Réseaux
locaux sans fil : prévoir le spoofing via le protocole
ARP
Via une station pirate se faisant passer pour un composant légitime, un réseau local sans fil peut être piraté. Le protocole ARP, ici incriminé, doit être sécurisé pour se mettre à l'abri, mais pas dans les hotspots. (Mercredi 3 décembre
2003)
Dans un réseau local
sans fil, il est une faille potentielle qu'il vaut mieux
anticiper et colmater sous peine de voir des techniques
de spoofing s'appliquer au protocole ARP (Adress
Resolution Protocol).
Ce protocole permet en effet, dans ce genre de configuration,
de traduire dynamiquement une adresse de type logique
(adresse IP) en adresse physique (adresse MAC). Mais si
un pirate envoie de fausses informations, en se faisant
passer pour un élément du réseau,
il peut s'y introduire, en prendre le contrôle et
accéder à des données sensibles.
Une technique que nos confrères de Wi-Fi Planet
ont récemment relatée. Des solutions de
sécurisation sont heureusement disponibles.
Le
protocole ARP au centre du dispositif
Le protocole ARP permet d'associer l'adresse physique
d'un composant de réseau local - qu'il soit filaire
ou sans fil - à une adresse IP. L'adresse physique
(adresse MAC : Medium Access Control) est intégrée
dans la carte réseau (carte NIC : Network Interface
Card). Cette carte a besoin de connaître l'adresse
MAC des autres composants du réseau pour fonctionner
et échanger des données, tandis que les
applications en place ne comprennent que le langage des
adresses IP.
Le protocole ARP fait donc le lien entre ces deux mondes.
Les applications recherchent une adresse IP précise
et utilisent pour ce faire la carte NIC qui, elle, envoie
une requête ARP à tous les éléments
du réseau. La machine dont l'adresse IP correspond
envoie à son tout une réponse ARP, qui contient
à la fois son adresse MAC et IP. C'est là
que le bas peut éventuellement blesser.
Une
faille d'usurpation d'adresse En cas de spoofing (technique de
mystification visant à se faire passer pour un composant donné),
un pirate peut, depuis un élément corrompu du réseau, envoyer
une fausse réponse ARP contenant la véritable adresse IP d'un autre
élément du réseau - comme par exemple un routeur ou un point
d'accès sans fil - et l'adresse MAC de l'élément "voyou"
en question.
Dès lors, toutes
les stations réactualisent le mapping du
réseau en tenant compte de l'intrus qui, au passage,
a pu réussir à se substituer au véritable
point d'accès ou au routeur. A partir de ce moment
là, le pirate est aux commandes du réseau
et peut en disposer comme bon lui semble.
La solution à ce problème
est d'utiliser un protocole ARP sécurisé
(SARP : Secure ARP). Un tunnel sécurisé
entre chaque composant du réseau et le point d'accès
sera alors créé, interdisant tout paquet
de données ARP non autorisé. Mais cette
solution requiert d'installer un logiciel spécifique
sur chaque client du réseau, ce qui est incompatible,
par exemple, avec un hotspot.
[