Les attaques de l'intercepteur : risques, détection et stratégie de défense

Une attaque de l'intercepteur (Man-in-the-Middle ou MitM), aussi appelée attaque sur le chemin, survient lorsqu'un attaquant s'insère entre deux parties qui communiquent. L'attaquant intercepte alors les messages qui circulent entre elles, en se faisant possiblement passer pour l'une ou l'autre.

Les attaques MitM représentent une menace importante lorsqu'on communique sur un réseau non fiable. Un attaquant en position d'intercepteur peut toujours mener une attaque par déni de service (DoS) en rejetant tous les paquets qu'il intercepte. Toutefois, si la session de communication n'est pas protégée en confidentialité et en intégrité, par exemple par TLS ou un VPN, l'attaquant peut aussi lire et modifier les messages en transit.

Les types d'attaques de l'intercepteur

Une attaque sur le chemin peut se produire de deux façons. Ou bien l'attaquant se trouve déjà sur le chemin de communication entre les deux parties, ou bien il manipule les communications pour les forcer à passer par lui. Voici quelques-unes des méthodes employées à cette fin :

• Wi-Fi public : Les réseaux sans fil publics ne sont pas chiffrés ou le sont au moyen d'un mot de passe commun à tous les utilisateurs. Si un attaquant se trouve sur le même réseau Wi-Fi que sa cible, il peut écouter les paquets que celle-ci envoie au routeur. S'il exploite un point d'accès sans fil malveillant — un point d'accès pirate (AP) ou une attaque de type « jumeau maléfique » —, il contrôle entièrement le trafic qui circule sur le réseau Wi-Fi.
• Usurpation ARP : Le protocole ARP (Address Resolution Protocol) sert à traduire les adresses IP en adresses MAC sur un sous-réseau. Un commutateur émet une requête ARP et utilise l'adresse MAC du système qui répond. Un attaquant en position d'intercepteur peut envoyer une réponse ARP en se faisant passer pour la cible, ce qui fait acheminer le trafic de celle-ci vers sa propre machine.
• Usurpation d'adresse IP : Les adresses IP servent à identifier la source et la destination d'un paquet réseau. Dans une attaque par usurpation d'adresse IP, l'attaquant remplace l'adresse IP source d'un paquet par celle de la cible. Cela lui permet de se faire passer pour la victime et de s'immiscer dans une communication réseau.
• Détournement de DNS : Le système de noms de domaine (DNS) associe des noms de domaine (comme kzero.com) à des adresses IP. Dans une attaque par détournement de DNS, l'attaquant modifie l'entrée DNS d'un site web pour y inscrire l'adresse IP de son propre ordinateur. Lorsque les utilisateurs tentent de visiter le site, ils reçoivent une entrée DNS avec une adresse IP erronée.
• Détournement BGP : Le protocole BGP (Border Gateway Protocol) est utilisé par les fournisseurs d'accès Internet — appelés systèmes autonomes (AS) dans le protocole — pour trouver la route menant à une adresse IP donnée. Comme ARP, il présume que toutes les routes annoncées sont véridiques. Un AS malveillant pourrait annoncer de fausses routes et faire ainsi transiter le trafic destiné à une plage d'adresses IP par les systèmes de l'attaquant.
• Détournement de courriel : Dans une attaque par détournement de courriel, l'attaquant s'insère dans un échange de courriels et intercepte et modifie les communications entre les parties. Par exemple, un attaquant ayant accès à la boîte de réception d'une partie pourrait dérober des données sensibles ou usurper son identité auprès de l'autre.
• Exploitation de vulnérabilités : Certains protocoles réseau chiffrés comportent des vulnérabilités qui pourraient permettre à l'attaquant de déchiffrer le trafic réseau et de l'écouter. Par exemple, le trafic TLS peut être vulnérable aux attaques par rétrogradation, où le client et le serveur sont amenés par la ruse à utiliser une version plus ancienne et non sécuritaire du protocole.

Dans tous ces scénarios, le trafic de la cible transite par les systèmes de l'attaquant. Cela peut se faire par écoute du trafic sans fil, qui diffuse des paquets à la portée de tous, ou par réacheminement du trafic de la cible vers les systèmes de l'attaquant.

Risques et conséquences

Les attaques MitM donnent à l'attaquant une visibilité sur le trafic réseau de la cible, et possiblement un contrôle sur celui-ci. Un attaquant en position d'intercepteur peut poser différents gestes, notamment :

• Écoute clandestine : Dans tous les cas, un intercepteur peut écouter le trafic non chiffré de l'utilisateur. Si le trafic n'est pas chiffré, c'est-à-dire s'il utilise un protocole comme Telnet ou HTTP, l'attaquant peut en extraire des identifiants de connexion et d'autres données sensibles. Même si la cible emploie un protocole réseau chiffré comme SSL/TLS, l'attaquant peut inspecter les en-têtes de paquets, qui livrent des renseignements utiles comme l'adresse IP et le port de destination.
• Modification : Dans le cas de protocoles réseau non chiffrés et non authentifiés, un attaquant en position d'intercepteur peut modifier le trafic en transit. Cela peut aussi être possible si la cible utilise, pour établir les clés de chiffrement et d'authentification, un protocole d'échange de clés vulnérable aux attaques de l'intercepteur, comme Diffie-Hellman.
• Déni de service (DoS) : Si les communications de la cible transitent par le système de l'attaquant, à la suite d'une usurpation ARP, d'un détournement de DNS ou d'un détournement BGP, l'attaquant peut mener une attaque par déni de service. Même sans connaître le contenu d'un paquet, il peut le rejeter pour empêcher la cible de communiquer avec l'autre partie.

