EP1902563A2 - Detection d une intrusion par detournement de paquets de donnees dans un reseau de telecommunication - Google Patents

Detection d une intrusion par detournement de paquets de donnees dans un reseau de telecommunication

Info

Publication number
EP1902563A2
EP1902563A2 EP06778701A EP06778701A EP1902563A2 EP 1902563 A2 EP1902563 A2 EP 1902563A2 EP 06778701 A EP06778701 A EP 06778701A EP 06778701 A EP06778701 A EP 06778701A EP 1902563 A2 EP1902563 A2 EP 1902563A2
Authority
EP
European Patent Office
Prior art keywords
packet
entity
packets
network
address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP06778701A
Other languages
German (de)
English (en)
Inventor
Laurent Butti
Roland Duffau
Franck Veysset
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
France Telecom SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by France Telecom SA filed Critical France Telecom SA
Publication of EP1902563A2 publication Critical patent/EP1902563A2/fr
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/26—Network addressing or numbering for mobility support
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/04—Interfaces between hierarchically different network devices
    • H04W92/10—Interfaces between hierarchically different network devices between terminal device and access point, i.e. wireless air interface

Definitions

  • the present invention relates, in general, to the detection of an intrusion between a communicating entity via a network and an access point of this network.
  • the access point is indeed a key element of the communication between a client and a network.
  • a known attack implementing a false access point is for the attacker to find himself between a legitimate client and a legitimate access point of the network. In this position, the attacker is then able to intercept all communications.
  • the communication takes place in data packets comprising, in general, a field in which at least the start and destination addresses of the packets (also called “source address” and “address” can be identified). It can typically be MAC addresses (for “Medium Access ControV”) or IP (for "Internet Proto ⁇ r”).
  • MAC addresses for "Medium Access ControV”
  • IP for "Internet Proto ⁇ r”
  • attacks of the "Man-In-The-Middle” type are difficult to detect because they can implement a particular MAC address spoofing technique. It becomes difficult then to distinguish two different equipment emitting from the same MAC address.
  • This type of attack is particularly effective and interesting for the attacker when the legitimate connection, for example in a wireless network, is not encrypted and takes place in so-called “infrastructure” mode, that is to say between a client and an access point.
  • This is typically the case for the "hot-spot” technology deployed by mobile operators, and that of the majority of wireless access networks for businesses (even if they use upper layer security mechanisms ( above level 2) such as IPsec, Secure Shell (SSH), or Transport Layer Security (TLS) for employee access.
  • IPsec IPsec
  • SSH Secure Shell
  • TLS Transport Layer Security
  • the present invention aims in particular an effective detection of a type of attack "Man-In-The-Middle" for the networks of "hot-spot” type or company.
  • the effectiveness of the attack in the latter case, depends a lot on the security mechanisms used by the company, in particular their vulnerability to active attacks.
  • MITM MITM
  • the client CL is directly connected to the access point AP via a telecommunication network RES.
  • a telecommunication network RES In a standard connection as shown in Figure 1, it then accesses the services offered by a second network that is located behind the point (s) of access, for example to an Internet access in the case of the use of a WiFi hot-spot.
  • the legitimate client CL has little information about the legitimate access point to which it connects. In practice, this information is often the network name (ESSID for "Extended Service Set Identifier" in English), or even the MAC address (BSSID for "Basic Service Set Identifier" in English). However, these items can usually be spoofed easily.
  • an attacker is typically able to conduct a MITM-type attack by usurping the access point function for the client, and the client function for the access point.
  • the pirate Pl With reference to FIG. 2 illustrating a MITM-type attack, the pirate Pl thus positions itself in "transparent" relay and thus intercepts all the packets sent by the client and by the legitimate access point.
  • the attacker chooses a network name (identifier "ESSID”), a MAC address for its wireless interface (identifier "BSSID”), and a radio channel on which to transmit.
  • ESSID network name
  • BSSID MAC address for its wireless interface
  • radio channel on which to transmit a radio channel on which to transmit.
  • These three elements can optionally be chosen to be the same as those of the legitimate access point, so as to minimize the chances for the attacker to be easily detected because, in fact, detection tools of appropriate intrusion could easily identify a discrepancy, such as the appearance of a new access point with other characteristics than legitimate access points.
  • the attacker will generally have to choose a different channel from that of the legitimate access point.
  • an illegitimate access point for example a same BSSID and the same ESSID as a legitimate access point, but the radio channel is different;
  • EAP Extensible Authentication Protocols
  • the legitimate client associates with the illegitimate access point and the attacker usurps the identity of the legitimate client to associate with the legitimate access point.It will thus be understood that twice as many EAP frames are broadcast with the same source and destination MAC addresses. MAC addresses may vary depending on whether the attacker is also usurping the MAC address of the legitimate client or only that of the legitimate access point.
  • an attack is usually detected using a logical sequence of events. However, these events can each be subject to false positives (alarms raised wrongly), but also and especially to false negatives (undetected attacks) in the case where it is decided to detect the attack only if all aforementioned conditions are fulfilled.
  • the de-authentication of a client is based only on a single packet (unassembly or de-authentication frame), which, for example in the event of an overload of the calculation capabilities of a probe, may not to be seen by this probe.
  • the EAP packet enumeration method does not tolerate packet loss.
  • the MITM type attack can also occur when the client first arrives on the network. This new client then connects to a fake access point that was waiting for his arrival, and this fake access point can then perform the second part of the attack, spoofing the client's information to connect to the legitimate access point. . In this case, no de-association or de-authentication frame is exchanged, making detection of the attack even more improbable.
  • the present invention improves the situation. To this end, it proposes a method for detecting an intrusion in a private data communication between a first entity and a second entity, communicating via a telecommunication network, the communication being carried out by transmission of successive packets, each packet including less:
  • a header field including at least one source address of the packet and / or a destination address of the packet for an appropriate routing of the packets, and a packet body including private data
  • the method comprising the steps : a) detecting at least a first packet and a second packet, transmitted at respective distinct times between the first and second entities, and having identical packet bodies, b) and triggering an alarm if a number of packets whose body is identical and detected in step a) is greater than a predetermined threshold.
  • the present invention finds an advantageous application in its implementation in a wireless telecommunication network, advantageously configured according to the IEEE-802.11 standard, this wireless network being able to be connected to a wide area network, in particular in a "hot” context. spof, for a intrusion detection of the type "Man-In-The-Middle".
  • the second aforementioned entity can then be an access point of the wireless network.
  • FIG. 2 schematically illustrates the situation of an attack. of the "Man-In-The-Middle" type in the context of FIG.
  • FIG. 3 represents, by way of example, the structure of a packet or "frame" of data transmitted according to the IEEE 802.11 standard
  • FIG. 4A illustrates the main steps of the method in the sense of the invention, in a first exemplary embodiment, corresponding to a flowchart of a computer program in said first exemplary embodiment
  • FIG. 4B partially illustrates the steps of a variant of the method of FIG. 4A, in a second exemplary embodiment, corresponding to a flowchart of a computer program in said second exemplary embodiment, and
  • FIG. 5 illustrates the operation of a probe, for example a control system of a network, for the implementation of the present invention.
  • a wireless network is considered according to the IEEE 802.11 standard in infrastructure mode (between a client and an access point) and without data encryption at the radio level.
  • a detection within the meaning of of the invention, of attacks of the type "Man-In-The-Middle" between an access point considered legitimate and the customer.
  • the invention is particularly adapted to the context of hot-spots.
  • the listening infrastructure can be deployed in addition to an existing IEEE 802.11 architecture.
  • the invention uses, in this context, the following principle.
  • an attacker In an IEEE 802.11 wireless LAN, consisting of at least one legitimate access point and a legitimate client, an attacker is assumed to have made a "Man-In-The-Middle" attack. between the legitimate client and the legitimate access point, and so retransmits packets received from the client to the legitimate access point.
  • this packet consists of an IEEE 802.11 header and a "data" part.
  • the header contains information about the IEEE 802.11 network and allows the proper routing of the packet from the source to the destination.
  • the attacker re-transmits this packet to the legitimate access point, a certain number of fields in this header are modified (we can even say that the header is completely recreated by the attacker).
  • the "data” part does not change.
  • This "data” part of the packet contains the headers of the higher network layers (for example IP, TCP, UDP, ICMP) as well as the data of the application layers.
  • the invention is then based on the following principle. It is possible, from a probe, to capture and then analyze the variations of these "data" fields of the packets. When two fields of "data" have been identified as identical in separate packages inside a a relatively short time interval, it can be assumed that this is a Man-In-The-Middle attack.
  • the network comprises a plurality of communication channels, and the steps of the detection method are conducted on at least two of these channels and, preferably, on each of the channels.
  • the contents of a packet or "frame" of data according to the IEEE 802.11 standard are described below, with reference to FIG. 3.
  • the frame first comprises a MAC header field (or "MAC Header” field). ) which is defined by the aforementioned IEEE 802.11 standard. It also includes a CRC field associated with an error detector code.
  • frame body (according to the English name “frame body”).
  • This "frame body” field also contains the useful data of the communications (in particular TCP / IP).
  • the application content of the "frame body” can generally be of the form:
