Sécurité du réseau domestique et des appareils

Sécuriser l’ensemble du système, pas seulement le mot de passe Wi-Fi

Un réseau domestique comprend le routeur, le modem ou la passerelle fibre, le compte en nuage du fournisseur, l’application de gestion, les téléphones, les ordinateurs, les téléviseurs, les caméras, les enceintes, les appareils électroménagers, les consoles de jeu, les imprimantes, et parfois des appareils médicaux ou professionnels. Un mot de passe Wi-Fi fort est utile, mais il ne peut pas compenser un routeur sans support, une page d’administration à distance exposée, un compte fournisseur compromis, ou un appareil qui ne reçoit jamais de mises à jour de sécurité.

L’IA peut aider les criminels à rédiger des messages convaincants et à adapter des techniques d’attaque connues, mais les foyers ne devraient pas répondre en achetant d’abord un abonnement de « sécurité IA ». Les priorités actuelles de la CISA pour le grand public restent la reconnaissance du hameçonnage, des mots de passe forts et uniques, le MFA, et des mises à jour logicielles rapides. Appliquez ces contrôles de façon systématique, en commençant par le routeur et les comptes qui gèrent les autres appareils.

Faire l’inventaire de ce qui est connecté

Ouvrez la liste des appareils du routeur ou l’application de gestion depuis un appareil de confiance. Créez un inventaire simple : nom de l’appareil, propriétaire, usage, type de connexion, compte fournisseur, statut des mises à jour automatiques, et date de fin de support prévue. Les entrées inconnues ne sont pas automatiquement des intrus — les appareils utilisent souvent des noms obscurs ou des adresses aléatoires — mais examinez-les. Éteignez un appareil suspect ou déconnectez-le temporairement et voyez ce qui disparaît.

Retirez l’équipement qui n’est plus utilisé. Un produit connecté avec une application abandonnée ou un support expiré élargit tout de même le réseau. Avant d’acheter un nouvel appareil, demandez s’il prend en charge les mises à jour automatiques, les identifiants uniques, le MFA pour son compte en nuage, le signalement de vulnérabilités, et une période de support déclarée. La ligne de base IoT grand public du NIST se concentre sur l’écosystème complet du produit, applications et services back-end inclus, pas seulement l’appareil physique.

Configurer le routeur de façon délibérée

Utilisez la méthode documentée du fournisseur ou du fournisseur d’accès internet pour accéder au routeur ; ne suivez pas un lien de connexion dans un message non sollicité. Ensuite :

• Installez le firmware actuel et activez les mises à jour de sécurité automatiques si elles sont prises en charge.
• Remplacez l’identifiant administrateur par défaut par un mot de passe unique stocké dans un gestionnaire de mots de passe.
• Protégez le compte en nuage du fournisseur avec le MFA ou une passkey lorsque disponible.
• Désactivez l’administration à distance exposée à internet, sauf besoin spécifique et sécurisé.
• Utilisez WPA3-Personal quand tous les appareils essentiels le prennent en charge ; sinon utilisez WPA2-AES. Évitez les modes obsolètes WEP et WPA.
• Désactivez les fonctions de code PIN Wi-Fi Protected Setup si elles ne sont pas nécessaires.
• Renommez le réseau pour qu’il ne révèle pas un nom de famille, un appartement, une adresse, ou un modèle de routeur.
• Enregistrez une sauvegarde sécurisée des paramètres si le produit le permet, et sachez comment réinitialiser et récupérer le routeur.

Le profil du NIST pour les routeurs grand public traite la configuration sécurisée, les mises à jour, le contrôle d’accès, la protection des données, la sécurité des interfaces, et la documentation du produit comme des exigences liées entre elles. Si un routeur ne reçoit plus de correctifs, le remplacer peut être plus utile que d’ajouter un autre dispositif de sécurité.

Notez qui possède le compte auprès du fournisseur d’accès internet et comment contacter le fournisseur sans utiliser l’internet du domicile. Les passerelles fournies par le fournisseur peuvent restreindre les réglages ou se mettre à jour automatiquement ; confirmez plutôt que de le supposer. Changer les paramètres DNS, de pare-feu, ou de pont sans les comprendre peut perturber le service et n’est pas requis pour une base raisonnable pour un foyer.

Segmenter les appareils quand le routeur le permet

Placez les appareils des visiteurs sur un réseau invité. Si le routeur propose un réseau IoT isolé, utilisez-le pour les objets connectés de moindre confiance comme les téléviseurs, enceintes, prises, appareils électroménagers, et caméras, tout en gardant sur le réseau principal les ordinateurs et téléphones qui accèdent à des données sensibles. Confirmez que l’isolation « invité » ou « IoT » empêche réellement ces appareils d’atteindre le réseau principal ; les implémentations varient selon les produits.

La segmentation n’est pas un remède miracle. De nombreux produits intelligents communiquent via le nuage du fournisseur, et un compte en nuage compromis peut affecter un appareil quel que soit son emplacement sur le réseau local. Certains appareils ont besoin d’une communication locale avec un téléphone, un hub, une imprimante, ou un contrôleur d’accessibilité, testez donc les fonctions du foyer après les avoir déplacés.

Ne placez pas un équipement géré par l’employeur sur une configuration improvisée qui viole la politique de l’entreprise. Suivez les règles de l’employeur en matière de VPN, de mise à jour, et de signalement d’incident. Si le routeur prend en charge un réseau professionnel séparé et que l’employeur le permet, cela peut réduire l’interaction avec les appareils personnels et IoT.

