Retracer une question historique : l'exposition

L'une des faiblesses de TCP/IP n'est toujours pas résolue aujourd'hui : l'exposition des services.

Dans les années 1980, la DARPA a déployé les protocoles IPv4 et TCP, qui allaient devenir la norme pour les communications sur Internet et qui sont encore largement utilisés aujourd'hui, tant sur le réseau mondial qu'au sein des réseaux privés. À l'époque, l'objectif était, entre autres, de fournir des fonctionnalités de routage, d'intégrité des données et de contrôle de la congestion. Il n'était pas encore question de sécurité car l'ARPANET, l'ancêtre d'Internet, était utilisé par des chercheurs : tous ses utilisateurs étaient de confiance et communiquaient de manière disciplinée car l'idée initiale d'un tel réseau était d'interconnecter les centres de recherche américains afin de faciliter le partage des ressources et des données.

Lorsque le TCP/IP est développé, il est destiné à un réseau de confiance. Quelques années plus tard, le nombre de communautés et de réseaux connectés à ARPANET augmente à tel point que la DCA, qui gère le réseau à l'époque, commence à s'inquiéter de la difficulté d'identifier tous ses utilisateurs. Quelques années plus tard, le réseau s'ouvre au trafic commercial. C'est un tournant décisif car, alors que l'ARPANET n'avait pas été considéré comme un réseau hostile jusqu'alors, il le devient à ce moment précis.

Les années 90 ont ainsi vu l'émergence d'attaques sur les protocoles TCP/IP, déjà connues en théorie, mais jamais encore mises en pratique. L'usurpation d'adresse IP, le vol de session TCP, le déni de service par inondation de requêtes SYN, ou encore l'espionnage des communications, mettent en évidence les faiblesses des protocoles Internet historiques. En réponse, les protocoles ont été modifiés pour être plus robustes contre ces attaques, ou d'autres protocoles de couche supérieure tels que SSL ont été introduits pour résoudre les problèmes liés à la confidentialité des flux. TCP/IP est cependant resté la norme.

Malgré ces ajouts de sécurité, l'une des faiblesses de TCP/IP n'est toujours pas résolue aujourd'hui : l'exposition des services. Afin d'atteindre un service sur un réseau TCP/IPv4, un utilisateur doit forger des paquets contenant une adresse IP (codée sur 4 octets) et un port (codé sur 2 octets). Ainsi, un peu plus de 4 milliards d'adresses IP sont disponibles pour identifier une machine sur un réseau, et pour chacune d'entre elles, 65535 ports identifient un service hébergé. En théorie, un attaquant cherchant à lister tous les services exposés sur Internet doit donc générer et transmettre un nombre de paquets réseau de l'ordre de 10^14. En pratique, un attaquant peut répertorier un grand nombre de services exposés en détectant les machines disponibles par un scan de découverte, puis en interrogeant les ports dont la valeur est inférieure à 10000. Avec seulement quelques paquets réseau, il a toujours été possible de rechercher et d'interagir avec des services potentiellement vulnérables et exposés.

"De telles expositions ont été, et sont encore aujourd'hui, exploitées par des attaquants pour compromettre des machines et des réseaux."