  • LLC Logical Link Control
  • IP for "Internet Protocol”
  • TCP Transport Control
  • IEEE 802.11 frames transiting on the radio channel it is sought to conduct a listening on this radio channel.
  • the content of the data frames (in fact all or part of the "frame bod ⁇ ") is compared each time with the content of the previously received data frames so as to detect the frames received in duplicate as to their 'frame body' If such frames are spotted on the radio path, and this, on a regular basis, then a "Man-In-The-Middle" type attack is in progress.
  • One principle of the present invention is that the packets belonging to the protocols of the layers above the MAC layer (especially in the OSI model) are generally subject to important variations.
  • these different protocols use, for the most part, identification mechanisms for transmitted packets, for example a 2-byte identifier for the IP protocol, a 2-byte coded sequence number for the ICMP ("Internet Control Message Protocol") protocol.
  • the invention is particularly suitable for performing an efficient analysis with a rate false positives and false negatives very weak.
  • the packets can be transmitted according to a communication protocol that uses data identifying transmitted packets, these data being included in the packet bodies, which can then detect a MITM type intrusion if the bodies of the packets are identical.
  • the present invention also provides a probe for the implementation of the above method and which will be defined later in generic terms. It may advantageously be an intrusion detection probe adapted to wireless networks and located on a geographic site to be monitored. This sensor is able to raise alarms according to certain events identified. A particular analysis of the content of the transmitted frames or even the sequence of frames constitutes a signature that an intrusion detection tool is able to locate. This signature characterizes an event, such as an attack or simply normal behavior.
  • the probe preferably has specific capabilities that allow it to "listen” on multiple channels at the same time by ensuring, preferably, that there is little or no loss of data frames during listening.
  • a first embodiment comprises the steps illustrated in Figure 4A and may represent an exemplary flowchart of a computer program for the implementation of the invention.
  • steps 40 By listening to a network typically according to the IEEE 802.11 standard using a probe of the aforementioned type, successive data packets FRA-i are recovered (step 40).
  • a received packet FRA-i is then analyzed by retrieving in particular its frame body fb-i or "frame body" (step 41) which includes private data that a client entity wished, for example, to transmit to an access point.
  • Step 42 consists in calculating a signature sgn-i by a hash function H of all or part of the frame body fb-i.
  • the result can be, for example, a 128-bit number (using the MD5 function for "Message Digest 5") or 160 bits (using the SHA1 function for "Secure Hash Algorithm V") or n bits (with another hash function)
  • This value denoted sgn-i in FIG. HAS H_F RAM E BO DY below.
  • the portion of the chopped frame body for calculating the signature may be an important element for performance reasons. Indeed, the invention can be optimized so as to make a calculation of the hashed only on the first 100 bytes for example. It can then be a parameterization of the probe implementing the invention. This point can also be important for certain attack categories that may cause some fixed bytes of the fb-i frame body to change. It is then possible to define the bytes not to be checked so that certain classes of attacks can be detected. This point can also be a parameterization of the tool implementing the invention.
  • a signature of the body of the packet is calculated by applying a hash function to all or part of the data of the packet body
  • said signature is stored in memory, and said signature is compared with packet body signatures previously stored in said memory.
  • the hash function is applied to a part of the data of the packet body, this part of the data being chosen according to the configuration of the network and / or according to the relevance of these data for the intrusion detection.
  • the address information (in the header of the packet mainly), for example at least of the type @MAC_source (starting MAC address), @MAC_destination (destination MAC address), and advantageously the type @MAC_BSSID, and possibly a TO_DS / FROM_DS flag (named STATE_DS) are archived at the same time as the frame body signature.
  • the flag TO_DS is a field indicating that the packet from the client is to the network behind the access point (typically a wired network).
  • the FROM-DS flag is a field indicating that the frame coming from the access point is from equipment behind the access point (in the wired network).
  • the new HASH_ FRAMEBODY sgn-i is compared with those present in the memory, preferably making this comparison sequentially. If there exists in the memory a HASH_ FRAMEBODY sgn-j equal to HASH_ FRAMEBODY current sgn-i (indices i and j being different), which corresponds to the arrow o at the exit of the test 44, then it is raised an alarm of type "Man-In-The-Middle" in step 45. If not (arrow n at the output of test 44), the method continues by analyzing a next FRA-i frame (step 46) and the method is reiterated for this new frame at step 40.
  • the flowchart above shows the most optimized method in terms of speed of processing the IEEE 802.11 information received by the probe.
  • step b) of the general method defined above is conditioned by the detection of a number of packets whose body is identical to step a), this number (corresponding to in practice at the threshold KTH + 1) being preferentially chosen according to a given configuration of the network.
  • this threshold K T H simply has a value of 1.
  • the flowchart of FIG. 4B presents the most optimized method in terms of reducing false positives in the processing of the IEEE 802.11 information received by the probe.
  • the tool can implement both methods and dynamically select the most suitable one depending on the context. It is of course possible to set the listening time window to optimize the detection process.
  • the triggering of the alarm in step b) is effective if first and second packets of the same body are detected in step a) in a time interval less than a predetermined time, this duration being preferentially chosen according to a configuration of the network.
  • the alarm raised by the probe can indicate the five aforementioned data @MAC_source, @MAC_destination, @MAC_BSSID, TO_DS / FROM_DS and HASH_ FRAMEBODY associated with the current frame, and that of a frame previously stored in memory. It is then possible to give additional information such as source, destination and BSSID MAC addresses. Although, in principle, they are not necessary to perform the attack detection, they can instead help the operator to trace the event more accurately.
  • a third embodiment in a specific context corresponding to communications between Wi-Fi clients is described below.
  • a feature is enabled on legitimate access points to prohibit cross-client connections from the same access point. This is a so-called relay mode (or "bridge") operation of the access point.
  • PSPF Publicly Secure Packet Forwarding
  • CISCO access points brand
  • the invention is particularly effective, but in the absence of such functionality, a packet issued by a client to another client of the same access point is retransmitted by the legitimate access point without modification of the "frame body.” This phenomenon would be detected as a possible MITM attack within the meaning of the invention, so it is possible to add an additional verification step to be performed on the packets identified under these conditions
  • This additional verification step can for example be activated by the administrator of the wireless network according to the configuration chosen for his network.
  • the "To DS" field is set to zero while the "From DS” field is set to 1.
  • the @MAC_destination and @MAC_source fields are filled respectively with the MAC address of B and the MAC address of A, and the BSSID field presents the MAC address of the access point.
  • the intrusion further comprises a step of modifying data (such as TO DS / FROM DS flag values) in the header field:
  • step a) the header fields of the first and second packets are further compared
  • step b) the alarm is triggered if the packet bodies are identical and if the header fields are different.
  • the invention advantageously adapts to a context that is not dependent on a constraint of the type "no communication between clients via an access point". To this end, it suffices to add a test on the To DS / From DS flag values at the output of the test 44 on the HASH_ FRAMEBODY shown in FIG. 4A.
  • the probe S listens to both channels 1 and 2 connecting the ATT attacker to the client CL, on the one hand, and the ATT attacker to the access point AP on the other hand. It stores in the memory MEM and reads the packets transiting on these two paths and detects in particular those which have the same frame body by triggering, if necessary, an alarm.
  • the present invention also aims at such a probe S, arranged to detect an intrusion in a private data communication between a first entity and a second entity (such as an access point), these entities being communicating via a telecommunications network, the probe comprising: preferably, means for reading at least the bodies of the packets transmitted between the first entity and the second entity, for example in the MEM memory,
  • the present invention also relates to a computer program that can be downloaded via a telecommunication network and / or intended to be stored in a memory of a probe of the type described above and / or stored on a memory medium intended to cooperate with a reader of this probe.
  • the program includes instructions for implementing the method of the type described above.
  • the present invention also relates to a data storage medium comprising computer program code instructions for executing the steps of the method within the meaning of the invention.
  • the present invention also provides a system for implementing a method of detecting an intrusion into a private data communication, typically between a plurality of communicating entities via a telecommunication network and a plurality of access points. network. For this purpose, it comprises a plurality of probes forming an architecture deployed on the network and network control, each probe comprising the means described above.
  • the detection in the sense of the invention is entirely passive. It does not require any interaction with the equipment constituting the wireless network (access point, clients).
  • the detection in progress is not detectable by an attacker.
  • the detection is independent of the fact that the MAC addresses are spoofed or not since one attaches to the content of the frame body. It is also independent of the fact that ESSID network names are spoofed or not.
  • Another major advantage is that it is independent of the fact that the radio channels are the same or not.
  • Detection is easy to implement in practice. It tolerates in particular that the equipment listening to the radio loses packets. Indeed, this effect has no impact in terms of false positives. As a MitM attack requires many successive packets, it will necessarily be detected.
  • the method within the meaning of the invention can be implemented very simply in an intrusion detection tool in IEEE 802.11 wireless networks, equipment capable of listening to the IEEE 802.11 radio channel being common.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

