Analyse technique du VLAN Hopping : Switch Spoofing et Double Tagging

Connaissez-vous cette menace qui pèse sur votre réseau ?

Les réseaux locaux virtuels (VLAN) sont une technologie essentielle pour segmenter les réseaux et améliorer la sécurité. Cependant, une faille de sécurité connue sous le nom de VLAN hopping peut compromettre cette segmentation. Cette attaque permet à un attaquant situé dans un VLAN d'accéder à des ressources et des informations appartenant à d'autres VLAN, potentiellement critiques. Cet article examine les vulnérabilités qui rendent possible le VLAN hopping et propose des solutions pour renforcer la sécurité des réseaux.

Imaginez un immeuble avec plusieurs appartements (les VLAN). Normalement, les habitants d'un appartement ne peuvent pas accéder aux autres. Le VLAN Hopping est comme un cambrioleur qui trouve un moyen de passer d'un appartement à l'autre sans autorisation.

Le VLAN Hopping, ou "saut de VLAN" en français, est une technique d'attaque informatique qui permet à un attaquant d'accéder à des ressources situées sur un autre VLAN (Virtual Local Area Network ou Réseau Local Virtuel) que celui auquel il est initialement connecté. Les VLAN sont utilisés pour segmenter un réseau physique en plusieurs réseaux logiques, isolant ainsi le trafic et améliorant la sécurité. Le VLAN Hopping contourne cette isolation.

Switch Spoofing et Double Tagging

Exploitation des vulnérabilités des protocoles DTP et 802.1Q

Le Switch Spoofing

Le Switch Spoofing, ou usurpation de commutateur en français, est une technique d'attaque VLAN hopping qui exploite le protocole DTP (Dynamic Trunking Protocol) pour permettre à un attaquant de se faire passer pour un commutateur auprès d'un autre commutateur. En établissant une liaison trunk illégitime, l'attaquant obtient un accès non autorisé à tous les VLAN configurés sur le commutateur cible.

Voici une description technique détaillée du Switch Spoofing :

1. Le protocole DTP :

Le DTP est un protocole propriétaire Cisco (bien que certains autres constructeurs l'implémentent également) qui automatise la négociation des liaisons trunk entre les commutateurs. Il permet aux ports de commutateurs de négocier dynamiquement leur mode de fonctionnement (access ou trunk).

• Mode Dynamic Auto : Le port écoute les trames DTP et tente de négocier une liaison trunk si un autre port configuré en mode Dynamic Desirable ou Trunk est détecté.
• Mode Dynamic Desirable : Le port initie activement la négociation d'une liaison trunk.
• Mode Trunk : Le port est configuré statiquement en mode trunk et ne négocie pas.
• Mode Access : Le port est configuré statiquement en mode access et ne négocie pas.

2. Le déroulement de l'attaque :

• Configuration de l'attaquant : L'attaquant configure sa machine (souvent un ordinateur avec une carte réseau capable d'émuler des trames 802.1Q) pour envoyer des trames DTP avec le mode Dynamic Desirable.
• Négociation DTP : L'attaquant se connecte à un port du commutateur cible. Si ce port est configuré en mode Dynamic Auto ou Dynamic Desirable, le commutateur répond aux trames DTP de l'attaquant et initie la négociation d'une liaison trunk.
• Établissement de la liaison trunk : Une fois la négociation DTP réussie, une liaison trunk est établie entre la machine de l'attaquant et le commutateur cible. Cette liaison permet à l'attaquant de recevoir et d'envoyer des trames avec des étiquettes VLAN (802.1Q).
• Accès aux VLAN : L'attaquant peut alors envoyer des trames étiquetées avec n'importe quel ID de VLAN configuré sur le commutateur cible, lui donnant ainsi un accès non autorisé à ces VLAN.

