Attaques de l’homme du milieu

Lors d’une attaque de l’homme du milieu, un adversaire intercepte et relaie secrètement les communications entre deux parties qui pensent communiquer directement l’une avec l’autre. L’attaquant peut lire, modifier ou injecter des données.

L’usurpation ARP (protocole de résolution d’adresses) consiste à envoyer de faux messages ARP sur un réseau local afin d’associer l’adresse MAC de l’attaquant à une adresse IP légitime. Le trafic est ainsi redirigé par la machine de l’attaquant.

Cette technique est efficace sur les réseaux de couche 2 non segmentés ; c’est pourquoi la segmentation du réseau est importante.

L’usurpation DNS renvoie des réponses DNS falsifiées qui redirigent les victimes vers des serveurs contrôlés par l’attaquant. Associée à une fausse page de connexion, elle permet de collecter des identifiants. DNSSEC empêche cette attaque en vérifiant les réponses DNS par des moyens cryptographiques.

La rétrogradation SSL abaisse les connexions HTTPS au niveau de HTTP. L’attaquant se place entre le client et le serveur, maintient HTTPS vers le serveur tout en fournissant HTTP à la victime. Les en-têtes HSTS (sécurité stricte du transport HTTP) empêchent cette attaque lorsqu’ils sont correctement configurés.

Un attaquant crée un point d’accès Wi-Fi portant un nom de confiance (par ex. « Airport_Free_WiFi »). Les victimes s’y connectent et tout le trafic transite par l’appareil de l’attaquant. Cette situation est fréquente dans les cafés et les aéroports : utilisez toujours un VPN sur les réseaux non fiables.

Le détournement BGP (protocole de passerelle frontière) est une attaque de l’homme du milieu à grande échelle dans laquelle des attaquants (souvent des États-nations ou des FAI malveillants) annoncent de fausses routes BGP et redirigent le trafic Internet par leur infrastructure. Des millions d’utilisateurs peuvent être touchés simultanément.

Les attaquants peuvent intercepter des courriels lorsque les serveurs n’imposent pas TLS pour SMTP. Les attaques par rétrogradation STARTTLS suppriment le chiffrement des courriels en transit. Les politiques SMTP MTA-STS et DANE imposent une distribution chiffrée des courriels.

Les attaquants peuvent présenter des certificats TLS falsifiés si l’appareil d’une victime fait confiance à une CA malveillante. Cela permet de déchiffrer le trafic HTTPS. Les journaux de transparence des certificats et l’épinglage des certificats dans les navigateurs (HPKP, bien qu’obsolète) réduisent ce risque.

Détection des attaques de l’homme du milieu :

• Anomalies de la table ARP — adresses MAC en double
• Modifications inattendues des certificats
• Augmentation de la latence (routage du trafic par un saut supplémentaire)
• Surveillance du réseau et alertes IDS en cas d’empoisonnement ARP

Prévention des attaques de l’homme du milieu :

• HTTPS partout avec HSTS
• DNSSEC pour garantir l’intégrité du DNS
• Épinglage des certificats dans les applications mobiles
• VPN sur les réseaux non fiables
• Segmentation du réseau et inspection ARP dynamique (DAI)

Les testeurs d’intrusion utilisent des outils comme :

• arpspoof ou bettercap pour l’empoisonnement ARP
• mitmproxy ou Burp Suite pour l’interception HTTP
• ettercap pour l’analyse des protocoles

Une autorisation écrite est toujours requise.

Les attaques de l’homme du milieu interceptent les communications entre deux parties. Elles peuvent notamment utiliser l’usurpation ARP, l’usurpation DNS, la suppression de SSL et les réseaux Wi-Fi malveillants. La prévention nécessite HTTPS avec HSTS, DNSSEC, la transparence des certificats et des contrôles réseau comme l’inspection ARP dynamique. Les VPN protègent le trafic sur les réseaux non fiables.