L'invention propose une détection d'intrusion de type "Man-ln-The-Middle" entre une entité (CL) et un point d'accès (AP) d'un réseau notamment selon la norme IEEE-802.11. Elle propose à cet effet les étapes suivantes : a) lire les corps de trames (FRA-i,... ,FRA-i+3) transmises entre l'entité et le point d'accès, b) détecter des trames (FRA-i,FRA-i+2) transmises à des instants respectifs distincts, mais comportant pourtant des corps de trames (fb) identiques, c) et déclencher une alarme en cas de détection positive à l'étape b).

Description

Détection d'une intrusion par détournement de paquets de données dans un réseau de télécommunication
La présente invention concerne, de manière générale, la détection d'une intrusion entre une entité communicante via un réseau et un point d'accès de ce réseau.
En particulier dans les réseaux sans fil, spécifiés notamment dans les normes [IEEE802.11-1997] et [IEEE802.11-1999] et largement utilisés dans les réseaux dits "Hot-Spots", Entreprises et Résidentiels, des techniques de piratage sont apparues et l'un des risques les plus importants pour de tels réseaux est de créer un faux point d'accès afin d'intercepter les communications d'entités légitimes dites "clients" et récupérer ainsi des données privées (ou "Payload" en anglais). Cette catégorie d'attaque est alors d ite "attaque par point d'accès illégitime".
Le point d'accès est en effet un élément primordial de la communication entre un client et un réseau. Une attaque connue mettant en œuvre un faux point d'accès consiste, pour l'attaquant, à se retrouver entre un client légitime et un point d'accès légitime du réseau. Dans cette position, l'attaquant est alors capable d'intercepter toutes les communications. On parle d'attaque de type "Man-ln-The-Middle".
Dans le contexte de la présente invention, la communication a lieu par paquets de données comportant, de manière générale, un champ dans lequel peuvent être identifiées au moins les adresses de départ et de destination des paquets (dites aussi "adresse source" et "adresse destination'). Il peut typiquement s'agir d'adresses MAC (pour "Médium Access ControV) ou IP (pour "Internet Proto∞r). D'une manière générale, les attaques de type "Man-ln-The-Middle" sont difficilement détectables car elles peuvent mettre en œuvre une technique d'usurpation d'adresse MAC notamment. Il devient difficile alors de distinguer deux équipements différents émettant à partir d'une même adresse MAC.
Ce type d'attaque est particulièrement efficace et intéressant pour l'attaquant lorsque la connexion légitime, par exemple dans un réseau sans fil, n'est pas chiffrée et a lieu en mode dit "infrastructure", c'est-à-dire entre un client et un point d'accès. C'est typiquement le cas de la technologie "hot-spot' déployée par les opérateurs de téléphonie mobile, et celui de la majorité des réseaux d'accès sans fil aux entreprises (même si ces derniers utilisent des mécanismes de sécurité des couches supérieures (au dessus de niveau 2) tels que IPsec, SSH (Secure Shell) ou TLS (Transport Layer Security) pour l'accès des collaborateurs).
La présente invention vise en particulier une détection efficace d'une attaque de type "Man-ln-The-Middle" pour les réseaux de type "hot-spot" ou entreprise. L'efficacité de l'attaque, dans ce dernier cas, dépend beaucoup des mécanismes de sécurité utilisés par l'entreprise, en particulier leur vulnérabilité à des attaques actives.
On décrit ci-après de façon détaillée une attaque de type "Man-ln-The-Middle"
(notée ci-après MITM).
En référence aux figures générales 1 et 2, lors d'une communication classique en mode infrastructure, le client CL est directement connecté au point d'accès AP via un réseau de télécommunication RES. Dans une connexion standard telle que représentée sur la figure 1 , il accède alors aux services offerts par un second réseau qui est situé derrière le(s) point(s) d'accès, par exemple à un accès Internet dans le cas de l'utilisation d'un hot-spot WiFi. Malheureusement, le client légitime CL n'a que peu d'informations sur le point d'accès légitime auquel il se connecte. En pratique, ces informations sont souvent le nom de réseau (ESSID, pour "Extended Service Set Identifier" en anglais), voire l'adresse MAC (BSSID, pour "Basic Service Set Identifier" en anglais). Toutefois, ces éléments peuvent habituellement être usurpés facilement. Dans de nombreux environnements, un pirate est généralement en mesure de mener une attaque de type MITM en usurpant la fonction de point d'accès pour le client, et la fonction de client pour le point d'accès. En référence à la figure 2 illustrant une attaque de type MITM, le pirate Pl se positionne ainsi en relais "transparent" et intercepte donc l'ensemble des paquets émis par le client et par le point d'accès légitime.
Pour émuler un faux point d'accès, l'attaquant choisit un nom de réseau (identifiant "ESSID"), une adresse MAC pour son interface sans fil (identifiant "BSSID"), et un canal radio sur lequel émettre. Ces trois éléments peuvent éventuellement être choisis de manière à être les mêmes que ceux du point d'accès légitime, de manière à réduire au maximum les chances pour l'attaquant d'être détecté facilement car, en effet, des outils de détection d'intrusion appropriés pourraient facilement repérer un écart, tel que l'apparition d'un nouveau point d'accès avec d'autres caractéristiques que celles des points d'accès légitimes. Toutefois, pour des raisons d'interférence et donc d'efficacité de l'attaque, l'attaquant devra généralement choisir un canal différent de celui du point d'accès légitime.
La présente invention ne se limite pas à l'un des cas particuliers relatifs à ces variantes de l'attaque. On comprendra par conséquent que ces différentes variantes ne sont pas décrites en détail.
Par ailleurs, pour que l'attaque se déroule sans être détectée facilement par le client, le pirate retransmet l'ensemble des informations reçues entre le client légitime et le point d'accès légitime. En référence à la figure 2, le pirate Pl relaye par la flèche 2 les données qu'il reçoit de la flèche 1 et inversement. Actuellement, aucune technique, unique et sûre, pour la détection d'attaque de type MITM n'a apparemment été proposée. En général, on utilise la conjonction de plusieurs techniques permettant de détecter les différentes phases de cette attaque. Puis, via une corrélation des différents résultats obtenus (typiquement mettant en oeuvre un mécanisme de détection de séquence d'événements), on procède à l'identification de l'attaque proprement dite. Les techniques suivantes peuvent être utilisées simultanément :
- détection d'une dé-association (ou dé-authentification) d'un client qui a pour but de déconnecter un client légitime du point d'accès légitime auquel il est associé ;
- détection d'une (ou de plusieurs) usurpation(s) d'adresse(s) MAC(s), selon que l'attaquant usurpe l'adresse MAC du point d'accès seulement ou également celle du client, via l'analyse des identifiants "Séquence Number" par exemple ;
- détection de la création d'un point d'accès illégitime (par exemple un même BSSID et un même ESSID qu'un point d'accès légitime, mais le canal radio est différent) ;
- et éventuellement détection d'un nombre de messages EAP ("Extensible Authentication Protocot') supérieur au nombre normalement utilisé par un client pour se connecter à un point d'accès. Dans ce type d'attaque, le client légitime s'associe au point d'accès illégitime et l'attaquant usurpe l'identité du client légitime pour s'associer au point d'accès légitime. On comprendra ainsi que deux fois plus de trames EAP sont diffusées avec les mêmes adresses MAC source et destination. Le critère des adresses MAC peut varier selon que l'attaquant usurpe également l'adresse MAC du client légitime ou bien uniquement celle du point d'accès légitime. Ainsi, on détecte habituellement une attaque à l'aide d'une succession logique d'événements. Toutefois, ces événements peuvent être chacun sujet à des faux positifs (alarmes levées à tort), mais aussi et surtout à des faux négatifs (attaques non détectées) dans le cas où l'on décide de ne détecter l'attaque que si toutes les conditions précitées sont remplies.
