nécessitant son propre segment devient une règle VLAN. Okta WiFi Authentication: Setup Steps, Options and Fixes détaille la configuration côté Okta.
3. Une autorité de certification à laquelle votre MDM peut adresser des requêtes. Microsoft Intune, Jamf Pro et la plupart des autres MDM délivrent des certificats via des profils SCEP (Simple Certificate Enrollment Protocol) ou PKCS. Déterminez dès maintenant si un certificat identifie l'équipement ou la personne. Les tablettes et terminaux portables partagés nécessitent des certificats d'équipement.
4. Un plan VLAN déployé sur chaque site. Un plan classique comprend cinq segments : le personnel, les équipements d'entreprise gérés, les équipements de paiement, les autres équipements sans écran et un segment hérité restreint. Vérifiez que le trunk de chaque commutateur vers chaque point d'accès achemine chaque VLAN.
5. Purple Access configuré comme serveur RADIUS pour le SSID sécurisé. Lorsque votre fournisseur utilise le RADIUS pour des clés par équipement, pointez également le réseau xPSK vers celui-ci. Utiliser un RADIUS en SaaS signifie qu'il n'y a rien à installer, mettre à jour ou regrouper en grappe sur les sites.
6. Un responsable désigné sur chaque site. Vous avez besoin de quelqu'un capable d'identifier les appareils inconnus dans l'inventaire et d'approuver l'extinction.

Comment migrer le WiFi du personnel vers 802.1X sans week-end de basculement ?

Trois principes permettent d'éviter le week-end de basculement. Construisez les nouveaux réseaux à côté de l'ancien. Déplacez les appareils par catégorie, pas par site. Éteignez site par site, sur la base des preuves fournies par le journal d'authentification.

Pouvez-vous exécuter les deux SSID pendant la migration ?

Oui, et vous devriez les faire fonctionner ensemble pendant toute la durée du projet. La vraie question concerne le temps d'antenne (airtime). Chaque SSID diffusé ajoute des trames de balise (beacon frames) sur chaque radio, c'est pourquoi les guides de conception des équipementiers, dont celui de Cisco Meraki, recommandent de maintenir le nombre de SSID au plus bas.

La solution la plus propre consiste à transformer le SSID hérité en réseau xPSK. Conservez son nom et son mode de sécurité. Ajoutez l'ancien mot de passe partagé comme une clé dans la liste de clés par appareil, associée au VLAN hérité restreint. Les appareils qui connaissent l'ancien mot de passe se reconnectent sans s'en rendre compte. Chaque appareil que vous déplacez obtient sa propre clé.

Lorsqu'il ne reste plus aucun appareil utilisant la clé héritée sur un site, vous la supprimez. Le mot de passe partagé est alors désactivé et aucun nouveau SSID n'a jamais fait son apparition. Votre état final comprend trois SSID : invité, personnel sécurisé et xPSK.

Testez d'abord cela sur un site. Plusieurs équipementiers gèrent les fonctionnalités de clés individuelles sur WPA2-Personal plutôt que sur WPA3-SAE, vérifiez donc la documentation de votre équipementier. Si votre plateforme ne peut pas conserver l'ancien mot de passe comme clé unique, exécutez quatre SSID pendant la migration et supprimez le SSID hérité lors de l'arrêt définitif.

Phase 1 : construire une fois, appliquer à l'ensemble du parc

Configurez le SSID sécurisé et le réseau xPSK une fois, puis appliquez-les à chaque site à partir d'un modèle. Utilisez WPA3-Enterprise là où votre flotte gérée le prend en charge, sinon un mode de transition WPA2/WPA3.

Équipementier	Console	Paramètre de SSID sécurisé	Fonctionnalité de clé par appareil	Appliquer sur l'ensemble des sites avec
Cisco Meraki	Meraki Dashboard	Enterprise avec mon serveur RADIUS	Identity PSK (iPSK)	Modèles de configuration
HPE Aruba	Aruba Central	Niveau de sécurité Enterprise	MPSK	Groupes
Ruckus	SmartZone ou RUCKUS One	Authentification 802.1X EAP	Dynamic PSK (DPSK)	Zones ou sites
Juniper Mist	Portail Mist	Sécurité WLAN Enterprise (802.1X)	Multi PSK	Modèles WLAN
Ubiquiti UniFi	UniFi Network	WPA Enterprise avec un profil RADIUS	Private Pre-Shared Keys	Paramètres de site par site

Les libellés évoluent selon les versions de firmware, suivez donc la documentation de votre équipementier pour connaître la procédure actuelle. Vous trouverez d'autres guides de configuration dans nos guides d'accès.

