4 conséquences dangereuses du spoofing IP
Le spoofing IP — falsification adresse IP source dans paquets — permet attaquants de cacher identité et usurper hôtes de confiance. Voici quatre vecteurs d'attaque majeurs qu'il alimente :
1. Amplification et Réflexion DDoS (ex: Smurf, NTP, DNS, Memcached)
- Mécanisme : Attaquant envoie requêtes serveurs vulnérables (réflecteurs) avec IP victime spoofée comme source.
- Résultat : Réflecteurs inondent victime grosses réponses (facteur amplification 28x–50 000x).
- Smurf classique : ICMP Echo Request vers adresse broadcast → tous hôtes répondent à victime.
- Moderne : NTP (monlist), DNS (ANY), Memcached (1,3 Tbps enregistré).
- Impact : Saturation bande passante, interruption service, dommages collatéraux réflecteurs.
2. Man-in-the-Middle (MitM) et Détournement session
- Mécanisme : Attaquant spoof IPs client/serveur pour intercepter handshake TCP (prédiction numéro séquence) ou spoofing ARP/DNS sur LAN.
- Résultat : Écoute trafic non-chiffré (HTTP, FTP, Telnet), injection malware, vol cookies session, modification transactions.
- Atténuation : TLS 1.2/1.3 (chiffre + authentifie), HSTS, certificate pinning, VPN.
3. Infrastructure Phishing et Ingénierie sociale
- Mécanisme : IPs spoofées hébergent fausses pages login (banque, O365, VPN) ou envoient emails spoofés (via relais compromis) apparaissant domaines de confiance.
- Résultat : Vol identifiants, livraison malware, compromission email professionnel (BEC).
- Note : Spoofing email utilise contournement SPF/DKIM/DMARC, pas spoofing IP brut, mais spoofing IP aide héberger sites phishing anonymement.
4. Contournement contrôles d'accès et Reconnaissance
- Exploitation confiance : Beaucoup systèmes legacy (rsh, rlogin, NFS, pare-feu basés IP) autorisent accès basé IP source. Spoofing donne entrée.
- Scan aveugle : Attaquant spoof IPs aléatoires pour scanner cible sans révéler propre IP (réponses vont vers IPs spoofées).
- Injection TCP RST : Paquets RST spoofés coupent connexions (censure, perturbation).
Défenses
- Filtrage entrant (BCP 38) : FAIs drop paquets avec IPs source pas dans plage assignée client.
- Filtrage sortant : Votre pare-feu drop paquets sortants avec sources non-interne.
- Authentification cryptographique : TLS, IPsec, clés SSH — IP spoofée ne peut compléter handshake.
- TCP SYN Cookies : Atténue floods SYN sans état.
- RPKI / BGPsec : Prévient détournement routage (couche supérieure).
Le spoofing IP reste outil fondamental pour anonymat et abus confiance. Filtrage couche réseau + crypto couche application = seule défense robuste.