Piratage éthique - Sniffing

Le reniflement est le processus de surveillance et de capture de tous les paquets passant par un réseau donné à l'aide d'outils de reniflage. C'est une forme de «mise sur écoute des fils téléphoniques» et d'apprendre à connaître la conversation. Il est également appeléwiretapping appliquée aux réseaux informatiques.

Il y a tellement de possibilités que si un ensemble de ports de commutation d'entreprise est ouvert, l'un de leurs employés peut renifler tout le trafic du réseau. N'importe qui dans le même emplacement physique peut se connecter au réseau à l'aide d'un câble Ethernet ou se connecter sans fil à ce réseau et renifler le trafic total.

En d'autres termes, Sniffing vous permet de voir toutes sortes de trafic, à la fois protégé et non protégé. Dans les bonnes conditions et avec les bons protocoles en place, une partie attaquante peut être en mesure de collecter des informations qui peuvent être utilisées pour d'autres attaques ou pour causer d'autres problèmes pour le réseau ou le propriétaire du système.

Que peut-on renifler?

On peut renifler les informations sensibles suivantes à partir d'un réseau -

  • Trafic des e-mails
  • Mots de passe FTP
  • Trafic Web
  • Mots de passe Telnet
  • Configuration du routeur
  • Sessions de chat
  • Trafic DNS

Comment ça fonctionne

Un renifleur transforme normalement la carte réseau du système en promiscuous mode afin qu'il écoute toutes les données transmises sur son segment.

Le mode promiscuité fait référence à la manière unique du matériel Ethernet, en particulier des cartes d'interface réseau (NIC), qui permet à un NIC de recevoir tout le trafic sur le réseau, même s'il n'est pas adressé à ce NIC. Par défaut, un NIC ignore tout le trafic qui ne lui est pas adressé, ce qui se fait en comparant l'adresse de destination du paquet Ethernet avec l'adresse matérielle (aka MAC) du périphérique. Bien que cela soit parfaitement logique pour la mise en réseau, le mode non promiscuité rend difficile l'utilisation d'un logiciel de surveillance et d'analyse du réseau pour diagnostiquer les problèmes de connectivité ou la comptabilisation du trafic.

Un sniffer peut surveiller en permanence tout le trafic vers un ordinateur via le NIC en décodant les informations encapsulées dans les paquets de données.

Types de reniflement

Le reniflement peut être de nature active ou passive.

Reniflage passif

En sniffing passif, le trafic est verrouillé mais il n'est en aucun cas modifié. Le reniflement passif permet uniquement l'écoute. Cela fonctionne avec les appareils Hub. Sur un périphérique concentrateur, le trafic est envoyé à tous les ports. Dans un réseau qui utilise des concentrateurs pour connecter des systèmes, tous les hôtes du réseau peuvent voir le trafic. Par conséquent, un attaquant peut facilement capturer le trafic qui passe.

La bonne nouvelle est que les hubs sont aujourd'hui presque obsolètes. La plupart des réseaux modernes utilisent des commutateurs. Par conséquent, le reniflement passif n'est pas plus efficace.

Reniflage actif

En sniffing actif, le trafic est non seulement verrouillé et surveillé, mais il peut également être modifié d'une manière déterminée par l'attaque. Le sniffing actif est utilisé pour renifler un réseau basé sur des commutateurs. Il s'agit d'injecteraddress resolution packets (ARP) dans un réseau cible pour inonder le commutateur content addressable memoryTableau (CAM). CAM garde la trace de quel hôte est connecté à quel port.

Voici les techniques de reniflement actif -

  • Inondation MAC
  • Attaques DHCP
  • Empoisonnement DNS
  • Attaques d'usurpation d'identité
  • Empoisonnement ARP

Protocoles concernés

Les protocoles tels que le TCP / IP éprouvé n'ont jamais été conçus avec la sécurité à l'esprit et n'offrent donc pas beaucoup de résistance aux intrus potentiels. Plusieurs règles se prêtent à un reniflement facile -

  • HTTP - Il est utilisé pour envoyer des informations en texte clair sans aucun cryptage et donc une véritable cible.

  • SMTP(Simple Mail Transfer Protocol) - SMTP est essentiellement utilisé dans le transfert d'e-mails. Ce protocole est efficace, mais il n'inclut aucune protection contre le reniflement.

  • NNTP (Network News Transfer Protocol) - Il est utilisé pour tous les types de communications, mais son principal inconvénient est que les données et même les mots de passe sont envoyés sur le réseau sous forme de texte clair.

  • POP(Post Office Protocol) - POP est strictement utilisé pour recevoir des e-mails des serveurs. Ce protocole n'inclut pas de protection contre le reniflement car il peut être piégé.

  • FTP(Protocole de transfert de fichiers) - FTP est utilisé pour envoyer et recevoir des fichiers, mais il n'offre aucune fonctionnalité de sécurité. Toutes les données sont envoyées sous forme de texte clair qui peut être facilement reniflé.

  • IMAP (Internet Message Access Protocol) - IMAP est identique au SMTP dans ses fonctions, mais il est très vulnérable au reniflement.

  • Telnet - Telnet envoie tout (noms d'utilisateur, mots de passe, frappes) sur le réseau sous forme de texte clair et, par conséquent, il peut être facilement reniflé.

Les renifleurs ne sont pas les utilitaires stupides qui vous permettent d'afficher uniquement le trafic en direct. Si vous voulez vraiment analyser chaque paquet, enregistrez la capture et examinez-la chaque fois que le temps le permet.

Analyseurs de protocole matériel

Avant d'entrer dans les détails des renifleurs, il est important de discuter de hardware protocol analyzers. Ces appareils se connectent au réseau au niveau matériel et peuvent surveiller le trafic sans le manipuler.

  • Les analyseurs de protocoles matériels sont utilisés pour surveiller et identifier le trafic réseau malveillant généré par les logiciels de piratage installés dans le système.

  • Ils capturent un paquet de données, le décodent et analysent son contenu selon certaines règles.

  • Les analyseurs de protocole matériel permettent aux attaquants de voir les octets de données individuels de chaque paquet passant par le câble.

Ces périphériques matériels ne sont pas facilement disponibles pour la plupart des pirates éthiques en raison de leur coût énorme dans de nombreux cas.

Interception légale

L'interception légale (LI) est définie comme un accès légalement sanctionné aux données du réseau de communication telles que les appels téléphoniques ou les messages électroniques. LI doit toujours être en exécution d'une autorité légale à des fins d'analyse ou de preuve. Par conséquent, LI est un processus de sécurité dans lequel un opérateur de réseau ou un fournisseur de services autorise les responsables de l'application de la loi à accéder aux communications privées d'individus ou d'organisations.

Presque tous les pays ont rédigé et promulgué une législation pour réglementer les procédures d'interception licites; les groupes de normalisation créent des spécifications technologiques LI. Habituellement, les activités LI sont entreprises à des fins de protection des infrastructures et de cybersécurité. Cependant, les opérateurs d'infrastructures de réseaux privés peuvent maintenir les capacités LI au sein de leurs propres réseaux en tant que droit inhérent, sauf interdiction contraire.

LI était autrefois connu sous le nom de wiretapping et existe depuis la création des communications électroniques.