Address Resolution Protocol — Wikipédia

L’Request for comments Neighbor Discovery Protocol (NDP).

Dans la suite de l’article, le terme d'adresse IP est utilisé pour parler d’adresse IPv4.

broadcast, tous les ordinateurs du segment vont recevoir la requête. En observant son contenu, ils pourront déterminer quelle est l’adresse IP sur laquelle porte la recherche. La machine qui possède cette adresse IP sera la seule à répondre en envoyant à la machine émettrice une réponse ARP du type « je suis adresseIP, mon adresse MAC est adresseMAC ». Pour émettre cette réponse au bon ordinateur, il crée une entrée dans son cache ARP à partir des données contenues dans la requête ARP qu’il vient de recevoir.

La machine à l’origine de la requête ARP reçoit la réponse, met à jour son cache ARP et peut donc envoyer à l’ordinateur concerné le message qu’elle avait mis en attente.

Il suffit donc d’un ARP poisoning (pollution de cache ARP). La vulnérabilité d’un ordinateur à la pollution de cache ARP dépend de la mise en œuvre du protocole ARP par son système d’exploitation.

Soit une machine Charlie qui souhaite intercepter les messages d’Alice vers Bob, toutes appartenant au même sous-réseau. L’attaque consiste pour Charlie à envoyer un paquet « arp who-has » à la machine d’Alice. Ce paquet spécialement construit contiendra comme IP source, l’adresse IP de la machine de Bob dont nous voulons usurper l’identité (niveau 3 par exemple offrent la possibilité de paramétrer des associations port/MAC/IP statiques. Mais cela rend plus difficile la maintenance du parc ;

de surveiller les messages ARP circulant sur le réseau, à l’aide d’outils de surveillance tels qu’ARPwatch ou arpalert ou de systèmes de détection d’intrusion (IDS).

Chaque entrée dans la table ARP a une durée de vie, ce qui oblige l’attaquant à corrompre régulièrement le cache de la victime. Certains systèmes d’exploitation comme Solaris permettent de modifier la valeur de ce temps d’expiration (commande ndd). Une valeur courte rendra la corruption plus facilement visible.

Les paquets ARP sont transportés sur la couche liaison de données. Dans le cas d'un transport Ethernet, on utilise l'EtherType 0x0806. Le détail du paquet ARP est donné ci-dessous :

Cas général + Bits 0 - 7 8 - 15 16 - 31 0 Hardware Address Length Sender Hardware Address ? Target Protocol Address

avec :

Protocol type (Type de protocole)

Ce champ spécifie le protocole de couche 3 utilisé. Par exemple IPv4 a la valeur 0x0800. Ce champ prend les mêmes valeurs que les EtherTypes.

Protocol Address Length (Longueur de l’adresse logique)

Ce champ correspond à la longueur de l’adresse réseau. La longueur doit être prise en octets. Par exemple, une adresse IP a la valeur 4.

Reply).

28 octets) Octet 3 octets 1-4) Adresse MAC source (octets 3-4) Adresse MAC destination (octets 1-4)

Requêtes ARP spontanées

modifiermodifier le code

Des requêtes ARP spontanées (Reverse address resolution protocol

Usurpation d’adresse IP

Mandataire ARP

Liens externes

modifiermodifier le code

1. 1 2 (en) Request for comments n 826
2. ↑ Outil du Lawrence Berkeley National Laboratory (LBNL)