Lebosq Networks, accueilDemander un devis

Pourquoi sécuriser un réseau ? · leçon 3 sur 6

Les attaques côté protocoles

Couches OSI ciblées : Couche 2 (Liaison) · Couche 3 (Réseau) · Couche 7 (Application)

Plan du cours

Pourquoi sécuriser un réseau ?

  1. Pourquoi sécuriser un réseau ?
  2. Les attaques côté réseau
  3. Les attaques côté protocoles
  4. Les premières lignes de défense
  5. Analyser du trafic
  6. Et maintenant ?
2010 — Café Wi-Fi, San Francisco

Un développeur publie Firesheep, une extension Firefox en un clic qui intercepte les cookies de session Facebook, Twitter et Gmail sur les réseaux Wi-Fi ouverts. En 24h, elle est téléchargée plus de 100 000 fois. Des milliers de comptes sont potentiellement accessibles dans chaque café branché.

L'auteur n'a pas cassé de chiffrement. Il a juste écouté le réseau. Les protocoles HTTP transmettaient les cookies en clair. Firesheep a forcé l'industrie à adopter HTTPS partout.

Ces attaques ne cassent rien par la force. Elles exploitent la confiance aveugle que les protocoles réseau accordent aux messages qu'ils reçoivent. ARP, DNS — ces protocoles ont été conçus pour fonctionner, pas pour se méfier.

Rappel : à quoi sert ARP ?

Vous avez vu dans le module réseau que la couche 2 (Liaison) utilise des adresses MAC, et que la couche 3 (Réseau) utilise des adresses IP. Le protocole ARP (Address Resolution Protocol) fait le lien entre les deux.

Machine A broadcast sur le réseau : "Qui a l'adresse IP 192.168.1.1 ?"
↓
✅ Machine B répond : "C'est moi, mon adresse MAC est AA:BB:CC:DD:EE:FF"
↓
Machine A mémorise cette association dans son cache ARP
⚠ Le problème : ARP est un protocole sans authentification. N'importe qui peut répondre à une requête ARP — même sans y être invité. Et le cache ARP sera mis à jour.

ARP Spoofing — empoisonner le cache

L'ARP Spoofing (ou ARP Poisoning) consiste à envoyer de fausses réponses ARP pour associer l'adresse MAC de l'attaquant à l'adresse IP d'un hôte légitime.

L'attaquant envoie à la victime : "L'adresse MAC de la passerelle 192.168.1.1, c'est MOI"
L'attaquant envoie à la passerelle : "L'adresse MAC de la victime 192.168.1.50, c'est MOI"
↓
Tout le trafic entre la victime et Internet passe désormais par l'attaquant — c'est un MITM.

MITM — Man In The Middle

Une fois positionné en MITM via ARP Spoofing, l'attaquant peut :

Écouter

Lire tout le trafic en clair (mots de passe HTTP, cookies...)

Modifier

Altérer les données en transit (injecter du code, changer des montants...)

Bloquer

Ne pas retransmettre certains paquets (déni de service ciblé)

Défense contre ARP Spoofing : Dynamic ARP Inspection (DAI) sur les switches managés — le switch vérifie chaque réponse ARP avant de l'accepter. Également : utiliser HTTPS (même intercepté, le trafic est chiffré).

DNS Spoofing — rediriger sans que personne ne le voit

Le DNS (Domain Name System) traduit un nom de domaine en adresse IP : www.ma-banque.fr → 185.42.13.7. Si un attaquant peut empoisonner votre cache DNS, il peut vous rediriger vers un faux site qui ressemble exactement à l'original.

Vous tapez : www.ma-banque.fr
Le cache DNS corrompu répond : IP de l'attaquant
Votre navigateur charge : le faux site de l'attaquant
Vous entrez vos identifiants... directement chez l'attaquant.
Cas réel : En 2018, des attaquants ont redirigé le trafic DNS de MyEtherWallet (portefeuille crypto) pendant environ 2 heures en compromettant des serveurs DNS. 150 000 dollars de cryptomonnaie volés.
Défense : DNSSEC (signatures cryptographiques sur les réponses DNS) · Toujours vérifier le cadenas HTTPS dans votre navigateur.
À retenir
  • ARP Spoofing = usurper une adresse MAC → se placer en MITM (couche 2)
  • DNS Spoofing = corrompre la résolution de noms → rediriger vers un faux site (couche 7)
  • MITM = intercepter, lire, modifier le trafic en transit
  • HTTPS est la première ligne de défense contre le MITM — même intercepté, le trafic est chiffré. C'est une raison de plus d'étudier la cryptographie...

Cours mis à jour en mars 2026.