3. Vulnérabilités exploitées :

• Configuration par défaut des ports en mode Dynamic Auto ou Dynamic Desirable : De nombreux commutateurs sont configurés par défaut avec leurs ports en mode Dynamic Auto, ce qui les rend vulnérables aux attaques de Switch Spoofing.
• Manque de validation des trames DTP : Certains commutateurs ne valident pas correctement les trames DTP, ce qui permet à un attaquant d'usurper l'identité d'un commutateur légitime.

4. Conséquences :

• Accès non autorisé aux VLAN : L'attaquant peut accéder à des données sensibles, perturber le fonctionnement du réseau et lancer d'autres attaques.
• Interception du trafic : L'attaquant peut intercepter le trafic circulant sur les différents VLAN.
• Attaques Man-in-the-Middle (MitM) : L'attaquant peut se positionner entre deux hôtes et intercepter ou modifier leurs communications.

5. Prévention :

• Désactiver le DTP sur les ports d'accès : La mesure de sécurité la plus efficace est de configurer statiquement les ports d'accès en mode Access et les ports trunk en mode Trunk, et de désactiver le DTP avec la commande switchport nonegotiate. Cela empêche toute négociation DTP.
• Utiliser des VLAN privés : Les VLAN privés offrent une isolation supplémentaire en limitant la communication entre les ports au sein d'un même VLAN.
• Mettre en œuvre des listes de contrôle d'accès (ACL) : Les ACL peuvent être utilisées pour filtrer le trafic entre les VLAN et limiter l'accès aux ressources sensibles.
• Surveiller le trafic DTP : Des outils de surveillance réseau peuvent être utilisés pour détecter les tentatives d'usurpation de commutateur.
• Utiliser la sécurité des ports (Port Security) : La sécurité des ports permet de limiter le nombre d'adresses MAC autorisées sur un port et de détecter les intrusions.

Le Double Tagging

Le Double Tagging, ou double étiquetage en français, est une autre technique d'attaque de type VLAN hopping. Contrairement au Switch Spoofing qui exploite le protocole DTP, le Double Tagging tire parti de la manière dont les commutateurs gèrent les trames étiquetées 802.1Q. Cette attaque est plus complexe à mettre en œuvre mais peut être efficace même lorsque les mesures de protection contre le Switch Spoofing sont en place.

Voici une description technique détaillée du Double Tagging :

 Le protocole 802.1Q :

Le protocole 802.1Q est un standard IEEE qui permet l'encapsulation des trames Ethernet avec une étiquette VLAN. Cette étiquette contient un identifiant de VLAN (VID) qui indique à quel VLAN la trame appartient.

 Le principe de l'attaque :

L'attaque par Double Tagging repose sur le fait que certains commutateurs ne traitent qu'une seule étiquette VLAN sur les ports d'accès. L'attaquant insère deux étiquettes 802.1Q dans la trame :

• L'étiquette externe : Correspond au VLAN de l'attaquant (VLAN A).
• L'étiquette interne : Correspond au VLAN cible (VLAN B).

 Le déroulement de l'attaque :

• L'attaquant envoie la trame doublement étiquetée : L'attaquant, connecté à un port configuré en mode access sur le VLAN A, envoie une trame contenant les deux étiquettes VLAN.
• Traitement par le premier commutateur : Le premier commutateur (commutateur d'accès) reçoit la trame et examine uniquement l'étiquette externe (VLAN A). Il considère donc que la trame appartient au VLAN A et la transmet sur le trunk vers le deuxième commutateur (commutateur de distribution ou de cœur).
• Traitement par le deuxième commutateur : Le deuxième commutateur reçoit la trame et retire l'étiquette externe (VLAN A) car il s'agit d'un port trunk. Il reste alors l'étiquette interne (VLAN B). Le commutateur considère alors que la trame provient du VLAN B et la transmet sur le port connecté à l'hôte cible, qui se trouve sur le VLAN B.
• Réception par l'hôte cible : L'hôte cible reçoit la trame comme si elle provenait d'un hôte appartenant à son propre VLAN (VLAN B).