Une attaque MitM réussie peut avoir des conséquences dramatiques pour une personne ou une organisation. Par exemple, un attaquant qui intercepte des identifiants de connexion peut s'en servir pour accéder aux systèmes d'une organisation. L'interception de données sensibles envoyées par un protocole non chiffré peut entraîner une atteinte à la vie privée ou une fuite de données. La modification du trafic en transit peut faire exécuter des commandes non autorisées sur un système.

Détection, prévention et atténuation

Les attaques MitM peuvent être extrêmement dommageables et mener à des fuites de données et à d'autres conséquences fâcheuses. Les organisations et les particuliers peuvent prendre diverses mesures pour les détecter, les prévenir et en atténuer les effets.

Techniques de détection

Les attaques MitM peuvent être très discrètes, surtout si l'attaquant dispose d'un accès privilégié et légitime au trafic réseau, comme c'est le cas d'un fournisseur d'accès Internet. Voici quelques méthodes pour détecter les attaques de l'intercepteur :

• Surveillance du réseau : Les attaques MitM peuvent introduire des anomalies dans le trafic réseau, décelables par la surveillance. Par exemple, un attaquant en position d'intercepteur provoquera vraisemblablement une hausse de la latence, puisque le trafic est réacheminé par ses systèmes à des fins d'inspection ou de modification.
• Validation des certificats numériques : La plupart des sites web et des services en ligne utilisent des certificats numériques pour chiffrer et authentifier le trafic réseau. Si les certificats ne sont pas de confiance ou présentent des anomalies (par exemple s'ils sont signés par une autorité de certification racine inhabituelle), cela peut signaler une attaque de l'intercepteur.
• Inspection des caches :> Les attaques par usurpation ARP et par détournement de DNS consistent à insérer de fausses entrées dans un cache DNS ou ARP. Vérifier et valider périodiquement les entrées de cache aide à repérer les tentatives d'attaque MitM.
• Surveillance des réseaux sans fil : Un attaquant en position d'intercepteur peut installer un point d'accès pirate pour inciter ses cibles à s'y connecter, ce qui lui donne accès à leur trafic réseau. Vérifier périodiquement la présence de points d'accès sans fil non autorisés aide à détecter cette technique d'interception particulière.

Stratégies de prévention

En matière d'attaques de l'intercepteur, la prévention vaut toujours mieux que la détection. Voici quelques pratiques exemplaires pour réduire le risque d'attaque MitM :

• Protocoles chiffrés : Le chiffrement est l'une des meilleures défenses contre les attaques MitM. Les protocoles chiffrés comme SSL/TLS empêchent l'attaquant de lire le trafic, ce qui rend aussi toute modification difficile à réaliser sans être détectée.
• Protocoles sécuritaires : En plus d'utiliser des protocoles chiffrés, il importe de vérifier que ces protocoles sont sûrs. Par exemple, les versions plus anciennes de TLS comportent des vulnérabilités qu'un attaquant peut exploiter pour miner le chiffrement du trafic.
• Réseaux privés virtuels : Les réseaux privés virtuels (VPN) offrent un chiffrement et une sécurité plus uniformes qu'un protocole chiffré. Les VPN acheminent l'ensemble du trafic dans un tunnel chiffré jusqu'au point de terminaison du VPN, ce qui protège contre les indiscrets en cours de route.
• Gestion des certificats : Les certificats numériques sont essentiels au chiffrement et à l'authentification du trafic réseau. Un système automatisé de gestion des certificats aide à garantir que ceux-ci sont valides et non expirés.
• Sensibilisation des employés : Dans certains cas, les attaques de l'intercepteur se manifestent par des messages d'erreur, par exemple un navigateur signalant qu'un certificat numérique n'est pas de confiance. Former les utilisateurs à reconnaître ces situations et à y réagir correctement réduit le risque qu'ils contournent ces protections.

Stratégies d'atténuation

Si un attaquant réussit une attaque MitM, l'organisation peut prendre des mesures pour en limiter les effets. Voici quelques pratiques exemplaires pour atténuer cette menace :

• Authentification multifacteur (MFA) : Les attaques MitM servent souvent à intercepter des identifiants de connexion que les attaquants réutiliseront lors d'attaques ultérieures. La MFA aide à contrer cette menace en exigeant plusieurs types de facteurs d'authentification, ce qui réduit le risque qu'un attaquant accède au compte d'un utilisateur.
• Gestion des correctifs : Les attaquants en position d'intercepteur peuvent se servir de leur accès pour exploiter des systèmes vulnérables. L'application rapide des correctifs et des mises à jour aide à réduire cette menace.
• Sécurité des terminaux :
  Les attaques de l'intercepteur peuvent viser à exploiter des vulnérabilités et à livrer un maliciel à un ordinateur. Les solutions de sécurité des terminaux aident à prévenir ou à atténuer ces menaces.

