Empoisonnement ARP : la manipulation du réseau

Un ordinateur est associé à quelques adresses différentes. Il possède des adresses IP liées au ou aux réseaux auxquels il est connecté. Il dispose aussi d'une adresse matérielle, ou adresse MAC, attribuée à chacune de ses cartes d'interface réseau (NIC). Les adresses IP servent à acheminer le trafic vers le bon sous-réseau, puis un commutateur peut utiliser une adresse MAC pour envoyer les données au bon port et à l'ordinateur qui y est raccordé.

Le protocole de résolution d'adresse (ARP) sert à faire correspondre les adresses IP aux adresses MAC, mais il est vulnérable aux attaques. ARP fait implicitement confiance aux déclarations voulant qu'une adresse IP donnée soit rattachée à une certaine adresse MAC.

Dans une attaque par usurpation ARP ou empoisonnement ARP, un attaquant utilise de fausses déclarations ARP pour intercepter du trafic destiné à quelqu'un d'autre. Cet article explore la menace de l'empoisonnement ARP, notamment son fonctionnement, certaines de ses répercussions possibles et les bonnes pratiques pour gérer le risque que posent ces attaques

Qu'est-ce que l'empoisonnement ARP ?

Les attaques par empoisonnement ARP consistent à manipuler les tables ARP afin de réacheminer le trafic réseau. Pour comprendre le fonctionnement de ces attaques, il est utile de comprendre le protocole ARP en général.

Les adresses IP servent à acheminer le trafic à travers les réseaux. Cependant, une fois que le trafic atteint le bon sous-réseau, le routage passe de la couche 3 (adresses IP) à la couche 2 (adresses MAC). C'est ARP qui assure cette transition.

Un commutateur ou un appareil similaire comporte plusieurs ports auxquels des ordinateurs peuvent être raccordés. L'objectif d'ARP est de déterminer lequel de ces ports doit servir à envoyer le trafic vers une adresse IP donnée. Voici quelques étapes clés de ce processus :

1. Le commutateur vérifie s'il possède déjà une entrée ARP pour l'adresse IP. Si c'est le cas, il utilise l'adresse MAC indiquée par cette entrée.
2. Si aucune entrée n'existe, le commutateur émet une requête ARP demandant quel ordinateur détient cette adresse IP. Cette requête est diffusée à tous les ordinateurs connectés au commutateur.
3. Le détenteur de l'adresse IP répond à cette requête en fournissant son adresse MAC.
4. Le commutateur envoie le trafic sur le port indiqué et conserve la correspondance adresse IP/adresse MAC pour un usage ultérieur.

Les commutateurs présument que seul l'ordinateur détenant une adresse IP répondra aux requêtes ARP la concernant ou transmettra des mises à jour non sollicitées à la table ARP. Cela ouvre la porte aux attaquants, qui peuvent empoisonner la table ARP en envoyant de fausses réponses aux requêtes ARP ou en fournissant des mises à jour non sollicitées associant l'adresse IP de la cible à leur propre adresse MAC.

L'usurpation ARP est couramment utilisée dans le cadre d'une attaque de l'intercepteur (MitM), aussi appelée attaque par interposition. En falsifiant les entrées ARP et en redirigeant le trafic de la cible vers son propre ordinateur, l'attaquant peut intercepter et espionner ce trafic, ou le modifier en route vers sa destination prévue.

Scénarios d'attaque par empoisonnement ARP

L'empoisonnement ARP est l'une des méthodes permettant de mener une attaque de l'intercepteur (MitM). En redirigeant le trafic vers son ordinateur, l'attaquant peut dérober des renseignements sensibles ou provoquer des perturbations.
Un exemple d'attaque par empoisonnement ARP d'importance s'est produit contre le site Web de Metasploit en 2008. En procédant à un empoisonnement ARP contre le routeur du site, l'attaquant a pu rediriger les visiteurs vers une page affichant un message du pirate.