Phase 2 : pilote sur deux ou trois sites représentatifs

Choisissez des sites différents : un grand site, un petit et un avec un modèle de commutateur inhabituel. Exécutez chaque phase ultérieure de bout en bout sur ces sites en premier. Le pilote existe pour repérer le trunk qui ne transporte pas de VLAN, la caisse qui ne gère que le WPA2 et le profil MDM qui s'installe dans le mauvais ordre.

Phase 3 : déployer les certificats sur les appareils gérés via le MDM

Les appareils gérés migrent le plus rapidement car le MDM atteint chaque site simultanément. Déployez trois profils dans l'ordre : le certificat racine de confiance, le certificat de l'appareil, puis le profil WiFi. La plupart des MDM échouent à appliquer le profil WiFi si le certificat auquel il fait référence est manquant.

Le profil WiFi nomme le SSID sécurisé, configure EAP-TLS et épingle le nom ainsi que la racine du certificat du serveur RADIUS. Une fois qu'un appareil s'est authentifié sur le SSID sécurisé, poussez un profil qui supprime l'ancien réseau. Sinon, l'appareil risque de basculer à nouveau vers l'ancien SSID auquel il fait déjà confiance.

Phase 4 : intégrer les téléphones personnels au même SSID

Le personnel rejoint le réseau ouvert, souvent en scannant un code QR affiché dans le back-office. Ils se connectent sur le Captive Portal avec leur identité professionnelle et reçoivent le profil réseau sécurisé. Notre pilier Captive portals couvre la conception des portails.

Un profil Passpoint (Hotspot 2.0) est ce qui aide le plus un parc multi-sites. Passpoint permet à un téléphone de trouver et de rejoindre un réseau grâce à ses identifiants plutôt que par le nom du SSID. Une seule intégration fonctionne ainsi sur chaque site. Associez les téléphones personnels à un VLAN personnel réservé uniquement à Internet, isolé des segments de paiement et de back-office. Effectuez l'intégration par région afin que le support technique gère un flux régulier plutôt qu'un pic d'appels.

Phase 5 : migrer chaque appareil ne pouvant pas héberger de certificat vers sa propre clé

Attribuez à chaque appareil sans interface utilisateur une clé unique et associez les clés par classe aux VLANs. Les terminaux de paiement vont sur le segment de paiement et les caméras sur le segment caméra. Enregistrez l'appareil, l'adresse MAC, le site, la clé et la personne qui l'a saisie.

Les imprimantes et les enregistreurs de caméras disposent généralement d'interfaces web que vous pouvez réencoder à distance. Les caisses et les terminaux peuvent nécessiter la plateforme de gestion du fournisseur ou une visite sur site. Le guide PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist traite cette phase en détail.

Combien de temps prend un déploiement 802.1X multi-sites ?

Considérez les durées ci-dessous comme des hypothèses de planification à tester lors de votre pilote, et non comme des normes absolues. Les appareils sans interface utilisateur dictent le rythme, car ils représentent la seule catégorie pouvant nécessiter une intervention physique sur site.

Phase	Ce qui se passe	Portée	Durée prévisionnelle
0. Préparation	Inventaire, groupes d'identité, plan VLAN, autorité de certification	Ensemble du parc, aucun changement d'appareil	2 à 3 semaines
1. Construction	SSID sécurisé et réseau xPSK dans les modèles	Ensemble du parc	1 semaine
2. Pilote	Chaque phase de bout en bout	2 à 3 sites	3 à 4 semaines
3. Appareils gérés	Le MDM pousse les certificats et le profil WiFi	Tous les sites en même temps	2 semaines plus 2 semaines pour les retardataires
4. Téléphones personnels	Intégration via le réseau ouvert	20 à 30 sites par vague	2 semaines par vague
5. Appareils sans interface utilisateur	Clé unique par appareil	À distance ou visite sur site	Une demi-journée par site, exécutée en parallèle
6. Extinction	Suppression de l'ancienne clé	Par site	14 jours consécutifs sans incident au minimum par site

Les phases 3, 4 et 5 se chevauchent. Selon ces hypothèses, prévoyez 10 à 14 semaines pour 50 sites et 20 à 26 semaines pour 200 sites.

