Définition de l'attaque AiTM

Qu'est-ce qu'une attaque de l'adversaire au milieu (AiTM) ?

Une attaque de l'adversaire au milieu (AiTM) — aussi appelée attaque de l'intercepteur (MitM) ou attaque sur le chemin — permet à un attaquant d'intercepter des communications en route vers leur destination. Si le trafic réseau n'est pas adéquatement protégé, l'attaquant pourrait ainsi lire des données sensibles ou altérer la communication.

Comment fonctionne une attaque AiTM ?

Le cœur d'une attaque AiTM réside dans la capacité d'intercepter les communications. En général, cela se produit lorsqu'un utilisateur communique avec un serveur Web ou une autre application en ligne.

Pour intercepter les communications, l'attaquant doit pouvoir se placer quelque part sur le chemin entre l'utilisateur et le serveur hébergeant le site Web ou l'application. Voici quelques-uns des moyens d'y parvenir :

• Wi-Fi public : beaucoup de gens se connectent sans réfléchir à un réseau Wi-Fi public ouvert, surtout s'il porte un nom reconnaissable ou logique (comme « Wi-Fi gratuit de l'aéroport »). Si un attaquant met en place un point d'accès Wi-Fi malveillant, les communications de toutes les personnes qui s'y connectent transiteront par son ordinateur.
• FSI malveillant : tout le trafic d'un utilisateur transite par les systèmes de son fournisseur de services Internet (FSI) et, le cas échéant, de son fournisseur de réseau privé virtuel (VPN). Si ces entités sont malveillantes ou compromises, elles peuvent mener une attaque AiTM sur le trafic de leurs clients.
• Empoisonnement ARP : un attaquant présent sur le sous-réseau de la cible peut utiliser l'empoisonnement ARP pour rediriger le trafic de l'utilisateur vers son appareil.
• Maliciel : si un maliciel est installé sur l'ordinateur d'un utilisateur ou dans son navigateur — une menace connue sous le nom d'attaque de l'homme dans le navigateur (MitB) — l'attaquant peut intercepter le trafic réseau avant même qu'il ne quitte l'ordinateur.

Que peut faire une attaque AiTM ?

Si un attaquant peut intercepter le trafic d'un utilisateur en route vers sa destination, il peut alors poser divers gestes malveillants. Toutefois, les actions possibles dépendent de la sécurité de la connexion réseau. Parmi les options potentielles, on trouve :

• Déni de service (DoS) : les attaques DoS sont toujours possibles dans une attaque AiTM. Si le trafic d'un utilisateur transite par les systèmes d'un attaquant, celui-ci peut simplement rejeter le trafic pour qu'il n'atteigne jamais sa destination prévue.
• Écoute clandestine : si le trafic réseau n'est pas adéquatement chiffré — c'est-à-dire s'il utilise un protocole non sécurisé comme HTTP au lieu de HTTPS — l'attaquant peut être en mesure d'écouter les communications. Certains protocoles — comme le DNS — peuvent être non chiffrés par défaut et laisser fuiter des informations sensibles.
• Altération : si le trafic d'un utilisateur ne comporte pas de protections d'intégrité — comme des signatures numériques — l'attaquant peut être en mesure d'en altérer le contenu.
• Attaques par rétrogradation : si un utilisateur prévoit utiliser un protocole sécurisé, un attaquant peut réussir à l'amener à utiliser une variante non sécurisée. Par exemple, l'attaquant pourrait intercepter les premiers échanges établissant une session TLS chiffrée et falsifier des données pour que l'utilisateur croie que le serveur ne prend en charge que des protocoles plus anciens et non sécurisés.

Comment se protéger contre une attaque AiTM ?

Heureusement, l'attaque AiTM est une menace connue, et de nombreux sites Web s'en protègent par défaut. Un élément clé de cette protection consiste à utiliser le protocole HTTPS pour la navigation Web plutôt que le protocole HTTP non chiffré.

Le protocole HTTPS utilise le protocole TLS (Transport Layer Security) pour créer un canal sécurisé sur un réseau non fiable. TLS possède quelques caractéristiques importantes, notamment :

• Authentification : un site Web utilisant HTTPS fournit un certificat numérique prouvant son identité. Un navigateur Web vérifie que ce certificat numérique est valide et que le site Web est bien celui qu'il prétend être.
• Chiffrement : à l'aide du certificat numérique et de la cryptographie asymétrique, le client et le serveur créent une clé de chiffrement secrète partagée. Cette clé sert à sécuriser le reste de leur trafic, empêchant toute écoute clandestine.
• Intégrité : le certificat numérique du site Web comprend une clé publique pouvant servir à vérifier les signatures numériques créées par ce site. Le trafic HTTPS est signé numériquement, ce qui garantit son authenticité et l'absence d'altération en cours de route.

Conclusion

Les attaques AiTM peuvent représenter une menace importante lorsque des protocoles vulnérables sont utilisés. Utilisez toujours une connexion chiffrée — comme HTTPS ou un VPN — lorsque vous utilisez un réseau non fiable.

L'équipe KZero



Découvrez d'autres contenus instructifs rédigés par l'équipe compétente de KZero dans notre section de blogues et de guides.