ARP

Protocole réseau permettant de traduire les adresses IP en adresses MAC pour assurer la communication sur un réseau local.

Introduction - ARP Address Resolution Protocol

L'Address Resolution Protocol (ARP) est un protocole de communication fondamental dans les réseaux locaux (LAN). Il permet de faire correspondre une adresse IP (niveau 3 du modèle OSI) à une adresse MAC (niveau 2), facilitant ainsi le transfert des données entre les dispositifs d’un réseau. Créé en 1982 et défini par la norme RFC 826, ARP est essentiel pour le fonctionnement des réseaux IPv4.

Fonctionnement du protocole ARP

Principes de base

Lorsque deux dispositifs communiquent sur un réseau local, ils utilisent ARP pour déterminer l’adresse MAC correspondant à une adresse IP cible. Ce processus se déroule en deux étapes principales :

1. ARP Request (Requête ARP) :

   • Le dispositif source envoie un paquet de requête ARP en broadcast sur le réseau local.

   • Ce paquet contient l’adresse IP de la machine cible.

2. ARP Reply (Réponse ARP) :

   • La machine correspondant à l’adresse IP répond avec son adresse MAC.

   • Cette réponse est envoyée directement à l’émetteur de la requête.

Table ARP

Les dispositifs conservent les associations IP/MAC dans une table ARP pour éviter des requêtes répétées. Cette table est mise en cache mais est régulièrement actualisée pour refléter les changements sur le réseau.

Exemple de requête ARP

1. Requête ARP :

   • Émis par l’adresse IP 192.168.1.10 cherchant à connaître l’adresse MAC de 192.168.1.20.

2. Réponse ARP :

   • L’hôte 192.168.1.20 répond avec son adresse MAC : AA:BB:CC:DD:EE:FF.

Risques liés à ARP

Vulnérabilités connues

Le protocole ARP ne comporte pas de mécanismes de sécurité intrinsèques, ce qui le rend vulnérable à certaines attaques :

• ARP Spoofing/Poisoning :

  • Un attaquant envoie de fausses entrées ARP pour rediriger le trafic réseau vers lui.

  • Utilisé dans des attaques de type Man-In-The-Middle (MITM).

• DoS via ARP Flooding :

  • Inonder un réseau de requêtes ARP pour saturer la table ARP des dispositifs et provoquer des déconnexions.

Conséquences possibles

• Interception des données.

• Redirection de trafic vers des hôtes malveillants.

• Blocage du réseau par saturation.

Protection contre les attaques ARP

Bonnes pratiques

1. Filtrage ARP statique :

   • Définir des correspondances IP/MAC fixes pour les équipements critiques.

2. Utilisation de VLAN :

   • Segmentation du réseau pour limiter la portée des attaques.

3. Sécurité réseau avancée :

   • Mettre en place des systèmes de détection d’intrusion (IDS) comme Snort ou des outils spécialisés comme ARPwatch.

4. Activation de Dynamic ARP Inspection (DAI) :

   • Sur les commutateurs compatibles, cette fonctionnalité bloque les paquets ARP falsifiés.

ARP et Cybersécurité

Cas d'attaques célèbres

• MITM sur réseaux Wi-Fi publics :

  • Les attaquants utilisent ARP Spoofing pour intercepter les communications des utilisateurs.

• Attaque interne sur réseau d’entreprise :

  • Compromission d’un hôte pour injecter de fausses entrées ARP et détourner le trafic.

Détection d’anomalies

• Outils comme Wireshark :

  • Permettent de capturer les paquets ARP et d’identifier les comportements anormaux.

• Surveillance réseau :

  • Utilisation de scripts ou d’applications pour surveiller les modifications suspectes dans les tables ARP.

Innovations et Alternatives à ARP

• ND (Neighbor Discovery) pour IPv6 :

  • IPv6 a remplacé ARP par le protocole Neighbor Discovery, plus sécurisé.

• Protocoles sécurisés :

  • Recherche continue pour intégrer des mécanismes d’authentification dans les protocoles de résolution d’adresse.

Références et Liens Utiles

• RFC 826 - Address Resolution Protocol

• ARP Spoofing Explained - OWASP

• ARPwatch - Monitoring ARP Activity

Conclusion

Bien qu'ARP soit un protocole fondamental dans les réseaux IPv4, ses failles intrinsèques en font une cible pour les cybercriminels. Une gestion proactive et des mesures de sécurité adaptées sont essentielles pour limiter les risques d’exploitation.

En évoluant vers des protocoles plus sécurisés comme le Neighbor Discovery Protocol pour IPv6 et en mettant en œuvre des stratégies de détection d'intrusion, les organisations peuvent se prémunir contre les menaces exploitant ARP.