Scénario concret : un groupe de 64 hôtels équipés en Cisco Meraki

Chiffres à titre d'illustration. Chaque hôtel utilisait environ 40 appareils sur une seule clé partagée par le personnel. Cela représentait 22 appareils gérés, six téléphones personnels et 12 appareils sans interface utilisateur (headless) : terminaux de paiement, imprimantes de reçus et écrans d'affichage dynamique. Le personnel d'entretien intérimaire connaissait la clé, de sorte que chaque rotation d'intérimaires déclenchait la condition de départ définie par PCI-DSS 2.3.2.

L'équipe a converti l'ancien SSID en iPSK et a conservé l'ancien mot de passe sous forme d'une seule clé sur un VLAN restreint. Elle a créé le SSID Enterprise dans un modèle de configuration. Intune a déployé des certificats sur l'ensemble des 1 408 appareils gérés au cours de la troisième semaine suivant le pilote. Les responsables de garde ont intégré 384 téléphones personnels région par région. Les ingénieurs ont reconfiguré la clé des 768 appareils sans interface utilisateur lors des visites de maintenance planifiées.

Résultat : dès la neuvième semaine, la clé héritée ne supportait plus que les appareils sans interface utilisateur. Le dernier hôtel l'a supprimée au cours de la semaine 16, sans nécessiter de nuit de basculement. Le départ d'un collaborateur implique désormais la simple désactivation d'un compte, plutôt que de devoir modifier la clé de 2 560 appareils répartis sur 64 hôtels.

Scénario concret : une enseigne de 180 magasins équipée en Juniper Mist

Chiffres à titre d'illustration. Chaque magasin utilisait 27 appareils sur la clé partagée : 12 scanners portables, trois PC de back-office, quatre imprimantes d'étiquettes, six caméras et deux téléphones de responsables. Le changement de clé après le départ de collaborateurs était bloqué, car personne ne pouvait intervenir dans tous les magasins le même jour.

Les scanners et les PC ont été migrés vers EAP-TLS via le MDM, soit 2 700 appareils au total. Les imprimantes et les caméras ont été basculées vers Multi PSK, avec 1 800 clés uniques associées à deux VLAN. Les magasins ont été migrés par vagues de 30. Le pilote a permis d'identifier une configuration de magasin dont les commutateurs n'acheminaient pas le VLAN des caméras. L'équipe a corrigé le modèle avant la première vague.

Résultat : le nombre d'anciens accès par magasin a atteint zéro dans l'ensemble des 180 points de vente dès la semaine 22. Il n'existe plus aucune clé de personnel partagée dans l'ensemble du parc.

Comment vérifier que la migration fonctionne, site par site ?

Validez chaque phase lors du pilote

Effectuez quatre tests sur chaque site pilote avant de déployer à plus grande échelle :

• Test de connexion : un nouvel appareil géré, un téléphone intégré et une caisse reconfigurée se connectent tous du premier coup.
• Test de VLAN : chaque appareil accède au segment que son identité ou sa clé doit définir.
• Test de itinérance (roaming) : un terminal portable conserve sa session en se déplaçant d'un point d'accès à un autre.
• Test de départ : désactivez une identité de test et révoquez son certificat, puis confirmez que la tentative d'authentification suivante est refusée.

Mesurez la progression par site à partir du journal d'authentification

Chaque semaine, suivez trois indicateurs par site à partir du journal d'authentification et de la liste des clients du contrôleur :

1. Appareils s'authentifiant avec EAP-TLS sur le SSID sécurisé.
2. Appareils utilisant leur propre clé xPSK.
3. Appareils utilisant encore l'ancienne clé.La progression correspond aux deux premiers divisés par l'ensemble des appareils du personnel distincts détectés au cours des 14 derniers jours. Triez les sites par nombre d'anciens accès et concentrez les efforts là où ce nombre est le plus élevé. Comptez les téléphones personnels par identité et non par adresse MAC. iOS et Android rendent les adresses MAC aléatoires pour chaque réseau, ainsi un même téléphone peut apparaître comme deux appareils distincts.

Quand désactiver le mot de passe partagé ?

Supprimez la clé obsolète sur un site lorsque les quatre conditions suivantes sont remplies :

• Le nombre d'anciens accès est égal à zéro pendant 14 jours consécutifs, couvrant deux cycles complets de roulement d'équipe.
• Chaque appareil sans écran (headless) répertorié dispose de sa propre clé.
• Les tickets du support technique pour ce site sont revenus au niveau de référence.
• Le responsable du site a donné son approbation.

