Pourquoi

Un sujet hors cadre pour ce blog : pas de SAP, seulement le réseau de la maison. La plupart des foyers ont aujourd'hui une dizaine d'appareils connectés : aspirateur robot, télévision, caméras, alarme, sonnette.

Ils partagent généralement le Wi-Fi avec nos téléphones et l'ordinateur sur lequel nous travaillons. Nous ne voyons pas leur code, nous ne pouvons pas les corriger, et les fabricants arrêtent souvent de les mettre à jour après quelques années.

Pendant ce temps, les vulnérabilités se trouvent plus vite. Fin 2024, Google a annoncé que son agent d'IA Big Sleep avait trouvé une faille exploitable dans SQLite, l'une des bibliothèques logicielles les plus utilisées (Project Zero). En juillet 2025, le même outil a trouvé une faille que des attaquants s'apprêtaient à exploiter (The Record). Les attaquants disposent du même type d'outils. Attendre les correctifs des fabricants ne suffit pas.

Pour qui travaille depuis la maison avec un accès à des systèmes clients, une télévision compromise sur le même réseau que l'ordinateur professionnel est aussi un risque pour les données des clients.

Isoler ces appareils prend quelques heures avec un matériel relativement récent. Voici les étapes, et les problèmes qui reviennent souvent.

Le principe

Répartir les appareils en deux groupes, chacun sur son réseau, avec le pare-feu du routeur entre les deux.

  • Confiance : téléphones, ordinateurs, NAS. Tout ce avec quoi on se connecte, on travaille ou on stocke des données.
  • IoT : tout le reste. Aspirateur, télévision, caméras, alarme, sonnette, prises connectées. Ils ont besoin d'internet et du cloud de leur fabricant, rien de plus.

Les deux groupes accèdent à internet. Le pare-feu empêche le réseau IoT d'atteindre le réseau de confiance. Si un appareil est compromis, par un bug, la fuite du mot de passe d'un compte ou une intrusion chez le fabricant, l'attaquant reste dans le réseau IoT.

En termes de sécurité SAP, c'est le moindre privilège appliqué au réseau. Un aspirateur a besoin du cloud de son fabricant. Il n'a aucune raison de voir l'ordinateur.

Une règle en découle : téléphones et ordinateurs ne rejoignent jamais le Wi-Fi IoT, même pour diffuser sur la télévision.

InternetClouds des fabricants, services de streaming, tout le reste. Non fiable
Les deux réseaux sortent sur internet
Routeur et pare-feuUne plage d'adresses et un DHCP par réseau. IoT vers confiance bloqué. Frontière
Réseau principal, non tagué
Réseau de confianceTéléphones, ordinateurs, NAS. Wi-Fi principal. Confiance
Pare-feu : rien ne passe du réseau IoT vers le réseau de confiance
Réseau IoT (VLAN)Aspirateur, TV, caméras, alarme, sonnette, prises connectées. Wi-Fi 2,4 GHz séparé. Non fiable
Deux réseaux derrière un même pare-feu. Les deux accèdent à internet ; seul le trafic IoT vers confiance est bloqué.

Les étapes

Les menus varient selon les marques : ces étapes disent quoi faire, pas où cliquer. Choisir un moment où personne n'a besoin d'internet.

  1. Faire l'inventaire. Lister chaque appareil connecté et le placer dans l'un des deux groupes. Noter lesquels sont câblés et lesquels sont en Wi-Fi. Débrancher ce qui ne sert plus.

  2. Vérifier le matériel. Il faut :

    • un routeur qui gère plusieurs réseaux internes (VLAN) et des règles de pare-feu entre eux ;
    • des points d'accès capables d'associer un réseau Wi-Fi (SSID) à un VLAN ;
    • s'il y a un switch entre le routeur et les points d'accès, un switch administrable compatible VLAN 802.1Q.

    La plupart des box d'opérateur ne le permettent pas. Dans ce cas, passer à la section sur le matériel sans VLAN.

  3. Mettre à jour les firmwares, le routeur d'abord, puisqu'il fait face à internet. Sauvegarder sa configuration, se connecter par câble et vérifier la version matérielle avant le téléchargement. Lire les notes de version : certaines mises à jour exigent d'abord une version intermédiaire.

  4. Créer le réseau IoT sur le routeur : un VLAN avec sa plage d'adresses et son DHCP. Bloquer le trafic du réseau IoT vers le réseau de confiance, par une option d'isolation ou une règle de pare-feu. Un résolveur DNS filtrant sur ce réseau est un plus.

  5. Créer le Wi-Fi IoT sur les points d'accès, associé au VLAN IoT, avec son propre mot de passe. Utiliser le 2,4 GHz : la plupart des objets connectés ne gèrent pas le 5 GHz. Ne pas toucher au Wi-Fi principal. Même nom et même mot de passe sur chaque point d'accès.

  6. Configurer le switch, s'il y en a un. Les ports vers le routeur et les points d'accès transportent les deux réseaux : principal non tagué, IoT tagué. Un port avec un seul appareil IoT derrière, comme une télévision ou une alarme, reçoit le réseau IoT non tagué et son VLAN par défaut (PVID) réglé sur le VLAN IoT. Ne pas toucher aux autres ports.

