Usurpation d'adresse IP.

L'usurpation d'IP réécrit le champ d'adresse source de 32 bits (IPv4) ou 128 bits (IPv6) dans l'en-tête d'un paquet afin qu'il semble provenir d'une autre machine. Parce que l'Internet classique achemine les datagrammes en se fondant uniquement sur la destination et ne vérifie jamais la source, un hôte peut émettre des paquets prétendant provenir de presque n'importe quelle origine. Les attaquants exploitent cela pour contourner les ACL qui font confiance à des adresses précises, dissimuler l'origine de leurs sondes, mener des attaques TCP en aveugle ou hors chemin, et — de la manière la plus dévastatrice — alimenter le DDoS par réflexion/amplification : l'attaquant envoie de petites requêtes à des réflecteurs ouverts (DNS, NTP, memcached, CLDAP) avec l'IP de la victime comme source falsifiée, de sorte que chaque réponse volumineuse atterrit sur la victime.

Cette technique est à l'origine des plus grosses inondations jamais enregistrées. En 1997, l'attaque Smurf usurpait l'adresse de la victime dans des requêtes ICMP echo envoyées en broadcast, de sorte que des sous-réseaux entiers répondaient. En février 2018, GitHub a été frappé par une inondation par amplification memcached d'environ 1,35 Tbps entièrement construite sur de l'UDP usurpé vers le port 11211, puis une attaque encore plus importante a touché un fournisseur américain quelques jours plus tard.

La solution incombe principalement aux opérateurs réseau, et non à la victime. Le filtrage en entrée BCP 38 (RFC 2827) et BCP 84, l'unicast Reverse Path Forwarding (uRPF) et la Source Address Validation (SAVI) rejettent les paquets falsifiés en bordure avant qu'ils ne quittent le réseau. Les transports authentifiés (TLS, IPsec) et les numéros de séquence aléatoires de TCP déjouent l'usurpation en aval.

flowchart LR
  A[Attaquant] -->|src = IP de la victime| R[Réflecteur ouvert<br/>DNS / NTP / memcached]
  R -->|réponse volumineuse vers la src usurpée| V[(Victime)]
  subgraph Defence
    E[Routeur de bordure : BCP 38 / uRPF]
  end
  A -.paquet falsifié rejeté.-> E