Chapitre 7 — Sniffing Réseau & MITM

⏱ ~25 min autonome · ~40 min encadré

Ce chapitre couvre trois familles de menaces qui n'exploitent pas nécessairement une vulnérabilité logicielle : l'écoute du trafic réseau, la manipulation humaine, et la saturation de services. On commence par le sniffing et les attaques de l'homme du milieu.

Expliquer le principe de la capture de trafic réseau (sniffing).
Décrire le mécanisme de l'empoisonnement ARP et son rôle dans une attaque MITM.
Proposer des contre-mesures efficaces contre le sniffing et les attaques de l'homme du milieu.

Principe de la capture de trafic

Le sniffing consiste à intercepter et analyser le trafic circulant sur un réseau. Sur un réseau non chiffré, cela peut exposer directement des identifiants, des courriels, ou tout contenu échangé en clair. Historiquement plus facile sur les réseaux à concentrateur (hub), où tout le trafic était visible par toutes les machines connectées, le sniffing sur les réseaux modernes à commutateur (switch) nécessite généralement une technique active pour rediriger le trafic — l'empoisonnement ARP en étant l'exemple le plus courant.

ARP spoofing / empoisonnement ARP

Le protocole ARP (Address Resolution Protocol) associe une adresse IP à une adresse matérielle (MAC) sur un réseau local, sans mécanisme d'authentification intégré. L'empoisonnement ARP exploite cette absence de vérification : un attaquant envoie de fausses réponses ARP pour associer sa propre adresse MAC à l'adresse IP d'une autre machine (souvent la passerelle réseau), redirigeant ainsi le trafic destiné à cette machine vers lui-même, avant de le retransmettre à sa véritable destination pour ne pas éveiller de soupçons.

Mémorisez ! ARP fonctionne sur la confiance implicite : aucune machine ne vérifie qu'une réponse ARP provient réellement de qui elle prétend être. C'est cette absence d'authentification, pas une faille de code, qui rend l'empoisonnement ARP possible.

Attaques de l'homme du milieu (MITM)

Une fois le trafic redirigé (par empoisonnement ARP ou par d'autres moyens, comme un faux point d'accès Wi-Fi — voir Chapitre 9), l'attaquant se positionne littéralement entre les deux parties d'une communication, capable de lire, voire de modifier, les échanges sans que ni l'une ni l'autre ne s'en aperçoive — d'où le nom man-in-the-middle.

Scénario : Un attaquant positionné en MITM sur un réseau Wi-Fi public intercepte une session non chiffrée. Si la connexion utilise HTTPS correctement, l'attaquant voit du trafic chiffré illisible ; s'il parvient à convaincre l'utilisateur d'accepter un certificat invalide ou à rediriger vers une version non chiffrée du site, la protection s'effondre. C'est pourquoi HTTPS avec validation stricte des certificats reste la défense la plus fondamentale contre le MITM.

Contre-mesures

Chiffrement de bout en bout (HTTPS, VPN) : rend le contenu intercepté illisible même si le trafic est effectivement capturé.
Segmentation réseau : limite la portée d'un empoisonnement ARP à un seul segment plutôt qu'à l'ensemble du réseau.
Détection d'ARP statique ou de surveillance : certains outils alertent lorsqu'une association IP-MAC change de façon suspecte.

📖 Pour la culture

Sandworm (Andy Greenberg) documente les attaques attribuées à un groupe étatique russe, incluant des coupures de courant en Ukraine et la propagation mondiale du malware NotPetya — un cas d'école sur la chaîne d'attaque complète en pratique, à l'échelle d'un conflit géopolitique. Lecture optionnelle, pas matière à quiz.

Suite du chapitre → Ingénierie Sociale

Quiz — Sniffing & MITM

1. Pourquoi le sniffing sur un réseau à commutateur (switch) moderne nécessite-t-il généralement une technique active ?

Les commutateurs chiffrent tout le trafic automatiquement Contrairement à un concentrateur, un commutateur ne diffuse le trafic qu'à son destinataire prévu Les commutateurs bloquent tout sniffing par défaut Ce n'est jamais possible sur un commutateur

Un commutateur limite la diffusion du trafic au destinataire prévu, contrairement à un concentrateur où tout est visible par tous.

2. Sur quelle faiblesse repose l'empoisonnement ARP ?

Un bug rare du système d'exploitation Une faille dans le chiffrement TLS L'absence de mécanisme d'authentification dans le protocole ARP Un mot de passe par défaut sur le routeur

ARP ne vérifie jamais qu'une réponse provient réellement de la machine qu'elle prétend représenter.

3. Que fait typiquement un attaquant après avoir intercepté le trafic via empoisonnement ARP, pour éviter d'éveiller les soupçons ?

Il retransmet le trafic vers sa véritable destination Il bloque tout le trafic du réseau Il déconnecte immédiatement la victime Il chiffre le trafic intercepté

Retransmettre le trafic vers sa destination réelle permet à la communication de sembler normale, malgré l'interception.

4. Quelle est la défense la plus fondamentale contre une attaque MITM sur un site web ?

Changer fréquemment de réseau Wi-Fi Désactiver le DNS Utiliser un mot de passe plus long HTTPS avec validation stricte des certificats

Le chiffrement HTTPS avec validation stricte des certificats rend l'interception illisible et détecte les certificats falsifiés.

5. Que se passe-t-il si un utilisateur accepte un certificat invalide sur une connexion autrement protégée par HTTPS ?

Rien, HTTPS reste toujours sûr La protection contre le MITM peut s'effondrer Le trafic est automatiquement bloqué L'attaque ARP devient impossible

Accepter un certificat invalide contourne précisément la protection que HTTPS est censé offrir contre le MITM.

6. Comment la segmentation réseau limite-t-elle l'impact d'un empoisonnement ARP ?

Elle chiffre automatiquement tout le trafic Elle empêche toute communication réseau Elle confine l'impact à un seul segment réseau plutôt qu'à l'ensemble Elle élimine le besoin de HTTPS

La segmentation limite la portée d'une attaque ARP à un segment isolé plutôt qu'à tout le réseau.

7. Que signifie littéralement « man-in-the-middle » ?

Un attaquant situé physiquement dans les locaux de la victime Un logiciel malveillant de type ver Une attaque limitée aux réseaux filaires Un attaquant positionné entre les deux parties d'une communication

Le nom décrit littéralement la position de l'attaquant, capable d'observer voire de modifier les échanges entre deux parties.

8. Un point d'accès Wi-Fi malveillant (voir Chapitre 9) peut faciliter quel type d'attaque vue dans ce chapitre ?

Une attaque de l'homme du milieu (MITM) Un rançongiciel uniquement Une injection SQL Une élévation de privilèges verticale

Un faux point d'accès est un autre moyen courant de positionner un attaquant en MITM, en plus de l'empoisonnement ARP.

9. Sur un réseau non chiffré, que peut exposer directement le sniffing ?

Uniquement l'adresse IP publique Le firmware du routeur Des identifiants, courriels ou contenus échangés en clair Rien si le pare-feu est actif

Un trafic non chiffré expose directement son contenu à quiconque parvient à l'intercepter.

10. Quel type d'outil peut alerter une équipe de sécurité d'un empoisonnement ARP en cours ?

Un simple antivirus basé sur signatures Un outil de surveillance des associations IP-MAC Un scanner de vulnérabilités web Un gestionnaire de mots de passe

Surveiller les changements suspects d'association IP-MAC permet de détecter un empoisonnement ARP en cours.