Toutefois, dans la plupart des cas, l'empoisonnement ARP est mené pour cibler des systèmes sur un réseau local. Dans une application possible, un attaquant peut tirer parti de l'utilisation de protocoles réseau non chiffrés ou peu sécuritaires. Si ces protocoles transmettent des mots de passe ou d'autres données sensibles sous une forme non chiffrée, l'attaquant peut intercepter ces mots de passe et s'en servir pour accéder au compte de l'utilisateur.

L'empoisonnement ARP peut aussi servir uniquement à provoquer des perturbations sur un réseau. En empoisonnant la table ARP, l'attaquant peut semer la confusion chez d'autres systèmes quant à l'emplacement d'un ordinateur ou du routeur. Le cas échéant, le trafic destiné à ces systèmes est envoyé à l'ordinateur de l'attaquant, qui peut ensuite le retransmettre après un délai ou le jeter entièrement.

Quel est le résultat d'une attaque par empoisonnement ARP ?

Les attaques par empoisonnement ARP permettent à un attaquant de rediriger vers son propre système le trafic réseau destiné à un ordinateur donné. Cela peut avoir de nombreuses répercussions potentielles, notamment :

• L'interception de données : si les communications de la cible ne sont pas chiffrées, l'attaquant peut lire le trafic. Cela peut lui permettre de dérober des données sensibles comme des identifiants de connexion, des données de carte de paiement, des renseignements permettant d'identifier une personne (RPIP) ou de la propriété intellectuelle.
• La manipulation de données : le trafic réseau non chiffré peut aussi être dépourvu de protections d'intégrité et d'authenticité. Cela pourrait permettre à l'attaquant de modifier le trafic en route vers sa destination, manipulant ainsi la communication entre les deux parties.
• Les attaques par déni de service (DoS) : les attaques par empoisonnement ARP redirigent le trafic d'un système ciblé vers l'ordinateur de l'attaquant. Même s'il ne peut pas lire le trafic parce qu'il est chiffré, l'attaquant peut refuser de le retransmettre à sa destination prévue, réalisant ainsi une attaque DoS contre la victime.
• L'accès non autorisé : les attaques par usurpation ARP peuvent permettre à un attaquant de capter des identifiants de connexion dans le trafic des utilisateurs. Avec ces identifiants, l'attaquant peut obtenir un accès non autorisé aux systèmes et aux applications de l'entreprise.
• La perturbation du réseau : dans le cadre d'une attaque par usurpation ARP, l'attaquant remplit la table ARP du commutateur de fausses entrées. En plus de rediriger le trafic, cela peut nuire à la performance du réseau, puisque le trafic est acheminé de façon inappropriée vers l'ordinateur de l'attaquant.

Les attaques par empoisonnement ARP menacent généralement la confidentialité des données et la vie privée des utilisateurs, l'attaquant interceptant et espionnant les communications réseau. Elles peuvent toutefois aussi menacer l'intégrité ou la disponibilité des données si l'attaquant choisit de modifier le trafic en route ou omet de le transmettre au destinataire prévu.

Empoisonnement ARP et empoisonnement DNS

ARP et le service de noms de domaine (DNS) sont tous deux des protocoles servant à effectuer des traductions entre des adresses IP et d'autres identifiants. Le DNS traduit les noms de domaine en adresses IP, tandis qu'ARP traduit les adresses IP en adresses MAC.

Ces deux protocoles sont vulnérables aux attaques par empoisonnement, dans lesquelles les enregistrements servant à la traduction peuvent être modifiés pour y insérer de fausses données. Une attaque par empoisonnement DNS peut rediriger une personne qui tente de visiter un domaine donné (comme kzero.com) vers une adresse IP contrôlée par l'attaquant. L'empoisonnement ARP, lui, redirige le trafic destiné à un destinataire précis vers quelqu'un d'autre connecté au même sous-réseau.

