Faux DHCP et usurpation ARP : DHCP snooping et DAI
1982. C'est l'année où ARP a été défini, dans la RFC 826, et il croit toujours celui qui répond. DHCP ne vaut guère mieux : sa propre norme indique que des serveurs DHCP non autorisés peuvent être facilement mis en place.
Réunissez les deux, et un simple ordinateur portable peut devenir la passerelle de votre réseau.
La technique
Un serveur DHCP pirate répond aux nouveaux clients avant le vrai, et distribue sa propre adresse comme passerelle ou comme serveur DNS.
L'usurpation ARP (ARP spoofing) obtient le même résultat sur les hôtes qui ont déjà une adresse : elle leur annonce que l'IP de la passerelle se trouve désormais à l'adresse MAC de l'attaquant.
Le DHCP snooping est désactivé par défaut chez Cisco, Huawei, Aruba et Juniper.
À quel point est-ce facile ?
Un port dans le VLAN. Aucun compte. Les deux protocoles acceptent la première réponse plausible, et rien en eux ne vérifie qui parle.
Le principe de fonctionnement
Un nouveau portable demande une adresse. Deux serveurs répondent : le vrai, au loin, et le pirate, juste à côté. La première réponse l'emporte.
Pour les machines déjà en service, la table ARP est réécrite, et l'adresse de la passerelle pointe désormais vers l'attaquant. Chaque paquet passe par une machine qui n'aurait jamais dû le voir.
L'impact
Les clients utilisent l'attaquant comme passerelle ou comme serveur DNS. Le trafic peut être lu et modifié au passage.
Et le réseau a l'air normal : tout le monde obtient toujours une adresse, et tout fonctionne toujours.
Comment fermer la porte
Activez le DHCP snooping sur les VLAN utilisateurs, et ne faites confiance qu'aux ports qui mènent à vos vrais serveurs DHCP. Activez ensuite la Dynamic ARP Inspection, qui vérifie l'ARP par rapport aux adresses enregistrées par le snooping.
Par défaut, Cisco limite l'ARP sur les ports non fiables à 15 paquets par seconde, et coupe un port qui dépasse ce seuil.
Et un détail chez Juniper : les ports trunk sont considérés comme fiables par défaut, si bien que l'ARP sur un trunk échappe à l'inspection.
Ce que NacTrack montre
NacTrack vérifie la présence du DHCP snooping et de la Dynamic ARP Inspection sur les commutateurs Cisco et Huawei.
Sources
Sources : RFC 826, RFC 2131, guides DHCP snooping et DAI Cisco Catalyst 9300, Huawei, Aruba AOS-CX 10.14, Juniper EX.
Formation défensive : l'attaque est montrée dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Les sorties de commande et les configurations sont des exemples ; vérifiez votre plateforme et votre version dans la documentation du constructeur.
Savoir où votre réseau est exposé
NacTrack relève les versions et les configurations sur vos équipements, et les confronte aux avis publiés.