M117 – Sécurisation d’un réseau

1. Introduction 2. Description d’attaques sur différents protocoles et Introduction Ce chapitre décrit les failles intrinsèques de différents protocoles. Intrinsèques par le fait qu’elles ne sont pas liées à une faille applicative du client ou du serveur gérant ce protocole, mais plutôt à sa conception. Nous présenterons aussi la manière de s’en protéger.

Le protocole DHCP est utilisé pour délivrer dynamiquement une adresse IP unique pour chaque machine le demandant sur le réseau interne. En clair, si un client interne veut obtenir une adresse IP pour bénéficier des services réseau, il envoie un message DHCP à tout le réseau (broadcast) pour trouver le serveur DHCP. Le serveur DHCP répondra en lui envoyant tous les paramètres de configuration réseau.

Ce service permet «d’alléger» la gestion du réseau en évitant d’avoir des configurations statiques à maintenir sur chaque machine. Malheureusement, le protocole DHCP comporte diverses failles que nous allons vous présenter.

Comme il l’a été décrit, un serveur DHCP possède un stock d’adresses IP qu’il distribue aux différents clients. Ce stock est bien sûr limité. Il y aura seulement un nombre défini de clients pouvant disposer des différentes adresses IP en même temps. Si le serveur est bien administré avec une liste «fermée» de correspondances entre adresses MAC et IP aucune attaque par épuisement n’est possible.

Si le service est mal administré ; c’est à dire que les correspondances entre adresses MAC et IP se font dynamiquement à partir d’une plage d’adresses IP vacantes, le scénario suivant est possible.

Si un pirate génère un grand nombre de requêtes DHCP semblant venir d’un grand nombre de clients différents, le serveur épuisera vite son stock d’adresses. Les «vrais» clients ne pourront donc plus obtenir d’adresse IP : le trafic réseau sera paralysé.

Cette attaque vient en complément de la première. Si un pirate a réussi à saturer un serveur DHCP par épuisement de ressources, il peut très bien en activer un autre à la place. Ainsi il pourra ainsi contrôler tout le trafic réseau.

Chaque fois que c’est possible, il faut limiter le service DHCP à une liste «fermée» de correspondances d’adresses MAC et IP. De cette façon toute requête «étrangère» à cette liste est systématiquement rejetée.