L'empoisonnement DNS et l'empoisonnement ARP peuvent tous deux détourner le trafic d'un utilisateur, mais ils s'emploient dans des contextes différents. L'empoisonnement ARP exige que l'attaquant ait accès à un autre système situé sur le même sous-réseau que la cible et lui permet de voir et de contrôler l'ensemble du trafic réseau de la victime. À l'inverse, les attaques par empoisonnement DNS peuvent viser quiconque visite une page Web dont l'entrée DNS a été modifiée, ce qui permet à l'attaquant de servir du contenu d'hameçonnage, des maliciels ou des publicités malveillantes.

Détection, prévention et atténuation de l'empoisonnement ARP

Les attaques par empoisonnement ARP peuvent avoir des répercussions majeures sur une organisation, ses employés et sa clientèle. Mettre en place certaines bonnes pratiques de cybersécurité peut aider les entreprises à détecter, à prévenir ou à atténuer les attaques par usurpation ARP.

Stratégies de détection

Les attaques par empoisonnement ARP détournent le protocole ARP pour rediriger le trafic de la victime vers l'ordinateur d'un attaquant. Voici quelques méthodes de détection de ces attaques :

• La surveillance du trafic ARP : les attaques par usurpation ARP peuvent être détectées en surveillant le trafic ARP. Par exemple, si le trafic ARP contient plusieurs réponses à une même requête — l'une provenant de l'ordinateur légitime et l'autre de l'attaquant — ou des annonces ARP non sollicitées, ce sont là des signes possibles d'une attaque par usurpation ARP.
• La surveillance du trafic : de façon plus générale, surveiller le trafic réseau peut aider à détecter les attaques par empoisonnement ARP. Par exemple, un attaquant peut rediriger le trafic vers lui, puis le retransmettre au destinataire prévu, un comportement anormal qui peut être repéré par l'analyse du trafic.

Stratégies de prévention

Les entreprises peuvent également prendre diverses mesures pour empêcher les attaques par usurpation ARP de se produire. Voici quelques bonnes pratiques de sécurité qui réduisent au minimum la menace que représente l'usurpation ARP pour une organisation :

• L'ARP statique : ARP ne sert à générer des correspondances entre adresses IP et adresses MAC que lorsqu'aucune n'est disponible. L'ARP statique crée des correspondances permanentes pour certaines adresses IP, ce qui empêche un attaquant de rediriger le trafic destiné à ces adresses.
• Le filtrage de paquets :le trafic ARP ne devrait être utilisé qu'à l'intérieur d'un sous-réseau donné. Bloquer tous les messages ARP à la frontière du sous-réseau complique la tâche d'un attaquant externe qui voudrait mener une attaque par empoisonnement ARP.
• La sécurité physique : de façon générale, l'empoisonnement ARP exige de brancher physiquement la machine d'un attaquant à un commutateur ciblé ou d'accéder à une machine déjà présente. Sécuriser physiquement ces commutateurs et ces ordinateurs rend plus difficile l'obtention de l'accès nécessaire par un attaquant.
• La sécurité des ports : la sécurité des ports limite les adresses MAC pouvant être utilisées sur un port de commutateur donné. Cela peut empêcher un attaquant de brancher son appareil au commutateur et de mener une attaque par usurpation ARP.

Stratégies d'atténuation

En plus de détecter et de prévenir les attaques, les entreprises peuvent travailler à en atténuer les effets si elles surviennent. Voici quelques moyens de gérer les répercussions d'une attaque par empoisonnement ARP réussie :

