Définition de l'attaque par empoisonnement du cache ARP

Qu'est-ce que l'empoisonnement ARP ?

L'empoisonnement ARP est une attaque pouvant être menée par un adversaire qui se trouve sur le même sous-réseau que la victime visée. En abusant du protocole ARP, l'attaquant peut faire en sorte que le trafic réseau de l'utilisateur soit redirigé vers son propre ordinateur, ce qui peut lui permettre d'écouter le trafic ou de l'altérer avant de le transmettre au destinataire prévu.

Qu'est-ce que l'ARP ?

Avant de plonger dans les détails de l'empoisonnement du cache ARP, il est important de connaître le rôle de l'ARP au sein d'un réseau. Le protocole de résolution d'adresses (ARP) a pour fonction de convertir les adresses IP en adresses MAC.

Lorsque le trafic circule sur Internet ou d'autres réseaux, une adresse IP sert à identifier de façon unique l'ordinateur de destination et à aider les routeurs en chemin à trouver la route appropriée. Toutefois, une fois à l'intérieur d'un sous-réseau donné — un ensemble d'appareils directement connectés à un routeur, à un concentrateur ou à un commutateur — une adresse matérielle, ou adresse MAC, sert à diriger le paquet vers la bonne carte d'interface réseau (NIC).

Le protocole ARP permet à un routeur de constituer une table de correspondance associant les adresses IP aux adresses MAC. Lorsqu'un routeur reçoit un paquet portant une adresse IP pour laquelle il ne possède pas d'adresse MAC, il envoie une demande d'information. L'ordinateur qui possède cette adresse IP répond avec son adresse MAC, ce qui permet au routeur d'acheminer le paquet à destination.

Comment fonctionne l'empoisonnement du cache ARP ?

Si l'ARP est un protocole fonctionnel, ce n'est pas un protocole sécurisé. Lorsqu'un routeur envoie une requête ARP, il accepte et croit la première réponse qu'il reçoit. De plus, les routeurs peuvent accepter des réponses ARP non sollicitées, par lesquelles un ordinateur met à jour la correspondance entre adresse IP et adresse MAC sans que le routeur ait demandé cette mise à jour.

Cela pose problème, car cela donne à un attaquant l'occasion de rediriger le trafic d'un utilisateur vers son propre appareil. En répondant à une requête ARP ou en envoyant une réponse ARP non sollicitée, l'attaquant peut déclarer que l'adresse MAC de son ordinateur doit être associée à l'adresse IP de la cible. Une fois cela fait, le routeur dirigera vers l'ordinateur de l'attaquant tout trafic destiné à la victime.

La menace de l'empoisonnement ARP

L'empoisonnement ARP est l'un des moyens par lesquels un attaquant peut mettre en place une attaque de l'intercepteur (MitM), où il intercepte les communications d'un utilisateur à diverses fins. Parmi les impacts potentiels de ces attaques, on trouve :

• Déni de service (DoS) : si tout le trafic d'un utilisateur est détourné vers un attaquant, celui-ci peut refuser de le retransmettre. L'utilisateur se retrouverait alors dans l'impossibilité de communiquer sur le réseau.
• Écoute clandestine : tout trafic non chiffré destiné à l'utilisateur peut être intercepté et lu par l'attaquant. Cela pourrait révéler des informations sensibles, comme des identifiants de connexion.
• Altération : le trafic réseau dépourvu de signatures numériques ou de mécanismes d'intégrité semblables peut être modifié par l'attaquant avant d'être transmis au destinataire prévu.

Conclusion

L'empoisonnement ARP est une attaque qui rend possibles les attaques sur le chemin en amenant un routeur à associer l'adresse IP de la cible à l'adresse MAC de l'attaquant. Les organisations peuvent s'en protéger en utilisant des tables ARP statiques ou l'inspection ARP dynamique (DAI), qui valide l'authenticité des réponses ARP au lieu de leur faire aveuglément confiance.

L'équipe KZero



Découvrez d'autres contenus instructifs rédigés par l'équipe compétente de KZero dans notre section de blogues et de guides.