Enregistrez la date. À partir de ce moment, il n'existe plus aucune clé partagée que la norme 2.3.2 vous obligerait à modifier. Votre registre de clés et votre journal d'authentification servent de preuves de conformité. Si un appareil oublié apparaît ultérieurement, attribuez-lui sa propre clé. Ne restaurez jamais la clé partagée.

Quels sont les problèmes rencontrés lors d'un déploiement 802.1X multi-sites, et comment les résoudre ?

Les appareils basculent de nouveau vers l'ancien SSID

Les appareils mémorisent les deux réseaux et peuvent préférer l'ancien. Supprimez l'ancien réseau via le profil MDM une fois que le SSID sécurisé fonctionne. Pour les téléphones personnels, intégrez la consigne « oublier l'ancien réseau » dans les instructions d'intégration.

Les appareils se connectent sans valider le serveur

Un profil WiFi qui omet la validation du certificat du serveur fera confiance à un point d'accès malveillant diffusant le même SSID. Associez la racine de confiance et le nom du serveur RADIUS dans chaque profil.

Les clients s'authentifient mais n'obtiennent pas d'adresse IP

RADIUS a attribué un VLAN que le trunk du switch ne transporte pas. Auditez les trunks sur chaque modèle de switch pendant la phase pilote, puis corrigez le modèle général, pas le site individuel.

Les ordinateurs portables Windows échouent avec PEAP

Microsoft indique dans sa documentation que Windows Defender Credential Guard bloque le single sign-on MSCHAPv2 avec les identifiants enregistrés. Migrer ces ordinateurs portables vers EAP-TLS élimine la dépendance aux mots de passe.

Les certificats arrivent à expiration simultanément sur l'ensemble du parc

Les certificats délivrés lors d'une même vague arrivent à expiration au cours de la même semaine. Configurez le renouvellement automatique dans le MDM bien avant l'expiration, et échelonnez la vague initiale si votre autorité de certification le permet.

Un trop grand nombre de SSID ralentit l'ensemble du réseau

Faire fonctionner simultanément des SSID invités, anciens, sécurisés et xPSK ajoute une surcharge de balisage (beacon overhead) sur chaque radio. Convertissez l'ancien SSID en réseau xPSK, comme décrit ci-dessus, pour maintenir le nombre total à trois.

Combien coûte une migration 802.1X et quels sont les bénéfices générés ?

Les coûts concernent la licence et la main-d'œuvre, non le matériel. Vous payez pour Purple Access, ainsi que pour le travail sur les profils MDM, les visites sur site pour les appareils sans écran et le temps du support technique pendant les vagues d'intégration. Les points d'accès, les switches et les contrôleurs restent inchangés.

Le retour sur investissement provient des tâches que vous n'avez plus à accomplir. Dans le cas d'une enseigne de réseau retail, un seul renouvellement de la clé partagée à l'échelle du parc nécessitait de la recontacter sur 4 860 appareils. En comptant trois minutes par appareil, cela représente 243 heures de travail du personnel par renouvellement. Après la migration, le départ d'un collaborateur implique simplement de désactiver une identité et de modifier les éventuelles clés d'appareil saisies par cette personne.

Vous bénéficiez également d'un journal d'authentification indiquant quelle identité ou clé s'est connectée à quel site, et à quel moment. Ce journal constitue une preuve pour PCI-DSS 2.3.2, ainsi que pour les revues de droits d'accès au titre du contrôle 5.18 de l'Annexe A de l'ISO 27001. Purple détient les certifications ISO 27001 et Cyber Essentials, et garantit une disponibilité de 99,999 % sur plus de 80 000 sites actifs. Cette disponibilité est essentielle lorsque le serveur RADIUS détermine si le personnel peut travailler.

Foire aux questions

Devons-nous remplacer nos points d'accès pour faire passer le WiFi du personnel à la norme 802.1X ?

Non. La norme 802.1X et les clés par appareil fonctionnent sur les points d'accès que vous possédez déjà. Purple Access est indépendant du matériel et fonctionne comme une superposition cloud sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Vous configurez un SSID Enterprise qui pointe vers le RADIUS cloud de Purple, ainsi qu'un réseau de clés par appareil en utilisant la fonctionnalité propre à votre équipementier. La seule vérification physique consiste à s'assurer que chaque trunk de switch transporte les nouveaux VLAN.

