6. Considérations de sécurité
Ce chapitre discute des implications de sécurité des mises à jour du champ ID IPv4.
6.1 Implications pour la vie privée
La stratégie de génération du champ ID peut divulguer des informations:
- Taux d'envoi de datagrammes: Par observation de la croissance de l'ID
- Empreinte d'appareil: Identification par modèles d'ID
- Suivi d'activité: Suivi par changements d'ID
Contre-mesures:
- Utiliser des valeurs aléatoires pour les datagrammes atomiques
- Compteurs par flux au lieu de compteurs globaux
- Réinitialisation périodique des compteurs
- Valeurs initiales aléatoires
6.2 Attaques de fragmentation
La fragmentation IPv4 peut être exploitée pour diverses attaques:
6.2.1 Attaques de réassemblage
Les attaquants peuvent:
- Épuisement des ressources: Envoyer des fragments incomplets
- Erreurs de réassemblage: Fragments avec même ID mais contenu différent
- Contournement de pare-feu: Fragmenter pour éviter l'inspection
Contre-mesures:
- Utiliser des datagrammes atomiques (DF=1)
- Path MTU Discovery
- Limiter les fragments incomplets
- Validation des fragments
6.3 Attaques de collision d'ID
Les attaquants peuvent exploiter la capacité limitée de l'ID:
- Attaque de prédiction d'ID: Prédire les algorithmes de génération
- Attaque d'épuisement d'ID: Épuiser rapidement l'espace ID
- Attaque d'interférence de réassemblage: Fragments forgés avec même ID
Contre-mesures:
- Génération d'ID randomisée
- Espace ID par flux
- Validation de la couche transport
- IPsec
6.4 Attaques par déni de service
Le traitement du champ ID IPv4 peut être ciblé par des attaques DoS.
Contre-mesures:
- Limitation de débit
- Gestion des ressources
- Traitement prioritaire des datagrammes atomiques
- Pare-feu et filtrage
6.5 Comparaison avec IPv6
La fragmentation IPv6 est plus sécurisée:
- Fragmentation de bout en bout: Seuls les nœuds sources fragmentent
- Champ d'identification 32 bits: Plus grand espace ID
- En-tête de fragmentation explicite: Traitement plus clair
6.6 Recommandations
- Préférer les datagrammes atomiques (DF=1)
- Utiliser la génération d'ID randomisée
- S'appuyer sur la protection de la couche transport
- Déployer des mécanismes de surveillance
- Maintenir à jour
Navigation: