Le protocole ARP et pourquoi il est sensible

Une machine qui veut envoyer un paquet à une autre sur le même réseau local connaît son adresse IP, mais les trames Ethernet, elles, ont besoin d'une adresse MAC. Qui fait le lien ? Un protocole très ancien, très simple, et sans aucune authentification : ARP. Comprendre pourquoi il est sensible est un excellent exercice pour saisir comment une confiance excessive devient une faille.

Dans la leçon précédente, vous avez appris à capturer et filtrer du trafic. Nous allons maintenant observer en direct le protocole ARP dans votre propre laboratoire d'essai, et analyser pourquoi les défenseurs le surveillent.

Le problème que résout ARP

Sur un réseau local, deux machines ne se parlent pas avec des adresses IP mais avec des adresses MAC : c'est ce qu'utilisent les switches. Quand votre ordinateur (192.168.1.25) veut joindre l'imprimante (192.168.1.40), il doit donc découvrir l'adresse MAC associée à cette adresse IP. C'est le rôle d'ARP (Address Resolution Protocol).

Le dialogue se déroule en deux temps :

1. La requête ARP, envoyée en diffusion (à tout le réseau local) : « Qui possède l'adresse 192.168.1.40 ? Répondez à 192.168.1.25. »
2. La réponse ARP, envoyée directement à l'émetteur : « C'est moi : 192.168.1.40 est à l'adresse MAC 08:00:27:ab:cd:ef. »

L'ordinateur mémorise ce résultat dans sa table ARP (un cache) pour éviter de reposer la question à chaque paquet. Chaque entrée expire au bout d'un temps assez court.

Notez bien ceci : ARP ne concerne que le réseau local. Pour joindre une machine d'un autre réseau, votre ordinateur envoie le paquet à la passerelle par défaut, donc il résout l'adresse MAC de la passerelle, pas celle de la destination finale.

Observer ARP chez soi

Vous pouvez consulter la table ARP de votre machine avec ces commandes :

ip neigh         # Linux
arp -a           # macOS, Windows, et Linux avec net-tools

Vous y verrez des paires « adresse IP, adresse MAC », parfois avec un état (REACHABLE, STALE…). Dans Wireshark, le filtre arp isole ces échanges : la requête a pour destination ff:ff:ff:ff:ff:ff (adresse de diffusion), la réponse est adressée à la machine qui a posé la question.

Pourquoi ARP est-il sensible ?

ARP date d'une époque où l'on partageait un réseau local avec des personnes de confiance. Résultat, deux choix de conception lui valent une réputation de faiblesse :

• Aucune authentification : le protocole ne vérifie pas que la réponse vient bien de la machine légitime. Toute machine du réseau local peut prétendre posséder n'importe quelle adresse IP.
• Des réponses acceptées sans demande : la plupart des systèmes acceptent de mettre à jour leur cache à la réception d'une réponse ARP, même s'ils n'ont posé aucune question.

Conséquence : une machine malveillante connectée au réseau local peut envoyer de fausses réponses ARP pour se faire passer, aux yeux des autres, pour la passerelle ou pour un autre équipement. Le trafic transite alors par elle avant d'arriver à destination : c'est ce qu'on appelle l'usurpation ARP (ARP spoofing ou ARP poisoning) et l'attaque de l'homme du milieu (Man-in-the-Middle) qui peut en découler. L'attaquant peut alors lire, voire modifier, tout ce qui n'est pas chiffré.

Il est important de bien situer cette menace : elle suppose que l'attaquant se trouve déjà sur le même réseau local que sa victime (le même Wi-Fi, le même VLAN). C'est pourquoi les réseaux Wi-Fi publics sont un environnement à risque, et pourquoi le principe de la défense en profondeur est précieux : même si le réseau est hostile, le chiffrement de bout en bout (HTTPS, SSH, VPN) protège le contenu.

Comment se défendre et détecter

Pour un administrateur, plusieurs mesures permettent de réduire le risque :

• Segmenter le réseau (VLAN, sous-réseaux) pour limiter le nombre de machines pouvant se parler directement : c'est le thème de la leçon suivante.
• Utiliser la sécurité des ports du switch : limiter le nombre d'adresses MAC par port, désactiver les ports inutilisés.
• Activer l'inspection ARP dynamique sur les équipements qui la proposent : le switch compare les réponses ARP avec une base de correspondances fiables (souvent alimentée par le DHCP) et rejette celles qui sont incohérentes.
• Utiliser des entrées statiques pour les équipements critiques comme la passerelle (solution limitée aux petits réseaux).
• Chiffrer les communications partout où c'est possible, pour que l'interception soit inutile.
• Surveiller : une même adresse IP qui apparaît soudain avec deux adresses MAC différentes, ou une avalanche de réponses ARP non sollicitées, sont des signaux d'alerte. Des outils de supervision et de détection d'intrusion savent les repérer.

Du côté de l'utilisateur, un message d'avertissement de certificat inattendu en navigant est un indice à ne jamais ignorer : une interception HTTPS sans certificat valide déclenche une alerte dans le navigateur. N'acceptez jamais ces avertissements par habitude.

Ce qu'on retient de l'étude d'ARP

ARP est un cas d'école. Il illustre une idée qui reviendra dans tout le parcours : un protocole conçu sans notion de sécurité devient exploitable dès que son environnement n'est plus de confiance. On retrouve le même schéma avec d'autres protocoles historiques (certains services de partage, des protocoles de découverte automatique, le courrier électronique à l'origine). La réponse des défenseurs est toujours la même : réduire la confiance implicite, segmenter, chiffrer, journaliser.

En IPv6, ARP est remplacé par un mécanisme similaire, la découverte de voisins (NDP), qui a ses propres sensibilités et ses propres protections ; nous y reviendrons dans la dernière leçon de ce chapitre.

À vous de jouer

Exercice 1. Affichez votre table ARP. Identifiez l'entrée de votre passerelle (comparez avec l'adresse notée au chapitre 1). Combien d'autres machines connaît-elle ?

Exercice 2. Lancez une capture Wireshark sur votre interface principale avec le filtre d'affichage arp. Videz le cache de l'entrée de la passerelle si votre système le permet (sous Linux : sudo ip neigh flush dev <interface>, en remplaçant <interface> par le nom de votre interface, par exemple eth0), puis exécutez ping vers votre passerelle. Repérez la requête et la réponse ARP.

Exercice 3 (réflexion). Un utilisateur se connecte à un Wi-Fi public et consulte uniquement des sites en HTTPS. Quelle est la protection réelle contre une usurpation ARP, et que reste-t-il visible pour l'attaquant ?

ARP montre pourquoi limiter la taille d'un réseau local est une bonne idée. Voyons comment on y parvient concrètement : par la segmentation, notamment grâce aux VLAN.