Garder chaque point de terminaison à jour

Activez les mises à jour automatiques du système d’exploitation, du navigateur, des applications, et du logiciel de sécurité. Redémarrez les appareils au besoin pour les terminer. Supprimez les extensions de navigateur et applications inutilisées ; chacune peut détenir des permissions ou des identifiants. Utilisez des comptes utilisateur standard pour l’usage quotidien de l’ordinateur quand c’est pratique, plutôt qu’un compte administrateur.

Les téléphones et tablettes devraient avoir un code de déverrouillage non trivial, un chiffrement, des mises à jour automatiques, et une fonction de localisation/verrouillage configurée. Sauvegardez les données irremplaçables et testez que la récupération fonctionne. Une sauvegarde constamment connectée à un seul ordinateur peut être affectée par un logiciel malveillant ou une suppression accidentelle, gardez donc une version supplémentaire isolée ou utilisez un service avec historique de versions.

Les imprimantes, le stockage réseau, les caméras, et les hubs domotiques méritent la même attention que les ordinateurs portables. Changez les identifiants par défaut, mettez-les à jour, désactivez les services que vous n’utilisez pas, et évitez d’exposer leurs interfaces directement à internet. Si un produit nécessite une redirection de port pour fonctionner, comprenez exactement quel service devient accessible et demandez conseil au fournisseur ou à un professionnel.

Sécuriser les caméras intelligentes, enceintes, et appareils médicaux

Traitez les caméras et microphones intérieurs comme sensibles. Limitez où ils sont placés, qui peut les visionner, comment les clips sont conservés, et si des intégrations tierces sont nécessaires. Utilisez des connexions séparées par membre du foyer plutôt qu’un seul administrateur partagé quand le service propose des rôles. Retirez rapidement les anciens résidents, invités, installateurs, et appareils obsolètes.

Pour les appareils de santé ou médicaux connectés, la disponibilité peut compter autant que la confidentialité. Suivez les instructions du clinicien, du fabricant, et du prestataire. Ne bloquez pas l’accès au nuage, ne réinitialisez pas un moniteur aux réglages d’usine, et ne le déplacez pas entre réseaux pendant les soins sans confirmer les conséquences. Les travaux du NIST sur la télésanté et l’intégration de la maison intelligente souligne que les composants domestiques intelligents grand public ajoutent des dépendances de confidentialité et de cybersécurité aux soins à domicile.

Faire de la résistance au hameçonnage une partie de la sécurité réseau

Un attaquant n’a pas besoin d’exploiter le routeur si un membre du foyer installe un logiciel d’accès à distance, approuve une connexion malveillante, ou divulgue un code. Ignorez le vieux test de la « mauvaise grammaire ». Vérifiez l’expéditeur et l’action demandée.

Ne cliquez pas sur un lien de « renouvellement » d’un routeur, antivirus, service de streaming, ou d’utilitaire provenant d’un message inattendu. Ouvrez l’application connue ou saisissez l’adresse du service. Ne fournissez jamais de code de connexion à usage unique à un appelant. N’installez pas d’outil de partage d’écran parce qu’une fenêtre pop-up affirme que l’ordinateur est infecté. Si un appel de support est nécessaire, lancez-le vous-même via un numéro vérifié.

Utilisez un gestionnaire de mots de passe et des identifiants uniques pour le routeur, le fournisseur d’accès internet, l’e-mail, les fournisseurs d’appareils, et les comptes de streaming. Préférez les passkeys ou les clés de sécurité matérielles lorsque disponibles. Voir Renforcement de l’identité numérique pour les détails de récupération et d’authentificateurs de secours.

Surveiller sans devenir son propre centre d’opérations de sécurité

Activez les notifications pour les nouvelles connexions administrateur, les changements de mot de passe, les nouveaux appareils, et les fonctions de sécurité désactivées. Examinez plusieurs fois par an la liste des appareils connectés du routeur et les sessions du compte fournisseur. Des journaux et alertes excessifs que personne ne lit ne sont pas une protection ; choisissez des signaux liés à une action.

Les signaux d’alerte incluent des réglages qui changent sans explication, des invites MFA répétées, un nouvel administrateur, des caméras qui bougent ou s’activent de façon inattendue, des redirections de port non reconnues, une utilisation de données inexpliquée, ou des appareils qui redirigent vers des pages inhabituelles. Un internet lent seul n’est pas une preuve de compromission.

Si une compromission est plausible, déconnectez l’appareil concerné du réseau sans détruire les preuves. Utilisez un autre appareil de confiance pour sécuriser l’e-mail principal, le gestionnaire de mots de passe, le routeur, et les comptes fournisseurs ; révoquez les sessions ; contactez le FAI ou le fabricant ; et documentez ce qui s’est passé. Une réinitialisation d’usine peut supprimer des preuves utiles et ne corrige pas un identifiant en nuage volé, n’en faites donc pas la première réponse automatique. Pour une perte matérielle ou un crime, signalez-le via IC3.gov et les canaux locaux appropriés.

Un cycle d’entretien pratique

Cette semaine : mettez à jour le firmware du routeur, changez son identifiant administrateur, sécurisez les comptes du fournisseur et du fournisseur d’accès, activez les mises à jour automatiques des points de terminaison, et créez un réseau invité.

Ce mois : inventoriez les appareils, retirez les produits et comptes inutilisés, séparez les appareils IoT compatibles, examinez les caméras et microphones, et testez les sauvegardes.

Deux fois par an : vérifiez le support du firmware, les membres du compte, les méthodes de récupération, les appareils connectés, les redirections de port, et la restauration des sauvegardes. Remplacez l’équipement non pris en charge selon un calendrier planifié.

L’objectif n’est pas une forteresse parfaite. C’est un réseau dont les appareils sont connus, pris en charge, mis à jour, minimalement exposés, et récupérables — plus un foyer qui n’accordera pas d’accès simplement parce qu’un message soigné ou une voix réaliste le demande.