 Conditions de succès de l'attaque :

• Présence d'une liaison trunk entre deux commutateurs : L'attaque nécessite qu'il y ait une liaison trunk entre le commutateur d'accès de l'attaquant et un autre commutateur.
• Configuration du port de l'attaquant en mode access : Le port auquel l'attaquant est connecté doit être configuré en mode access.
• Absence de vérification des trames sur les ports d'accès : Le commutateur d'accès ne doit pas vérifier la présence d'une deuxième étiquette sur les trames reçues sur ses ports en mode access.

 Exemple concret :

Supposons un attaquant sur le VLAN 10 et une cible sur le VLAN 20. L'attaquant insère deux étiquettes : l'étiquette externe avec le VID 10 et l'étiquette interne avec le VID 20. Le premier commutateur retire l'étiquette 10 et transmet la trame au second commutateur. Le second commutateur retire l'étiquette 10 et transmet la trame étiquetée 20 vers le VLAN 20, atteignant ainsi la cible.

 Conséquences :

Les conséquences sont similaires à celles du Switch Spoofing : accès non autorisé à des VLAN, interception de trafic, attaques MitM, etc.

 Prévention :

• Utiliser des VLAN privés : Les VLAN privés limitent la communication entre les ports au sein d'un même VLAN, ce qui rend l'attaque plus difficile.
• Mettre en œuvre des listes de contrôle d'accès (ACL) : Les ACL peuvent être utilisées pour filtrer le trafic inter-VLAN et bloquer les trames non autorisées.
• Configurer les ports en mode trunk uniquement lorsque cela est nécessaire : Éviter de laisser des ports en mode Dynamic Auto ou Dynamic Desirable.
• Utiliser des commutateurs qui effectuent une inspection approfondie des paquets (Deep Packet Inspection - DPI) : Ces commutateurs peuvent détecter la présence de plusieurs étiquettes VLAN dans une trame.
• Configurer le port de l'attaquant en mode protected port: Cette configuration empêche le port de communiquer avec d'autres ports sur le même commutateur.

Outre le Switch Spoofing et le Double Tagging, il existe d'autres vulnérabilités et facteurs qui peuvent faciliter ou aggraver les attaques de VLAN hopping. Voici quelques exemples :

Vulnérabilités liées aux protocoles :

• CDP (Cisco Discovery Protocol) et VTP (VLAN Trunking Protocol) : Bien que non directement liés au VLAN hopping en soi, ces protocoles peuvent fournir des informations précieuses à un attaquant. Le CDP révèle des détails sur les équipements Cisco connectés (modèle, version d'iOS, etc.), tandis que le VTP permet la propagation des informations VLAN entre les commutateurs. Un attaquant exploitant ces informations pourrait plus facilement planifier une attaque. Il est donc recommandé de désactiver CDP sur les ports non nécessaires et de configurer le VTP en mode transparent si la synchronisation VLAN n'est pas requise.
• Absence de contrôle d'accès sur les ports Trunk : Si les ports Trunk ne sont pas correctement configurés avec des listes de contrôle d'accès (ACL) ou des filtres, un attaquant ayant réussi une attaque de Switch Spoofing ou Double Tagging aura un accès total à tous les VLAN transportés sur le trunk.

Facteurs aggravants liés à la configuration :

• VLAN natif non sécurisé : Le VLAN natif est le VLAN utilisé pour le trafic non étiqueté sur une liaison trunk. Si ce VLAN n'est pas correctement sécurisé (par exemple, s'il est utilisé pour le trafic utilisateur), un attaquant peut l'exploiter pour accéder à d'autres VLAN. Il est recommandé de changer le VLAN natif par défaut (VLAN 1) et de le dédier uniquement au trafic de contrôle.
• Utilisation du même VLAN pour plusieurs fonctions : L'utilisation d'un même VLAN pour le trafic utilisateur, le trafic administratif et le trafic de gestion des serveurs augmente considérablement les risques. Si un attaquant parvient à compromettre ce VLAN, il aura accès à des informations sensibles et pourra potentiellement prendre le contrôle de l'infrastructure.
• Manque de segmentation VLAN : Une segmentation VLAN insuffisante limite l'isolation du trafic et augmente la surface d'attaque. Plus les VLAN sont nombreux et spécifiques, plus il est difficile pour un attaquant de se déplacer latéralement sur le réseau.
• Configuration incorrecte des VLAN privés : Les VLAN privés peuvent offrir une isolation supplémentaire, mais une configuration incorrecte peut les rendre inefficaces. Il est important de comprendre les différents types de VLAN privés (primaire, isolé, communautaire) et de les configurer en fonction des besoins.