La technique basée sur l'analyse du Séquence Number nécessite la gestion de seuils très précis et délicats à positionner. Par conséquent, cette technique seule est difficile à mettre en œuvre afin de s'assurer de l'absence de faux positifs et faux négatifs. La difficulté principale réside dans la gestion des pertes de paquets lors, par exemple, d'une transmission à longue distance. En effet, certains paquets seront perdus, ce qui entraînera des problèmes de faux positifs car les Séquence Number varieront fortement d'un paquet à l'autre. Il est donc nécessaire de gérer des seuils de manière très fine. Les techniques d'identification de dé-association d'un client et d'analyse du nombre de trames EAP utilisées lors de la reconnexion d'un client sont également soumises au risque de perte de paquets. En effet, la dé- authentification d'un client ne repose que sur un seul paquet (trame de déassociation ou dé-authentification), qui, par exemple en cas d'une surcharge des capacités de calcul d'une sonde, peut ne pas être vu par cette sonde. De même, la méthode d'énumération des paquets EAP ne tolère pas la perte de paquets.
En outre, l'attaque de type MITM peut aussi se dérouler lors de l'arrivée initiale du client sur le réseau. Ce nouveau client se connecte alors sur un faux point d'accès qui attendait son arrivée et ce faux point d'accès peut ensuite effectuer la deuxième partie de l'attaque, en usurpant les informations du client pour se connecter au point d'accès légitime. Dans ce cas, aucune trame de dé-association ou dé-authentification n'est échangée, rendant la détection de l'attaque encore plus improbable.
La présente invention vient améliorer la situation. Elle propose à cet effet un procédé de détection d'une intrusion dans une communication de données privées entre une première entité et une seconde entité, communicantes via un réseau de télécommunication, * la communication étant effectuée par transmission de paquets successifs, chaque paquet comportant au moins :
- un champ d'en-tête incluant au moins une adresse de source du paquet et/ou une adresse de destination du paquet pour un routage approprié des paquets, - et un corps de paquet incluant des données privées,
* ladite intrusion consistant au moins à :
- s'interconnecter entre la première et la seconde entité,
- usurper l'adresse de la première entité et/ou l'adresse de la seconde entité en tant qu'adresse de source et/ou de destination, et - détourner ainsi les paquets pour récupérer notamment les données privées, le procédé comportant les étapes : a) détecter au moins un premier paquet et un second paquet, transmis à des instants respectifs distincts entre la première et la deuxième entité, et comportant des corps de paquet identiques, b) et déclencher une alarme si un nombre de paquets dont le corps est identique et détectés à l'étape a) est supérieur à un seuil prédéterminé.
La présente invention trouve une application avantageuse dans sa mise en œuvre dans un réseau de télécommunication sans fil, avantageusement configuré selon la norme IEEE-802.11 , ce réseau sans fil pouvant être relié à un réseau étendu, notamment dans un contexte de type "hot-spof, pour une détection d'intrusion du type "Man-ln-The-Middle". La seconde entité précitée peut alors être un point d'accès du réseau sans fil.
D'ailleurs, d'autres caractéristiques et avantages de l'invention apparaîtront à l'examen de la description détaillée ci-après, et des dessins annexés sur lesquels :
- la figure 1 , présentée ci-avant, illustre schématiquement un exemple d'une situation de communication normale entre une entité client et un point d'accès d'un réseau de télécommunication, - la figure 2 illustre schématiquement la situation d'une attaque de type "Man-ln-The-Middle" dans le contexte de la figure 1 ,
- la figure 3 représente à titre d'exemple la structure d'un paquet ou "trame" de données transmis selon le standard IEEE 802.11 ,
- la figure 4A illustre les principales étapes du procédé au sens de l'invention, dans un premier exemple de réalisation, correspondant à un organigramme d'un programme d'ordinateur dans ledit premier exemple de réalisation,
- la figure 4B illustre partiellement les étapes d'une variante du procédé de la figure 4A, dans un second exemple de réalisation, correspondant à un organigramme d'un programme d'ordinateur dans ledit second exemple de réalisation, et
- la figure 5 illustre l'opération d'une sonde, par exemple d'un système de contrôle d'un réseau, pour la mise en œuvre de la présente invention.
Dans les exemples de réalisation donnés dans la description détaillée ci- après, on considère un réseau sans fil selon la norme IEEE 802.11 en mode infrastructure (entre un client et un point d'accès) et sans chiffrement des données au niveau radio. On décrit, dans ce contexte, une détection, au sens de l'invention, d'attaques de type "Man-ln-The-Middle" entre un point d'accès considéré comme légitime et le client. L'invention s'adapte tout particulièrement au contexte des hot-spots.
Pour réaliser cette détection, il est avantageux de prévoir une infrastructure d'écoute de la voie radio. Les clients et les points d'accès légitimes ne sont pas capables de voir les attaques et en particulier ne peuvent repérer des attaques du type MITM. L'infrastructure d'écoute peut être déployée en sus d'une architecture de type IEEE 802.11 existante.
L'invention utilise, dans ce contexte, le principe suivant.
Dans un réseau local sans fil de type IEEE 802.11 , composé d'au moins un point d'accès légitime et d'un client légitime, on suppose qu'un attaquant a réalisé une attaque de type "Man-ln-The-Middle" entre le client légitime et le point d'accès légitime, et qu'il retransmet donc les paquets reçus du client vers le point d'accès légitime.
Lorsque le client légitime émet un paquet de données IEEE 802.11 , ce paquet est composé d'un en-tête IEEE 802.11 et d'une partie "données". L'en-tête contient des informations relatives au réseau IEEE 802.11 et permettant le bon acheminement du paquet de la source jusqu'à la destination. Lorsque l'attaquant ré-émet ce paquet à destination du point d'accès légitime, un certain nombre de champs de cet en-tête sont modifiés (on peut même dire que l'en-tête est totalement recréé par l'attaquant). En revanche, la partie "données" ne change pas. Cette partie "données" du paquet contient les entêtes des couches réseaux supérieures (par exemple IP, TCP, UDP, ICMP) ainsi que les données des couches applicatives.
L'invention se base alors sur le principe suivant. Il est possible, à partir d'une sonde, d'effectuer une capture puis une analyse des variations de ces champs de "données" des paquets. Lorsque deux champs de "données" ont été identifiés comme identiques dans des paquets distincts à l'intérieur d'un intervalle de temps relativement court, on peut supposer qu'il s'agit d'une attaque de type "Man-ln-The-Middle".
La sonde écoute avantageusement la voie radio sur différents canaux. Ainsi, en termes plus génériques, le réseau comporte une pluralité de canaux de communication, et les étapes du procédé de détection sont menées sur au moins deux de ces canaux et, de préférence, sur chacun des canaux.
On décrit ci-après le contenu d'un paquet ou "trame" de données selon le standard IEEE 802.11 , en référence à la figure 3. La trame comporte d'abord un champ d'en-tête MAC (ou "MAC Header") qui est défini par la norme précitée IEEE 802.11. Elle comporte également un champ CRC associé à un code détecteur d'erreurs.
Ensuite, le contenu des données privées transportées est inclus dans un corps de paquet fb ou "corps de trame" (selon la dénomination anglo-saxonne "frame body"). Ce champ "frame body" comporte aussi les données utiles des communications (en particulier TCP/IP). Le contenu applicatif du "frame body" peut généralement être de la forme :
- Couche Liaison, par exemple "LLC" (pour "Logical Link Control") ;
- Couche Réseau, généralement IP (pour "Internet Protocol") ;
- Couche Transport, généralement TCP (pour "Transport Control
Protocol") ou UDP (pour "User Datagram Protocol") ;
- puis un protocole applicatif particulier, encapsulé dans le protocole de transport.
Dans le cas des trames IEEE 802.11 transitant sur la voie radio, on cherche à mener une écoute sur cette voie radio. En particulier, le contenu des trames de données (en fait tout ou partie du "frame bodγ') est comparé à chaque fois avec le contenu des trames de données précédemment reçues de manière à détecter les trames reçues en double quant à leur 'frame body'. Si de telles trames sont repérées sur la voie radio, et ce, de manière régulière, alors une attaque de type "Man-ln-The-Middle" est en cours.
