Plan du cours
À 7h du matin, Twitter devient inaccessible. Puis Netflix, Amazon, Spotify, Reddit, PayPal. Ce n'est pas une panne — c'est une attaque. Des pirates ont mobilisé un réseau de 600 000 objets connectés compromis (caméras, box internet, DVR) pour inonder le fournisseur DNS Dyn de requêtes.
Résultat : une grande partie d'Internet est hors ligne pendant 11 heures. C'est l'attaque DDoS la plus puissante jamais enregistrée à l'époque. Son auteur ? Un étudiant de 21 ans.
L'objectif d'une attaque par déni de service n'est pas de voler des données — c'est de rendre un service inaccessible. En attaquant la Disponibilité, le pilier D de la triade CIA.
DoS vs DDoS — quelle différence ?
Une seule machine attaque une cible. Facile à bloquer en filtrant l'IP source. Moins puissant, mais utile pour tester une vulnérabilité.
Des milliers ou millions de machines (un botnet) attaquent simultanément. Impossible de bloquer toutes les sources. C'est ce qu'a subi Dyn en 2016.
SYN Flood — exploiter le handshake TCP
Pour comprendre cette attaque, il faut rappeler comment TCP établit une connexion. C'est le handshake en 3 étapes :
Dans une attaque SYN Flood, l'attaquant envoie des milliers de SYN avec une adresse IP falsifiée. Le serveur répond SYN-ACK et attend l'ACK... qui ne vient jamais. Sa file d'attente se remplit, et il ne peut plus accepter de vraies connexions.
Défense : SYN Cookies — le serveur ne réserve des ressources qu'une fois l'ACK reçu.
Smurf — amplifier l'attaque avec le broadcast
L'attaque Smurf est une technique d'amplification. L'attaquant envoie une requête ICMP echo (ping) en diffusion sur un réseau, en usurpant l'adresse IP de la victime.
Défense : Désactiver les broadcasts dirigés sur les routeurs (option désactivée par défaut depuis les années 2000).
Ping of Death & Teardrop — exploiter la fragmentation IP
Ces deux attaques exploitent le mécanisme de fragmentation des paquets IP — le fait que les grands paquets sont découpés en morceaux avant d'être envoyés, puis reconstitués à l'arrivée.
Un paquet ICMP ne peut pas dépasser 65 535 octets. L'attaquant envoie un paquet plus grand, fragmenté. En tentant de le réassembler, le système cible déborde en mémoire et plante. Historique mais fondateur — les OS modernes sont immunisés.
L'attaquant envoie des fragments IP avec des décalages qui se chevauchent intentionnellement. Le système cible ne sait pas comment les réassembler et plante. Variante : les fragments sont si petits ou si mal formés qu'ils saturent le CPU.
- Les attaques DoS/DDoS visent la Disponibilité — elles ne volent pas, elles paralysent
- SYN Flood = exploiter le handshake TCP (couche 4)
- Smurf = amplifier via le broadcast ICMP (couche 3)
- Les attaques sur la fragmentation IP (Teardrop, Ping of Death) sont historiques mais expliquent pourquoi les OS modernes valident les paquets à la réception
Cours mis à jour en mars 2026.