Autres vulnérabilités :

• Attaques par empoisonnement ARP (ARP poisoning) : Combinées avec le VLAN hopping, les attaques par empoisonnement ARP peuvent permettre à un attaquant d'intercepter le trafic entre les hôtes sur différents VLAN.
• Attaques par inondation de la table CAM (CAM table flooding) : En inondant la table CAM d'un commutateur avec de nombreuses adresses MAC, un attaquant peut le forcer à fonctionner en mode hub, ce qui permet d'intercepter tout le trafic. Cette technique peut être utilisée en conjonction avec le VLAN hopping pour étendre la portée de l'attaque.

Facteurs humains :

• Manque de formation et de sensibilisation : Le manque de formation du personnel informatique aux bonnes pratiques de sécurité et aux risques liés au VLAN hopping peut entraîner des erreurs de configuration et rendre le réseau vulnérable.
• Absence de politiques de sécurité claires : L'absence de politiques de sécurité définies et appliquées rend difficile la détection et la correction des vulnérabilités.

En résumé, pour minimiser les risques de VLAN hopping, il est crucial de :

• Désactiver les protocoles inutiles (CDP, VTP si non requis).
• Configurer correctement les ports Trunk avec des ACL et des filtres.
• Sécuriser le VLAN natif.
• Segmenter le réseau en VLAN distincts et spécifiques.
• Utiliser et configurer correctement les VLAN privés.
• Former et sensibiliser le personnel informatique.
• Mettre en place des politiques de sécurité claires et appliquées.
• Maintenir les équipements réseau à jour avec les derniers correctifs de sécurité.
• Effectuer des audits de sécurité réguliers pour identifier et corriger les vulnérabilités.

Le VLAN hopping, bien que reposant sur des mécanismes techniques relativement simples, représente une menace sérieuse et persistante pour la sécurité des réseaux. Il met en lumière une faille fondamentale : la confiance excessive accordée aux frontières logiques créées par les VLAN. Loin d'être une simple curiosité théorique, il s'agit d'une attaque concrète, capable de compromettre l'intégrité et la confidentialité des données d'une organisation.

Ce qui rend le VLAN hopping particulièrement préoccupant, c'est sa capacité à contourner les mesures de sécurité traditionnelles. Un pare-feu, par exemple, ne sera d'aucune utilité si un attaquant parvient à sauter d'un VLAN à l'autre sans être détecté. De même, la complexité croissante des infrastructures réseau, avec l'interconnexion de nombreux commutateurs et l'utilisation de protocoles dynamiques comme le DTP, offre des opportunités d'exploitation.

Face à cette menace, une approche multicouche est indispensable. La simple désactivation du DTP ne suffit pas toujours, comme le démontre l'attaque par Double Tagging. Une configuration rigoureuse des commutateurs, l'utilisation de VLAN privés, la mise en place d'ACL, une surveillance constante du trafic et une formation adéquate du personnel sont autant d'éléments cruciaux pour se prémunir efficacement.

En conclusion, le VLAN hopping nous rappelle une leçon essentielle en sécurité informatique : la vigilance constante et l'application rigoureuse des bonnes pratiques sont les meilleures armes contre les vulnérabilités, même celles qui semblent anciennes ou mineures. Ignorer cette menace, c'est prendre le risque de voir ses données compromises et son réseau perturbé. La sécurité des VLAN ne doit pas être une simple case cochée, mais un processus continu d'évaluation et d'amélioration.