Une faille de TCP met Internet en danger

Un trou de sécurité dans le plus basique des protocoles Internet, le TCP (Transmission Control Protocol), vient d’être découvert par la société Guardent Inc., spécialisée dans la sécurisation de systèmes informatiques. Un trou énorme ! Selon le communiqué de l’entreprise, cette faille ouvrirait la porte à des attaques aussi dévastatrices que difficiles à contrer, à détecter et à localiser. Le défaut vient de l’ISN (Initial Sequence Number), une séquence chargée de maintenir les sessions entre les différents composants du réseau. En théorie, TCP, le protocole qui permet aux ordinateurs de la planète de « dialoguer » entre eux, doit générer une séquence aléatoire d’ISN à chaque fois qu’il relie deux composants du réseau (routeurs, ordinateurs, modems, etc.). Seulement, il ne le fait pas, selon Guardent, qui s’est rendu compte du problème en testant des appareils pour le compte de clients.

Une faille qui permet de donner de vrais/faux passeports aux données

Les séquences ISN seraient même facilement « devinables » sur nombre de plates-formes offrant ainsi l’occasion aux petits malins de s’y introduire. Plus qu’une invitation, c’est une vraie provocation lancée aux pirates qui pourraient passer à l’acte avec une variante des attaques incapacitantes (Denial of Service ou DoS). Au lieu de saturer le serveur à force de requêtes répétées, ce « déni d’ISN » (appelons-le comme cela) permettrait de rompre les connexions de l’appareil « attaqué » ou de les détourner. Pire, les informations arrivent bien à leur destinataire avec un contenu modifié alors que l’expéditeur est bien reconnu. Ou comment faire circuler de fausses informations sous de vraies identités…

Selon Jerry Brady, vice-président du département R&D, cette faille est imputable, certes à l’âge du protocole, mais surtout aux « vendeurs » de solutions réseau qui préfèrent accentuer la performance au détriment de la sécurité. En effet, la vitesse de transmission sans cesse croissante nécessite toujours plus de génération d’ISN pour des temps de plus en plus courts. La meilleure optimisation possible est effectivement d’associer un ISN unique par composant. Une mise à jour d’un correctif pour chaque routeur, serveur, etc., concerné est donc la seule solution qui permettrait de colmater la faille. En attendant, les entreprises sensibles devront exploiter un réseau privé virtuel (VPN) pour garantir la confidentialité de leurs échanges.