L’Attaque de l’Homme du Milieu (Man-in-the-Middle) : comprendre et contrer les interceptions de trafic
Cet article fait partie de la série Les types de failles informatiques : classement par sévérité et guide complet.
Niveau de sévérité dans cette série : Moyenne. Classification indicative (l’attaquant intercepte et parfois altère une communication à l’insu des deux parties) ; la gravité réelle d’une faille dépend toujours du contexte précis et, idéalement, de son score CVSS.
Imaginez envoyer une lettre confidentielle à votre banque, mais qu’un facteur indélicat l’ouvre furtivement, en lise le contenu, altère le montant indiqué, puis la referme proprement avant de la remettre au destinataire. Dans le monde numérique, ce scénario redoutable porte un nom : l’attaque de l’homme du milieu (ou Man-in-the-Middle – MITM). Il s’agit d’une menace fondamentale en sécurité informatique où un tiers s’interpose secrètement entre deux interlocuteurs pour écouter ou altérer leurs communications.
Origine
>
Le concept d’interception clandestine remonte aux débuts des télécommunications. Dès l’essor du télégraphe au XIXe siècle puis du téléphone, la capacité d’un pirate ou d’un espion à écouter un canal à l’insu des utilisateurs a suscité de vives inquiétudes. En informatique, le terme « Man-in-the-Middle » s’est formalisé dans les années 1970 avec l’émergence de la cryptographie à clé publique. Notamment, lors de la présentation du protocole d’échange de clés Diffie-Hellman en 1976, les chercheurs ont rapidement souligné que sans authentification préalable des participants, tout attaquant capable d’intercepter le canal pouvait se faire passer pour le destinataire auprès de l’émetteur et vice-versa.
Définition
Une attaque de l’homme du milieu se produit lorsqu’un cybercriminel s’insère de manière invisible dans le flux d’informations échangées entre deux systèmes, comme le navigateur web d’un internaute et un serveur distant. L’attaquant intercepte les messages, en prend connaissance (atteinte à la confidentialité) et peut éventuellement les modifier en temps réel (atteinte à l’intégrité) avant de les retransmettre, sans que les victimes ne réalisent l’imposture.
Les pirates emploient principalement trois techniques classiques pour établir cette position privilégiée :
- L’usurpation ARP (ARP Spoofing) : Sur un réseau local (LAN), l’attaquant émet de fausses réponses ARP pour lier son adresse MAC à l’adresse IP du routeur ou d’une autre machine. Les équipements de la victime dirigent alors tout leur trafic réseau vers l’ordinateur du pirate.
- Le faux point d’accès Wi-Fi (Evil Twin) : L’attaquant configure un réseau Wi-Fi malveillant portant un nom identique ou très proche d’un réseau légitime (par exemple dans un café ou une gare). Lorsque les appareils s’y connectent automatiquement, l’ensemble du trafic transite par l’attaquant.
- L’interception de certificats TLS / SSL : L’attaquant s’interpose dans la négociation du chiffrement en présentant un faux certificat numérique afin de déchiffrer le trafic chiffré avant de le re-chiffrer vers le serveur légitime.
Face à ces différentes méthodes d’interception, le chiffrement de bout en bout et la validation rigoureuse des identités numériques par une autorité de certification reconnue constituent la protection la plus efficace. Si les données sont chiffrées avec une clé privée que l’intermédiaire ne possède pas, le contenu reste totalement illisible, même s’il est capturé.
Niveau de sévérité : Moyenne
Dans notre collection consacrée aux failles informatiques, l’attaque de l’homme du milieu est classée à un niveau de sévérité Moyenne. Sur l’échelle du système de notation CVSS, bien qu’une attaque MITM réussie entraîne des conséquences majeures sur la confidentialité et l’intégrité des données, sa réalisation nécessite généralement des conditions préalables spécifiques : l’attaquant doit se trouver sur le même segment réseau que sa cible, contrôler un équipement de routage intermédiaire ou compromettre une chaîne de confiance. De plus, la généralisation du protocole HTTPS et de la directive HSTS restreint fortement la portée de ces attaques par comparaison avec des failles critiques d’exécution de code à distance.
Exemples réels
Les attaques de l’homme du milieu ont donné lieu à des scandales majeurs qui ont façonné les normes actuelles de sécurité du Web.
L’affaire Superfish sur les ordinateurs Lenovo (2015)
En février 2015, des chercheurs en sécurité ont découvert que le fabricant Lenovo préinstallait sur plusieurs lignes de PC portables grand public un logiciel publicitaire nommé VisualDiscovery, conçu par l’entreprise Superfish. Pour injecter des publicités dans les pages web chiffrées sans déclencher d’alerte dans le navigateur, Superfish installait un certificat racine auto-signé dans le magasin de certificats de Windows. Plus grave encore, le logiciel utilisait la même clé privée cryptographique sur l’ensemble des machines vendues dans le monde. Un attaquant local pouvait facilement extraire cette clé privée et signer à la volée de faux certificats valides pour n’importe quel site web (banques, messageries, réseaux sociaux). Les ordinateurs Lenovo touchés acceptaient ces certificats sans avertissement, exposant les utilisateurs à des interceptions HTTPS massives. Cet incident répertorié sous les identifiants CVE-2015-2077 et CVE-2015-2078 référencés au registre du MITRE/CVE a conduit le NIST et les autorités de régulation à intervenir pour imposer le retrait définitif du logiciel.