Un principe de la présente invention consiste en ce que les paquets appartenant aux protocoles des couches supérieures à la couche MAC (notamment dans le modèle OSI) sont généralement sujet à d'importantes variations. En effet, ces différents protocoles utilisent pour la plupart des mécanismes d'identification des paquets émis, par exemple un identifiant codé sur 2 octets pour le protocole IP, un numéro de séquence codé sur 2 octets pour le protocole ICMP ("Internet Control Message ProtocoV en anglais), un numéro de séquence et un numéro d'acquittement codés sur 4 octets pour le protocole TCP. Ainsi, en pratique, les paquets, en particulier les corps de trame ne sont généralement jamais égaux, même s'ils correspondent à une réémission de trame (changement d'un champ spécifiant qu'il s'agit d'une ré- émission, ou changement d'un numéro de séquence). Par conséquent, l'invention est particulièrement adaptée pour réaliser une analyse efficace avec un taux de faux positifs et faux négatifs très faible.
En termes plus génériques, on retiendra que les paquets peuvent être transmis selon un protocole de communication qui utilise des données identifiant les paquets émis, ces données étant incluses dans les corps de paquet, ce qui permet de détecter assurément alors une intrusion de type MITM si les corps des paquets sont identiques.
On indique en outre qu'il existe toutefois un mode de la norme 802.11 particulier dénommé "mode répéteur" et visant à utiliser un point d'accès 802.11 pour retransmettre à l'identique les trames reçues. Ce mode est très peu utilisé en pratique. Son utilisation serait détectée comme une attaque par la précédente invention. Toutefois, une simple utilisation de "liste blanche" réglerait facilement le problème. La présente invention vise aussi une sonde pour la mise en œuvre du procédé ci-avant et qui sera définie plus loin en termes génériques. Il peut s'agir avantageusement d'une sonde de détection d'intrusion adaptée aux réseaux sans fils et localisée sur un site géographique à surveiller. Cette sonde est capable de lever des alarmes en fonction de certains événements repérés. Une analyse particulière du contenu des trames émises ou même des séquences de trames constitue une signature qu'un outil de détection d'intrusion est capable de repérer. Cette signature caractérise un événement, tel qu'une attaque ou simplement un comportement normal. La sonde a préférentiellement des capacités spécifiques qui lui permettent "d'écouter" sur plusieurs canaux en même temps en assurant, de préférence, qu'il n'y pas ou peu de pertes de trames de données durant l'écoute.
On décrit ci-après deux réalisations possibles dans la mise en œuvre de l'invention.
Un premier mode de réalisation comporte les étapes illustrées sur la figure 4A et susceptibles de représenter un exemple d'organigramme d'un programme d'ordinateur pour la mise en œuvre de l'invention. En écoutant un réseau typiquement selon la norme IEEE 802.11 à l'aide d'une sonde du type précité, on récupère des paquets de données successifs FRA-i (étape 40). On analyse alors un paquet reçu FRA-i en récupérant en particulier son corps de trame fb-i ou "frame body" (étape 41) qui inclut des données privées qu'une entité cliente souhaitait par exemple transmettre vers un point d'accès. L'étape 42 consiste à calculer une signature sgn-i par une fonction de hachage H de tout ou partie du corps de trame fb-i. Le résultat peut par exemple se présenter par un nombre sur 128 bits (en utilisant la fonction MD5 pour "Message Digest 5") ou 160 bits (en utilisant la fonction SHA1 pour "Secure Hash Algorithm V) ou sur n bits (avec une autre fonction de hachage). Cette valeur, notée sgn-i sur la figure 4A est appelée HAS H_F RAM E BO DY ci-après. La partie du corps de trame hachée pour le calcul de la signature peut être un élément important pour des raisons de performances. En effet, l'invention peut être optimisée de manière à ne faire un calcul du haché que sur les 100 premiers octets par exemple. Il peut alors s'agir d'un paramétrage de la sonde implémentant l'invention. Ce point peut aussi avoir son importance sur certaines catégories d'attaques qui peuvent entraîner des modifications de certains octets fixes du corps de trame fb-i. Il est alors possible de définir les octets à ne pas vérifier de manière à pouvoir détecter certaines classes d'attaques. Ce point peut aussi être un paramétrage de l'outil implémentant l'invention.
Ainsi, en termes plus génériques, pour chaque paquet reçu :
- on calcule une signature du corps du paquet en appliquant une fonction de hachage à tout ou partie des données du corps de paquet,
- on stocke en mémoire ladite signature, et - on compare ladite signature à des signatures de corps de paquet précédemment stockées dans ladite mémoire.
Préférentiellement, la fonction de hachage est appliquée à une partie des données du corps de paquet, cette partie des données étant choisie en fonction de la configuration du réseau et/ou en fonction de la pertinence de ces données pour la détection d'intrusion.
A l'étape 43, les informations d'adresses (dans l'en-tête du paquet principalement), par exemple au moins du type @MAC_source (adresse MAC de départ), @MAC_destination (adresse MAC de destination), et avantageusement du type @MAC_BSSID, ainsi, éventuellement, qu'un drapeau TO_DS/FROM_DS (nommé STATE_DS) sont archivées en même temps que la signature du frame body. On indique que le drapeau précité TO_DS est un champ indiquant que le paquet en provenance du client est à destination du réseau derrière le point d'accès (typiquement un réseau filaire). Le drapeau FROM-DS est un champ indiquant que la trame en provenance du point d'accès provient d'un équipement situé derrière le point d'accès (dans le réseau filaire). Ces identifiants sont couramment utilisés en contexte Wi-Fi, comme on le verra en référence à un troisième mode de réalisation décrit plus loin.
On stocke ces cinq données (@MAC_source, @MAC_destination, @MAC_BSSID, STATE_DS, HASH_ FRAMEBODY) avantageusement dans une mémoire de type FIFO (pour "First In First Ouf), en tant que quintuplé préférentiellement pendant une durée prédéfinie, les plus anciens quintuplés étant automatiquement effacés et remplacés lors de l'arrivée à leur fin de durée de vie. Cette durée peut être fixée en pratique à une valeur de l'ordre de la dizaine de secondes. En effet, il n'est pas nécessaire de garder un historique important du frame body des trames hachées dans la mémoire précitée car l'attaque doit être réalisée en direct par l'attaquant et ce dernier ne peut se permettre de ralentir fortement le relais des trames.
Au test 44, on compare le nouveau HASH_ FRAMEBODY sgn-i avec ceux présents dans la mémoire en faisant préférentiellement cette comparaison de manière séquentielle. Si il existe dans la mémoire un HASH_ FRAMEBODY sgn-j égal au HASH_ FRAMEBODY courant sgn-i (les indices i et j étant différents), ce qui correspond à la flèche o en sortie du test 44, alors il est levé une alarme de type "Man-ln-The-Middle" à l'étape 45. Sinon (flèche n en sortie du test 44), le procédé se poursuit en analysant une trame FRA-i suivante (étape 46) et le procédé est réitéré pour cette nouvelle trame à l'étape 40.
L'organigramme ci-avant présente le procédé le plus optimisé en terme de rapidité de traitement des informations IEEE 802.11 reçues par la sonde.
II est possible de limiter les faux positifs avec la réalisation plus sophistiquée qui est présentée en figure 4B. Dans cette réalisation, à l'issue du test 44 de la figure 4A, on compte le nombre K de fois où le nouveau HASH_ FRAMEBODY est égal à ceux présents dans la mémoire en faisant la comparaison 44 de manière séquentielle (étape 47). Dès que ce compteur dépasse un seuil prédéfini KTH (flèche o en sortie du test 48), alors il peut être levé une alarme de type "Man-ln-The-Middle" (étape 45 de la figure 4A). La valeur du seuil KTH peut être un paramètre de la sonde au sens de l'invention. En termes plus génériques, on retiendra que le déclenchement de l'étape b) du procédé général défini ci-avant est conditionné par la détection d'un nombre de paquets dont le corps est identique à l'étape a), ce nombre (correspondant en pratique au seuil KTH+1 ) étant préférentiellement choisi selon une configuration donnée du réseau. Dans le cas particulier de la figure 4A, ce seuil KTH a simplement une valeur de 1.