  7. Tester avant de déplacer quoi que ce soit. Connecter un téléphone au Wi-Fi IoT. Il doit obtenir une adresse dans la nouvelle plage et accéder à internet, mais pas à la page d'administration du routeur, à l'ordinateur, au NAS, au switch ni aux points d'accès. Le déconnecter ensuite.

  8. Déplacer les appareils un par un. Certaines applications proposent « changer de réseau Wi-Fi ». D'autres exigent une réinitialisation du Wi-Fi sur l'appareil, en général une combinaison de boutons décrite dans le manuel. Éviter la réinitialisation d'usine complète, qui efface les réglages. Pour un appareil câblé, débrancher et rebrancher le câble suffit. Après chaque déplacement, vérifier que l'appareil apparaît dans la nouvelle plage d'adresses.

  9. Durcir ce qu'on administre. Changer les mots de passe d'administration par défaut. Sur les switches et les points d'accès, couper Telnet, le HTTP non chiffré et SNMP s'ils ne servent pas. Couper l'administration à distance depuis internet et éviter les redirections de ports. Passer par le VPN du routeur pour un accès depuis l'extérieur.

  10. Protéger les comptes fabricants par un mot de passe unique et l'authentification multifacteur. Le cloud du fabricant est une porte d'entrée plus probable que le réseau.

  11. Documenter et sauvegarder. Exporter la configuration de chaque équipement, noter quel port du switch va où (aussi dans la description des ports), et garder les mots de passe d'administration dans un gestionnaire de mots de passe.

Les pièges

  • Le PVID. Déclarer un port « non tagué » dans le réseau IoT ne règle que le trafic sortant vers l'appareil. C'est le PVID qui décide où va le trafic venant de l'appareil. Sans le changer, le switch atteint l'appareil mais jette tout ce qu'il renvoie. Certains switches règlent le PVID automatiquement, beaucoup non.
  • Tagué ou non tagué. Une télévision ou une alarme ne comprend pas les tags VLAN : son port doit être non tagué dans le réseau IoT. Seuls les liens vers le routeur, les switches et les points d'accès sont tagués.
  • Un équipement verrouillé par un ancien contrôleur. Un switch adopté un jour par une application de gestion peut garder sa page web verrouillée une fois l'application disparue. Souvent, seule une réinitialisation d'usine permet d'en reprendre le contrôle. À vérifier avant de commencer.
  • Un numéro de VLAN déjà pris. Certaines connexions internet utilisent un numéro de VLAN en interne, et le routeur peut le refuser sans message clair. Choisir un autre numéro.
  • La diffusion et la découverte ne marchent plus. Les téléphones du réseau principal ne voient plus la télévision, l'enceinte ou l'imprimante du réseau IoT. Décider appareil par appareil : s'en accommoder, garder l'appareil sur le réseau principal, ou ouvrir une règle spécifique.
  • La réinitialisation du Wi-Fi n'est pas évidente. Un bouton de synchronisation peut se cacher sous un cache, et un appui trop long peut lancer une réinitialisation d'usine. Lire le manuel d'abord et garder l'application ouverte : certains appareils abandonnent au bout de quelques minutes.
  • L'isolation ne couvre que les réseaux internes. Ce qui est joignable par une route côté internet, comme la page d'administration d'un modem ou d'une ligne de secours, reste joignable depuis le réseau IoT. Le bloquer par une règle explicite.
  • Les appareils prennent leur temps. Un appareil câblé garde son ancienne adresse jusqu'à la coupure de son lien, et une alarme peut mettre plusieurs minutes à apparaître. Les anciennes entrées restent dans la liste des clients du routeur jusqu'à l'expiration du bail.

Sans VLAN

La plupart des foyers peuvent quand même réduire nettement le risque avec ce qu'ils ont.

  • Mettre les objets connectés sur le réseau invité, en vérifiant qu'il n'accède pas au réseau principal. Moins solide qu'un VLAN, bien mieux qu'un seul réseau partagé.
  • Tenir le routeur à jour, automatiquement si possible. Remplacer un routeur qui ne reçoit plus de mises à jour.
  • Changer le mot de passe d'administration par défaut du routeur. Couper l'administration à distance, l'UPnP et le WPS.
  • Utiliser le WPA2 (AES) ou le WPA3. Couper les anciens modes WPA et TKIP.
  • Un mot de passe unique et l'authentification multifacteur pour chaque compte fabricant.
  • Activer les mises à jour automatiques dans l'application de chaque appareil.
  • Débrancher les anciens appareils et couper les fonctions inutilisées, comme la consultation vidéo à distance.
  • Avant d'acheter, vérifier combien de temps le fabricant promet des mises à jour de sécurité.

Conclusion

L'isolation réseau ne remplace pas les mises à jour, le gestionnaire de mots de passe et l'authentification multifacteur sur ses propres appareils. Elle limite les dégâts quand un appareil qu'on ne maîtrise pas fait défaut, quoi que fasse son fabricant.

Compter quelques heures, surtout pour les pièges ci-dessus. Ensuite, l'aspirateur, la télévision et les caméras fonctionnent toujours, et n'atteignent rien d'autre.