• Le chiffrement du trafic : le recours à des protocoles chiffrés — comme HTTPS — ou à un réseau privé virtuel (VPN) peut atténuer les effets des attaques par empoisonnement ARP. Même si l'attaquant parvient à rediriger le trafic d'un utilisateur, il ne peut pas en lire le contenu, puisque celui-ci est chiffré.
• La segmentation du réseau : la segmentation du réseau divise un réseau en plusieurs segments isolés. Cela limite les répercussions possibles d'une attaque par empoisonnement ARP, car elle réduit ce à quoi un attaquant peut accéder avec un ordinateur ou un compte compromis.
• La gestion des correctifs : les attaques par usurpation ARP peuvent permettre à un attaquant d'exploiter des vulnérabilités dans un système ciblé. Effectuer des mises à jour et appliquer des correctifs de façon régulière aide à prévenir ce type d'attaques.
• L'authentification multifacteur (MFA) : les attaques par usurpation ARP peuvent servir à capter des identifiants de connexion dans du trafic non chiffré et à s'en servir pour accéder aux comptes des employés. La MFA rend ces attaques plus difficiles à mener, puisque l'attaquant doit dérober ou intercepter plusieurs types différents de facteurs d'authentification pour accéder au compte d'un utilisateur.

Implications juridiques et éthiques

L'empoisonnement ARP est un type de cyberattaque qui vise principalement la confidentialité des données. L'attaquant manipule et détourne le protocole ARP pour rediriger le trafic réseau vers son propre ordinateur, ce qui lui permet de porter atteinte à la confidentialité, à l'intégrité et à la disponibilité des données.

Sur les plans juridique et éthique, l'empoisonnement ARP est une cyberattaque et un usage abusif de systèmes informatiques. Par conséquent, la personne qui mène cette attaque peut faire l'objet de poursuites en vertu des réglementations applicables en matière de cybersécurité et de protection des données, comme le Règlement général sur la protection des données (RGPD) ou la California Consumer Privacy Act (CCPA). En raison de la nature de l'attaque, elle peut aussi s'exposer à un risque juridique pour intrusion.

De nombreuses cyberattaques affichent des taux d'application de la loi et de condamnation relativement faibles, en raison de la difficulté à détecter, à attribuer et à poursuivre la cybercriminalité. Cependant, les attaques par empoisonnement ARP supposent couramment l'exploitation d'un accès physique à un commutateur ou à un appareil réseau similaire. Une organisation a donc plus de chances de détecter, d'appréhender et de poursuivre l'auteur d'attaques par empoisonnement ARP que dans le cas d'autres cyberattaques, qui sont généralement menées à distance par Internet.

Conclusion

Les attaques par empoisonnement ARP sont un type de cyberattaque qui détourne le protocole ARP pour acheminer le trafic réseau d'un utilisateur vers un attaquant, en faisant croire à un commutateur ou à un appareil similaire que l'attaquant est le destinataire prévu du trafic. Ces attaques peuvent avoir de nombreuses répercussions potentielles, dont des brèches de données sensibles, la modification du trafic réseau en route ou des attaques DoS contre la victime.

Les organisations peuvent prendre diverses mesures pour se protéger contre les attaques par usurpation ARP. Par exemple, des entrées ARP statiques rendent irréalisable le détournement d'ARP par un attaquant pour rediriger le trafic. Autrement, le recours à des protocoles chiffrés ou à des VPN empêche un attaquant d'espionner le trafic ou de le modifier sans être détecté.

Souvent, les attaques par empoisonnement ARP visent à dérober des identifiants de connexion transmis en clair par des protocoles réseau peu sécuritaires. Une fois compromis, ces identifiants donnent à l'attaquant accès aux comptes et aux systèmes de l'entreprise. L'authentification multifacteur (MFA) aide à atténuer les effets de ces attaques en compliquant l'utilisation d'un mot de passe dérobé pour accéder au compte d'un utilisateur.

La solution Multi-Pass de KZero Passwordless élimine la menace que l'usurpation ARP fait peser sur les identifiants d'une organisation. Sa MFA repose sur des facteurs insensibles aux attaques par interception et assure une authentification robuste des employés ou des clients d'une organisation. Apprenez-en plus dès aujourd'hui sur la façon de renforcer la sécurité des comptes de votre organisation avec Multi-Pass.

Howard Poston



Howard Poston est rédacteur publicitaire, auteur et concepteur de cours, avec une expérience en cybersécurité et en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, cumule une décennie d'expérience en cybersécurité et plus de cinq ans d'expérience comme consultant indépendant.