L'organigramme de la figure 4B présente le procédé le plus optimisé en terme de réduction de faux positifs dans le traitement des informations IEEE 802.11 reçues par la sonde. L'outil peut implémenter les deux méthodes et sélectionner de manière dynamique la plus adaptée en fonction du contexte. Il est bien entendu possible de paramétrer la fenêtre de temps d'écoute pour optimiser le processus de détection. Ainsi, en termes plus génériques, le déclenchement de l'alarme à l'étape b) est effectif si des premier et second paquets de même corps sont détectés à l'étape a) dans un intervalle de temps inférieur à une durée prédéterminée, cette durée étant préférentiellement choisie en fonction d'une configuration du réseau.
En effet, selon les environnements, il peut être possible que des re-émissions normales entraînent des faux positifs (par exemple en mode répétitif de la norme 802.11). Cependant, ce comportement est rare en principe, et ne peut en soi impliquer des problématiques importantes car une attaque de type "Man-ln-The-Middle" entraînerait un nombre important d'alertes contrairement à des re-émissions sporadiques dans la fenêtre de temps qui peut être définie comme étant courte car il est rappelé que l'attaquant a la contrainte de devoir re-émettre le paquet rapidement. L'alarme levée par la sonde peut indiquer les cinq données précitées @MAC_source, @MAC_destination, @MAC_BSSID, TO_DS/FROM_DS et HASH_ FRAMEBODY associées à la trame actuelle, et à celle d'une trame précédemment stockée en mémoire. Il est alors possible de donner des informations supplémentaires telles que les adresses MAC source, destination et BSSID. Même si, en principe, elles ne sont pas nécessaires pour réaliser la détection d'attaque, elles peuvent en revanche aider l'opérateur à tracer l'événement de manière plus précise.
On décrit ci-après un troisième mode de réalisation dans un contexte spécifique correspondant à des communications entre clients Wi-Fi.
Dans plusieurs hot-spots et réseaux d'accès sans fil d'entreprise, une fonctionnalité est activée sur les points d'accès légitimes pour interdire les connexions inter-clients d'un même point d'accès. Il s'agit d'un fonctionnement dit en mode relais (ou "bridge') du point d'accès. Un exemple concret est la fonction PSPF (pour "Publicly Secure Packet Forwarding") proposée par les points d'accès CISCO (marque déposée). Lorsque cette fonctionnalité est activée, l'invention s'avère particulièrement efficace. En revanche, en l'absence d'une telle fonctionnalité, un paquet émis par un client à destination d'un autre client du même point d'accès est retransmis par le point d'accès légitime sans modification du "frame body". Ce phénomène serait détecté comme une possible attaque de MITM au sens de l'invention. Il est donc possible d'ajouter une étape de vérification supplémentaire à effectuer sur les paquets identifiés dans ces conditions. Cette étape de vérification supplémentaire peut être par exemple activable par l'administrateur du réseau sans fil selon la configuration choisie pour son réseau.
Elle se décrit comme suit. Lorsqu'une trame est émise par un client A à destination d'un autre client B du même point d'accès, le drapeau "To DS" décrit ci-avant de cette trame est mis à 1 , tandis que le drapeau "From DS" est mis à zéro. Les champs @MAC_destination et @MAC_source sont remplis respectivement avec l'adresse MAC de B et l'adresse MAC de A, et le champ BSSID présente l'adresse MAC du point d'accès.
Puis, lorsque ce paquet est retransmis par le point d'accès à destination du client B, le champ "To DS" est mis à zéro tandis que le champ "From DS" est mis à 1. Les champs @MAC_destination et @MAC_source sont remplis respectivement avec l'adresse MAC de B et l'adresse MAC de A, et le champ BSSID présente l'adresse MAC du point d'accès.
Ainsi, il suffit de vérifier que les deux paquets identifiés comme possédant un même trame body' ont les mêmes @MAC_destination, @MAC_source, et BSSID, mais en particulier des drapeaux "To DS" et "From DS" de valeurs opposées, ce qui permet de lever une alarme sans pratiquement aucun risque de faux positifs.
En termes plus génériques, on retiendra que lorsque l'intrusion comporte en outre une étape de modification de données (telles que les valeurs de drapeaux TO DS/FROM DS) dans le champ d'en-tête :
- à l'étape a), on compare en outre les champs d'en-tête des premier et second paquets,
- et à l'étape b), on déclenche l'alarme si les corps de paquet sont identiques et si les champs d'en-tête sont différents.
Ainsi, l'invention s'adapte avantageusement à un contexte non dépendant d'une contrainte de type "pas de communications entre clients via un point d'accès". Il suffit à cet effet de rajouter un test sur les valeurs de drapeaux To DS/ From DS en sortie du test 44 sur le HASH_ FRAMEBODY représenté sur la figure 4A.
Une fois déployée, une sonde mettant en œuvre le procédé, se retrouve dans la situation représentée sur la figure 5. La sonde S écoute les deux voies 1 et 2 reliant l'attaquant ATT au client CL, d'une part, et l'attaquant ATT au point d'accès AP d'autre part. Elle stocke dans la mémoire MEM et lit les paquets transitant sur ces deux chemins et détecte en particulier ceux qui ont le même corps de trame en déclenchant, le cas échéant, une alarme.
La présente invention vise aussi une telle sonde S, agencée pour détecter une intrusion dans une communication de données privées entre une première entité et une seconde entité (telle qu'un point d'accès), ces entités étant communicantes via un réseau de télécommunication, la sonde comportant : - de préférence, des moyens de lecture au moins des corps des paquets transmis entre la première entité et la seconde entité, par exemple dans la mémoire MEM,
- des moyens de comparaison des corps de paquet pour détecter au moins un premier paquet et un second paquet, transmis à des instants respectifs distincts entre la première entité et la seconde entité, et comportant des corps de paquet identiques,
- et des moyens SA pour déclencher une alarme si le nombre de paquets détectés dont le corps est identique est supérieur à un seuil Km-
La présente invention vise aussi un programme d'ordinateur pouvant être téléchargé via un réseau de télécommunication et/ou destiné à être stocké dans une mémoire d'une sonde du type décrit ci-avant et/ou stocké sur un support mémoire destiné à coopérer avec un lecteur de cette sonde. En particulier, le programme comporte des instructions pour la mise en œuvre du procédé du type décrit ci-avant. La présente invention vise aussi un support de stockage de données comportant des instructions de code de programme informatique pour l'exécution des étapes du procédé au sens de l'invention. La présente invention vise aussi un système pour la mise en œuvre d'un procédé de détection d'une intrusion dans une communication de données privées, typiquement entre une pluralité d'entités communicantes via un réseau de télécommunication et une pluralité de points d'accès du réseau. A cet effet, il comporte une pluralité de sondes formant une architecture déployée sur le réseau et de contrôle du réseau, chaque sonde comportant les moyens énoncés ci-avant.
Selon l'un des avantages que procure l'invention, la détection au sens de l'invention est entièrement passive. Elle ne nécessite aucune interaction avec les équipements constituant le réseau sans fil (point d'accès, clients).
Selon un autre avantage que procure l'invention, la détection en cours n'est pas décelable par un attaquant.
Selon un autre avantage encore que procure l'invention, la détection est indépendante du fait que les adresses MAC soient usurpées ou non puisque l'on s'attache au contenu du corps de trame. Elle est aussi indépendante du fait que les noms de réseaux ESSID soient usurpés ou non.
Un autre avantage majeur est qu'elle est indépendante du fait que les canaux radio soient les mêmes ou non.
La détection est facile à implémenter en pratique. Elle tolère en particulier que l'équipement en écoute de la voie radio perde des paquets. En effet, cet effet n'a aucun impact en terme de faux positifs. Comme une attaque de type MitM nécessite de nombreux paquets successifs, elle sera nécessairement détectée. Le procédé au sens de l'invention peut être implémenté très simplement dans un outil de détection d'intrusion dans les réseaux sans fil IEEE 802.11 , des équipements capables d'écouter la voie radio IEEE 802.11 étant courants.