Exemples récents et études de cas

Les attaques MitM peuvent avoir des répercussions concrètes variées, dont le vol de données sensibles ou de fonds d'une organisation. Les études de cas suivantes illustrent certains des effets que ces attaques ont eus par le passé.

Equifax

En 2017, Equifax a subi une importante fuite de données qui a exposé les renseignements personnels de plus de 143 millions d'Américains. À la suite de l'incident, l'entreprise a mis en ligne un site à l'adresse equifaxsecurity2017.com.

Outre la mauvaise pratique consistant à employer une URL qui ressemble à un site d'hameçonnage, sans aucun lien avec le domaine equifax.com, le site d'information sur la brèche utilisait aussi un certificat SSL partagé. Autrement dit, le même certificat numérique servait à des milliers d'autres sites web.

Résultat : un attaquant utilisant le même certificat SSL pouvait mener une attaque de l'intercepteur en se faisant passer pour le véritable site equifaxsecurity2017.com. Les attaquants pouvaient rediriger les visiteurs vers un site malveillant ou intercepter et modifier les données échangées entre l'utilisateur et le site authentique.

Un administrateur système malveillant

En 2018, une entreprise établie à Oxford a été victime d'une attaque par rançongiciel. Comme à l'habitude, les cybercriminels derrière l'attaque ont transmis une demande de rançon et amorcé des négociations avec l'entreprise par courriel.

Ce cas sortait de l'ordinaire : un administrateur système de l'entreprise a mené une attaque MitM contre son employeur et le groupe de rançongiciel à son propre profit. Profitant de ses privilèges sur le réseau et sur le serveur de courriel de l'entreprise, il a modifié le contenu des messages envoyés par le gang. Il a notamment remplacé les adresses de paiement en bitcoins par des adresses qu'il contrôlait et modifié le montant de la rançon ainsi que certaines menaces adressées à l'entreprise.

Au bout du compte, l'entreprise a choisi de ne pas payer la rançon, si bien que l'administrateur malveillant n'a touché aucune somme. Il a aussi été démasqué et, cinq ans plus tard, il a plaidé coupable en juillet 2023.

Une jeune pousse israélienne

En 2019, un cybercriminel a dérobé environ 1 million de dollars à une jeune pousse israélienne. Cette somme avait été envoyée par une société de capital-risque chinoise et a été interceptée au moyen d'une attaque MitM sophistiquée.

L'attaquant avait accès au compte de courriel de la victime, ce qui lui permettait de suivre les échanges entre la jeune pousse et la société de capital-risque. Il a ensuite créé deux domaines sosies, imitant chacun l'une des parties, et a envoyé à chacune des courriels qui semblaient être des réponses dans le fil de discussion existant.

Lorsque les victimes répondaient à ces courriels, leurs messages aboutissaient chez l'attaquant plutôt que chez l'autre organisation. L'attaquant pouvait alors mener une attaque de l'intercepteur sur toutes les communications ultérieures, en modifiant au besoin le contenu des courriels avant de les retransmettre à l'autre partie. La fraude n'a finalement été découverte que lorsque Check Point a été appelée à analyser les journaux de courriels, après qu'un paiement de 1 million de dollars n'eut jamais atteint la jeune pousse.

Conclusion

Dans une attaque de l'intercepteur, ou attaque sur le chemin, un attaquant intercepte le trafic réseau entre deux parties ou l'écoute clandestinement. Ces attaques peuvent prendre diverses formes : écoute du trafic sur un réseau Wi-Fi public, attaques par détournement et par usurpation visant différents protocoles réseau, ou interception de courriels et d'autres messages échangés entre les deux parties.

Les conséquences d'une attaque MitM réussie peuvent être considérables pour une personne comme pour une organisation. Ces attaques peuvent entraîner, et ont déjà entraîné, le vol de données sensibles ou des pertes financières importantes pour des entreprises. Prendre des mesures pour protéger les communications, comme utiliser un VPN et former les employés à reconnaître les tentatives d'attaque, peut réduire considérablement l'exposition au risque d'une organisation.

Le vol d'identifiants de connexion, qui permet à un attaquant d'accéder aux comptes de l'entreprise, est l'une des conséquences fréquentes des attaques de l'intercepteur. Multi-Pass de KZero Passwordless élimine cette menace grâce à une authentification biométrique multifacteur immunisée contre les attaques MitM et les attaques apparentées. Apprenez-en davantage sur la façon de sécuriser les comptes de vos employés et de vos utilisateurs avec Multi-Pass.

Howard Poston



Howard Poston est rédacteur publicitaire, auteur et concepteur de cours, avec une expérience en cybersécurité, en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, cumule dix ans d'expérience en cybersécurité et plus de cinq ans comme consultant indépendant.