Le piratage de l’autorité de certification DigiNotar (2011)
En juin 2011, l’autorité de certification néerlandaise DigiNotar a subi une intrusion informatique critique au cours de laquelle plus de 500 certificats SSL/TLS frauduleux ont été générés à son insu. Parmi ces certificats figurait un certificat générique (wildcard) pour le domaine *.google.com. Durant l’été 2011, ce faux certificat a été exploité pour mener une vaste attaque MITM ciblant environ 300 000 utilisateurs du service Gmail en Iran, permettant la lecture et l’interception de leurs courriels confidentiels. Lorsque le piratage a été mis au jour fin août 2011, les éditeurs de navigateurs (Google, Mozilla, Microsoft) ont immédiatement révoqué la totalité des certificats DigiNotar. Incapable de restaurer la confiance et bannie du Web mondial, l’entreprise DigiNotar a été déclarée en faillite dès septembre 2011.
Comment s’en protéger
La protection contre les attaques de l’homme du milieu repose sur un ensemble de bonnes pratiques individuelles et de configurations techniques rigoureuses :
- Vérifier systématiquement le HTTPS et les certificats : Assurez-vous que les sites visités utilisent le protocole HTTPS avec un cadenas fermé. Les administrateurs web doivent activer le mécanisme HSTS (HTTP Strict Transport Security) pour forcer les connexions chiffrées.
- Éviter les réseaux Wi-Fi publics non chiffrés : Ne consultez jamais de données sensibles (banque, courriels, achats) sur un réseau Wi-Fi public ouvert sans protection.
- Utiliser un réseau virtuel privé (VPN) : Le VPN chiffre la totalité du trafic entre votre équipement et le serveur VPN, empêchant tout pirate local d’intercepter vos échanges.
- Activer l’authentification à deux facteurs (2FA) : Même si un attaquant réussit à intercepter un mot de passe lors d’une session non chiffrée, le second facteur d’authentification bloquera toute tentative d’accès frauduleux à votre compte.
- Prêter attention aux avertissements du navigateur : Ne contournez jamais un avertissement de sécurité indiquant un certificat invalide, révoqué ou non reconnu.
Avez-vous déjà rencontré des avertissements de certificat suspects sur un réseau Wi-Fi public, et quelles précautions prenez-vous pour sécuriser vos données en déplacement ? Partagez vos retours et vos questions en commentaire !
Photo : cottonbro studio sur Pexels.
Pour aller plus loin
Liens affiliés Amazon : en tant que Partenaire Amazon, ce site perçoit une commission sur les achats éligibles réalisés via ces liens, sans coût supplémentaire pour vous.
Un ouvrage de référence très concret couvrant l’analyse de trafic réseau, les attaques d’interception Wi-Fi/LAN et les contre-mesures adaptées.
Un livre complet sur la sécurité des réseaux, le chiffrement et la gouvernance des infrastructures de clés publiques face aux menaces d’interception.
Hacking, sécurité et tests d’intrusion avec Metasploit, David Kennedy, Jim O’Gorman, Devon Kearns, Mati Aharoni
Un manuel technique d’audit de sécurité abordant la pratique des tests d’intrusion, la capture de flux et la détection des failles d’interception.
Voir aussi
- Zero-Day : la faille que personne ne voit venir (Critique)
- L’Exécution de Code à Distance (RCE) : Comprendre, Prévenir et Contrôler la Faille Ultime (Critique)
- L’Élévation de Privilèges (Privilege Escalation) : Comprendre et Prévenir la Prise de Contrôle Absolue (Élevée)
- Le Rançongiciel (Ransomware) : Anatomie, Histoire et Stratégies de Protection (Élevée à Critique)
- Le Débordement de Tampon (Buffer Overflow) : Comprendre la Faille Légendaire de la Cybersécurité (Élevée)
- L’Injection SQL (SQLi) : fonctionnement, failles historiques et bonnes pratiques de protection (Élevée)
- Le Cross-Site Scripting (XSS) : Comprendre, détecter et contrer la faille web omniprésente (Moyenne)
- Le Cross-Site Request Forgery (CSRF) : comprendre et contrer le piège de la session compromise (Faible à Moyenne)
- L’Ingénierie Sociale et le Phishing : Anatomie de la Première Porte d’Entrée des Cyberattaques (Variable (vecteur d’entrée n°1))
- Toutes les failles informatiques classées par sévérité