Claims

Revendications
1. Procédé de détection d'une intrusion dans une communication de données privées entre une première entité et une seconde entité, communicantes via un réseau de télécommunication,
* la communication étant effectuée par transmission de paquets successifs, chaque paquet comportant au moins :
- un champ d'en-tête incluant au moins une adresse de source du paquet et/ou une adresse de destination du paquet pour un routage approprié des paquets,
- et un corps de paquet incluant des données privées,
* ladite intrusion consistant au moins à :
- s'interconnecter entre la première et la deuxième entité,
- usurper l'adresse de la première entité et/ou l'adresse de la deuxième entité en tant qu'adresse de source et/ou de destination, et
- détourner ainsi les paquets pour récupérer notamment les données privées, caractérisé en ce qu'il comporte les étapes : a) détecter au moins un premier paquet et un second paquet, transmis à des instants respectifs distincts entre la première et la deuxième entité, et comportant des corps de paquet identiques, b) et déclencher une alarme si un nombre de paquets dont le corps est identique et détectés à l'étape a) est supérieur à un seuil prédéterminé (KTH).
2. Procédé selon la revendication 1 , caractérisé en ce que le réseau de télécommunication est un réseau sans fil.
3. Procédé selon la revendication 2, caractérisé en ce que le réseau sans fil est configuré selon la norme IEEE-802.11.
4. Procédé selon l'une des revendications précédentes, caractérisé en ce que ledit réseau est un réseau sans fil relié à un réseau étendur
5. Procédé selon l'une des revendications précédentes, caractérisé en ce que la seconde entité est un point d'accès du réseau.
6. Procédé selon l'une des revendications précédentes, caractérisé en ce que ledit réseau comporte une pluralité de canaux de communication, et en ce que les étapes a) et b) sont menées sur au moins deux de ces canaux.
7. Procédé selon l'une des revendications précédentes, caractérisé en ce que le déclenchement de l'étape b) est effectif si lesdits premier et second paquets sont détectés à l'étape a) dans un intervalle de temps inférieur à une durée prédéterminée, ladite durée étant préférentiellement choisie en fonction d'une configuration du réseau.
8. Procédé selon l'une des revendications précédentes, caractérisé en ce que, au cours de ladite étape a) :
- on calcule une signature du corps d'au moins un second paquet en appliquant une fonction de hachage à tout ou partie des données du corps de paquet,
- on stocke en mémoire ladite signature, et - on compare ladite signature à la signature de corps d'au moins un premier paquet précédemment stockée dans ladite mémoire.
9. Procédé selon la revendication 8, caractérisé en ce que ladite fonction de hachage est appliquée à une partie des données du corps de paquet, ladite partie des données étant choisie en fonction de la configuration du réseau et/ou en fonction de la pertinence de ces données pour la détection d'intrusion.
10. Procédé selon l'une des revendications précédentes, dans lequel ladite intrusion comporte en outre une étape de modification de données
(TO DS/FROM DS) dans le champ d'en-tête, caractérisé en ce que :
- à l'étape a), on compare en outre les champs d'en-tête des premier et second paquets,
- et à l'étape b), on déclenche l'alarme si les corps de paquet sont identiques et si les champs d'en-tête sont différents.
11. Procédé selon f'une des revendications précédentes, caractérisé en ce que les paquets sont transmis selon un protocole de communication qui utilise des données identifiant les paquets émis, lesdites données étant incluses dans les corps de paquet.
12. Procédé selon l'une des revendications précédentes, caractérisé en ce que le seuil prédéterminé (KTH) est choisi selon une configuration donnée du réseau.
13. Sonde, pour la mise en œuvre du procédé selon l'une des revendications 1 à 12, de détection d'une intrusion dans une communication de données privées entre une première entité et une seconde entité, communicantes via un réseau de télécommunication,
* la communication étant effectuée par transmission de paquets successifs, chaque paquet comportant au moins : - un champ d'en-tête incluant au moins une adresse de source du paquet et/ou une adresse de destination du paquet pour un routage approprié des paquets,
- et un corps de paquet incluant des données privées,
* ladite intrusion consistant au moins à : - s'interconnecter entre la première entité et la seconde entité,
- usurper l'adresse de la première entité et/ou l'adresse de la seconde entité en tant qu'adresse de source et/ou de destination, et
- détourner ainsi les paquets pour récupérer notamment les données privées, caractérisée en ce que la sonde comporte :
- des moyens de comparaison des corps de paquet pour détecter au moins un premier paquet et un second paquet, transmis à des instants respectifs distincts entre la première et la seconde entité, et comportant des corps de paquet identiques, - et des moyens pour déclencher une alarme si un nombre de paquets dont le corps est identique et détectés par les moyens de comparaison est supérieur à un seuil prédéterminé (KTH)-
14. Système, pour la mise en œuvre du procédé selon l'une des revendications 1 à 12, pour détecter une intrusion dans une communication de données privées entre une pluralité d'entités communicantes via un réseau de télécommunication, * la communication étant effectuée par transmission de paquets successifs, chaque paquet comportant au moins :
- un champ d'en-tête incluant au moins une adresse de source du paquet et/ou une adresse de destination du paquet pour un routage approprié des paquets,
- et un corps de paquet incluant des données privées,
* ladite intrusion consistant au moins à :
- s'interconnecter entre une première et une seconde entité,
- usurper l'adresse de la première entité et/ou l'adresse de la seconde entité en tant qu'adresse de source et/ou de destination, et
- détourner ainsi les paquets pour récupérer notamment les données privées, caractérisé en ce qu'elle comporte une pluralité de sondes formant une architecture de contrôle du réseau, chaque sonde comportant : - des moyens de comparaison des corps de paquet, propres à détecter au moins un premier paquet et un second paquet, transmis à des instants respectifs distincts entre les première et seconde entités, et comportant des corps de paquet identiques, et des moyens de déclenchement d'une alarme si un nombre de paquets dont le corps est identique et détectés par les moyens de comparaison est supérieur à un seuil prédéterminé (KTH)-
15. Programme d'ordinateur, pour la mise en œuvre du procédé selon l'une des revendications 1 à 12, téléchargeable via un réseau de télécommunication et/ou destiné à être stocké dans une mémoire d'une sonde et/ou stocké sur un support mémoire destiné à coopérer avec un lecteur de ladite sonde, ladite sonde étant agencée pour détecter une intrusion dans une communication de données privées entre une première et une seconde entité, communicantes via un réseau de télécommunication,
* la communication étant effectuée par transmission de paquets successifs, chaque paquet comportant au moins :
- un champ d'en-tête incluant au moins une adresse de source du paquet et/ou une adresse de destination du paquet pour un routage approprié des paquets,
- et un corps de paquet incluant des données privées, * ladite intrusion consistant au moins à :
- s'interconnecter entre Ia première et la seconde entité,
- usurper l'adresse de la première entité et/ou l'adresse de la seconde entité en tant qu'adresse de source et/ou de destination, et
- détourner ainsi les paquets pour récupérer notamment les données privées, caractérisé en ce que le programme comporte des instructions pour, lorsqu'il est exécuté à partir d'une mémoire de la sonde : a) détecter au moins un premier paquet et un second paquet, transmis à des instants respectifs distincts entre Ia première et la seconde entité, et comportant des corps de paquet identiques, b) et déclencher une alarme si un nombre de paquets détectés dont le corps est identique est supérieur à un seuil prédéterminé (KTH).
16. Support de stockage de données comportant des instructions de code de programme informatique pour l'exécution des étapes d'un procédé selon l'une quelconque des revendications 1 à 12.
EP06778701A 2005-07-13 2006-06-28 Detection d une intrusion par detournement de paquets de donnees dans un reseau de telecommunication Withdrawn EP1902563A2 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR0507532A FR2888695A1 (fr) 2005-07-13 2005-07-13 Detection d'une intrusion par detournement de paquets de donnees dans un reseau de telecommunication
PCT/FR2006/001508 WO2007010101A2 (fr) 2005-07-13 2006-06-28 Detection d’une intrusion par detournement de paquets de donnees dans un reseau de telecommunication