Pouvons-nous faire fonctionner simultanément le SSID à mot de passe partagé et le SSID 802.1X ?

Oui, et c'est même recommandé, car l'exécution simultanée des deux évite les basculements complexes pendant les week-ends. Lorsque votre plateforme le permet, convertissez l'ancien SSID en réseau xPSK. Conservez l'ancien mot de passe comme une clé unique sur un VLAN restreint, afin que les appareils continuent de fonctionner pendant leur migration. Supprimez cette clé sur chaque site dès que son journal d'authentification montre qu'aucun appareil ne l'a utilisée pendant 14 jours consécutifs.

Qu'advient-il des appareils qui ne prennent pas en charge la norme 802.1X ?

Ils migrent vers le réseau xPSK, chacun disposant de sa propre clé. Les caisses, terminaux de paiement, imprimantes, caméras et écrans d'affichage dynamique possèdent rarement un certificat, mais ils acceptent presque tous une clé WPA2. Chaque clé est associée à un VLAN dédié à sa catégorie d'appareil, ce qui vous permet de révoquer un appareil sans impacter les autres. Tenez un registre des personnes ayant saisi chaque clé, car la norme PCI-DSS 2.3.2 s'applique également aux clés connues par un employé sur le départ.

Combien de temps prend une migration 802.1X multi-sites ?

Prévoyez 10 à 14 semaines pour 50 sites et 20 à 26 semaines pour 200 sites, puis validez ces estimations lors de votre phase pilote. Les appareils gérés migrent le plus rapidement grâce au déploiement de l'MDM sur l'ensemble des sites en une seule fois. Les appareils sans interface utilisateur imposent le rythme, car certains nécessitent une intervention sur site. Chaque site doit comptabiliser au moins 14 jours consécutifs sans activité dans le journal d'authentification avant de pouvoir désactiver le mot de passe partagé.

La norme 802.1X rend-elle notre WiFi personnel conforme à la norme PCI-DSS ?

Aucun contrôle isolé ne garantit la conformité à lui seul, et c'est à votre auditeur d'en juger. Les protocoles EAP-TLS et les clés par appareil vous fournissent des preuves pour la exigence 2.3.2 de PCI-DSS v4.0.1. Une fois qu'aucune clé partagée n'existe, le départ d'un collaborateur ne nécessite plus le changement de clé sur l'ensemble du parc. Le journal d'authentification indique quelle identité ou clé s'est connectée à quel site et à quel moment, ce qui répond également aux revues de droits d'accès requises par l'ISO 27001.

Devrions-nous utiliser PEAP avec des mots de passe au lieu de certificats ?

Utilisez EAP-TLS autant que possible. PEAP-MSCHAPv2 supprime la clé partagée mais s'appuie toujours sur des mots de passe. Ces mots de passe peuvent être interceptés si un appareil ne valide pas le certificat du serveur. Microsoft indique également que Windows Defender Credential Guard bloque le single sign-on MSCHAPv2 avec des identifiants enregistrés. Cela interrompt le WiFi basé sur mot de passe sur de nombreux ordinateurs portables Windows gérés. Les certificats déployés par votre MDM évitent ces deux problèmes et ne nécessitent aucune action de la part du personnel.

Avons-nous besoin de serveurs RADIUS sur site pour le 802.1X ?

Non. Purple Access fournit un RADIUS cloud, il n'y a donc rien à installer, mettre à jour ou sécuriser sur chaque site. Vos points d'accès envoient les demandes d'authentification à Purple. Purple vérifie le certificat ou la clé, applique les règles d'identité issues de Microsoft Entra ID, Okta ou Google Workspace et renvoie le VLAN. Purple fonctionne avec une disponibilité de 99,999 % et détient les certifications ISO 27001 et Cyber Essentials.

Le personnel peut-il utiliser des téléphones personnels sur le même SSID 802.1X ?

Oui, si votre politique l'autorise. Le personnel se connecte au réseau ouvert, s'identifie sur le Captive Portal avec son identité professionnelle et reçoit le profil réseau sécurisé. Un profil Passpoint connecte ensuite automatiquement le téléphone sur chaque site du parc. Associez les téléphones personnels à un VLAN personnel réservé à Internet, séparé des segments de paiement et de gestion. Vérifiez lors de la phase pilote que votre procédure de départ supprime bien leur accès.