Usurpation et attaques par interception

L’usurpation consiste à falsifier une identité pour tromper un système ou une personne. Un attaquant prétend être une source de confiance, comme une adresse IP connue, une adresse MAC, un expéditeur de courriel ou un site web, afin d’obtenir un accès ou d’intercepter du trafic.

L’usurpation est à la base de nombreuses attaques réseau. Si un appareil fait aveuglément confiance à une adresse, falsifier cette adresse permet à l’attaquant de contourner les défenses ou de rediriger le trafic.

L’usurpation d’adresse IP falsifie l’adresse IP source d’un paquet afin de donner l’impression qu’il provient d’un hôte de confiance. Les attaquants l’utilisent pour contourner les filtres fondés sur les adresses IP, dissimuler leur origine ou amplifier des attaques par déni de service en incitant les serveurs à répondre à une victime.

Comme le protocole IP de base ne vérifie pas la source, l’usurpation est facile. Les défenses comprennent le filtrage entrant et sortant, qui rejette les paquets dont l’adresse source est manifestement falsifiée.

L’usurpation d’adresse MAC modifie l’adresse matérielle d’un appareil (Media Access Control) pour se faire passer pour un autre appareil. Les attaquants l’utilisent pour contourner les contrôles d’accès fondés sur les adresses MAC ou prendre le contrôle de l’identité d’un appareil de confiance sur un réseau local.

Comme les adresses MAC peuvent être modifiées par logiciel, compter uniquement sur elles offre une sécurité faible. La sécurité des ports sur les commutateurs aide en limitant les adresses MAC autorisées sur chaque port.

Une attaque par interposition (anciennement appelée attaque de l’homme du milieu) place secrètement l’attaquant entre deux parties qui communiquent. L’attaquant relaie les messages et peut les modifier, tandis que les deux parties croient communiquer directement l’une avec l’autre.

Depuis cette position, l’attaquant peut lire des données confidentielles, voler des identifiants ou modifier le contenu en transit, compromettant simultanément la confidentialité et l’intégrité.

Une manière courante de réaliser une interposition sur un réseau local consiste à utiliser l’empoisonnement ARP. ARP (Address Resolution Protocol) associe les adresses IP aux adresses MAC et fait aveuglément confiance aux réponses.

L’attaquant envoie de fausses réponses ARP en affirmant que son adresse MAC correspond à l’adresse IP de la passerelle. Les victimes envoient alors leur trafic à l’attaquant, qui le transmet ensuite. Le trafic de tout un réseau local passe ainsi silencieusement par la machine de l’attaquant.

L’usurpation DNS (empoisonnement du cache DNS) fournit à un résolveur de faux enregistrements afin qu’un nom de domaine corresponde au serveur de l’attaquant. Un utilisateur qui saisit une adresse web légitime est redirigé silencieusement vers un faux site.

Cette technique permet de voler des identifiants et de diffuser des logiciels malveillants. Les défenses comprennent DNSSEC (DNS Security Extensions), qui ajoute des signatures numériques afin que les résolveurs puissent vérifier l’authenticité des enregistrements.

Les attaquants peuvent installer un point d’accès malveillant ou un jumeau malveillant : un faux réseau Wi-Fi qui imite un réseau légitime. Les utilisateurs s’y connectent et tout leur trafic passe par l’attaquant : il s’agit d’une attaque par interposition utilisant une infrastructure contrefaite.

Un serveur DHCP malveillant fonctionne de manière similaire : il distribue une adresse de passerelle ou DNS malveillante, de sorte que les victimes acheminent leur trafic par l’intermédiaire de l’attaquant sans le savoir.

La défense la plus efficace contre les attaques par interposition est le chiffrement. Même si un attaquant s’interpose entre deux parties, le trafic chiffré (HTTPS, VPN, SSH) est illisible et toute modification peut être détectée.

C’est pourquoi HTTPS partout est important : un attaquant interposé sur un réseau Wi-Fi ouvert peut intercepter le trafic, mais le chiffrement TLS fait qu’il ne recueille que des données brouillées et inutiles, qu’il ne peut ni lire ni modifier de manière fiable.

Les signes d’une usurpation ou d’une attaque par interposition comprennent des avertissements inattendus concernant les certificats, des changements soudains dans la table ARP, des alertes signalant des adresses IP ou MAC en double et des chemins de trafic inhabituels. La surveillance du réseau et la détection des intrusions peuvent signaler les anomalies ARP et les appareils malveillants.

Les utilisateurs doivent tenir compte des avertissements de sécurité du navigateur, qui sont souvent le seul signe visible qu’une personne intercepte leur connexion.

Un seul contrôle ne suffit pas à bloquer toutes les usurpations. Combinez plusieurs mesures : inspection ARP dynamique et surveillance DHCP sur les commutateurs, sécurité des ports, filtrage des paquets contre les adresses sources falsifiées, DNSSEC et chiffrement généralisé.

Ensemble, ces mesures rendent l’usurpation d’identité bien plus difficile et garantissent que même une interception réussie ne fournit à l’attaquant que des données illisibles, ce qui neutralise l’objectif de l’attaque.

L’usurpation falsifie des identités IP, MAC, DNS ou d’appareils, tandis que les attaques par interposition insèrent un attaquant entre deux parties pour lire ou modifier le trafic. Des techniques comme l’empoisonnement ARP, l’usurpation DNS et les points d’accès malveillants les rendent possibles. Le chiffrement, DNSSEC, l’inspection ARP dynamique, la surveillance DHCP et la sécurité des ports constituent les défenses en profondeur qui les bloquent.

Testez vos connaissances sur les attaques.

L’usurpation falsifie une identité (IP, MAC, DNS ou appareil), tandis qu’une attaque par interposition insère secrètement l’attaquant entre deux parties. L’empoisonnement ARP, l’usurpation DNS et les points d’accès malveillants permettent cela. Les défenses associent chiffrement, DNSSEC, inspection ARP dynamique, surveillance DHCP et sécurité des ports.