Publications (1)

Publication Number Publication Date
EP1902563A2 true EP1902563A2 (fr) 2008-03-26

Family

ID=36297263

Family Applications (1)

Application Number Title Priority Date Filing Date
EP06778701A Withdrawn EP1902563A2 (fr) 2005-07-13 2006-06-28 Detection d une intrusion par detournement de paquets de donnees dans un reseau de telecommunication

Country Status (4)

Country Link
US (1) US20090138971A1 (fr)
EP (1) EP1902563A2 (fr)
FR (1) FR2888695A1 (fr)
WO (1) WO2007010101A2 (fr)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120030759A1 (en) * 2010-07-28 2012-02-02 Alcatel-Lucent Usa Inc. Security protocol for detection of fraudulent activity executed via malware-infected computer system
US9313655B2 (en) * 2011-10-31 2016-04-12 Nokia Corporation Location privacy in communication networks
EP2815360A4 (fr) * 2012-02-17 2015-12-02 Vencore Labs Inc Adaptateur de compteur électrique multi-fonction et son procédé d'utilisation
US10620241B2 (en) 2012-02-17 2020-04-14 Perspecta Labs Inc. Method and system for packet acquisition, analysis and intrusion detection in field area networks
EP2948882A4 (fr) 2013-01-24 2016-08-10 Vencore Labs Inc Procédé et système de visualisation et d'analyse d'un réseau de jonction de zone
CN106790299B (zh) * 2017-03-20 2020-06-23 京信通信系统（中国）有限公司 一种在无线接入点ap上应用的无线攻击防御方法和装置
US10853457B2 (en) * 2018-02-06 2020-12-01 Didi Research America, Llc System and method for program security protection

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002071227A1 (fr) * 2001-03-01 2002-09-12 Cyber Operations, Llc Systeme et procede anti-piratage de reseau
US6745333B1 (en) * 2002-01-31 2004-06-01 3Com Corporation Method for detecting unauthorized network access by having a NIC monitor for packets purporting to be from itself
US7134143B2 (en) * 2003-02-04 2006-11-07 Stellenberg Gerald S Method and apparatus for data packet pattern matching
US7454499B2 (en) * 2002-11-07 2008-11-18 Tippingpoint Technologies, Inc. Active network defense system and method

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO2007010101A2 *

Also Published As

Publication number Publication date
WO2007010101A3 (fr) 2007-03-29
FR2888695A1 (fr) 2007-01-19
US20090138971A1 (en) 2009-05-28
WO2007010101A2 (fr) 2007-01-25

Similar Documents

Publication Publication Date Title
EP2721857B1 (fr) Procédé de traitement d'un paquet de données a l'émission, procédé de traitement d'un paquet de données à la réception, dispositifs et équipements de noeuds associés
EP1605660B1 (fr) Contrôle d'accès à un réseau d'un terminal source utilisant un tunnel en mode bloquant
WO2006111635A1 (fr) Procede et systeme de transmission d’un flux multicast en reseau d’echange de donnees
FR2844941A1 (fr) Demande d'acces securise aux ressources d'un reseau intranet
EP1794934A1 (fr) Procede, dispositif et programme de detection d'usurpation de point d'acces.
EP3556130B1 (fr) Procédé de surveillance d'un réseau de télécommunications mis en oeuvre par un point d'accès
EP1733539B1 (fr) Dispositif et procédé de détection et de prévention d'intrusions dans un réseau informatique
EP1902563A2 (fr) Detection d une intrusion par detournement de paquets de donnees dans un reseau de telecommunication
EP1842389B1 (fr) Procédé, dispositif et programme de détection d'usurpation d'adresse dans un réseau sans fil
FR2717334A1 (fr) Vérification d'intégrité de données échangées entre deux stations de réseau de télécommunications.
EP1849261A1 (fr) Procede, dispositif et programme de detection d'usurpation d'adresse dans un reseau sans fil
EP1758338B1 (fr) Procédé et équipement de communication sécurisé pour le traitement des paquets de données selon le mécanisme SEND
EP1905194B1 (fr) Detection de double attachement entre un reseau filaire et au moins un reseau sans-fil
EP3747238B1 (fr) Agrégation d'une pluralité de connexions radio dans un réseau sans fil
EP3087719B1 (fr) Procédé de ralentissement d'une communication dans un réseau
WO2022238644A1 (fr) Procede de defense contre une tentative de deconnexion entre deux entites, systeme associe
CN119766772B (zh) 一种网络地址转换穿越方法、装置，设备及存储介质
FR2866496A1 (fr) Procede de controle d'acces a un reseau d'un terminal source utilisant un tunnel en mode bloquant
FR2888432A1 (fr) Procedes de protection des trames de gestion echangees entre deux equipements sans fil, de reception et d'emission de telles trames, programmes d'ordinateur et supports de donnees contenant ces programmes d'ordinateur
WO2014048900A1 (fr) Procédé de sécurisation d'un canal de transmission de données de voix et dispositif de sécurisation associé

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20071212

AK Designated contracting states

Kind code of ref document: A2

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LI LT LU LV MC NL PL PT RO SE SI SK TR

DAX Request for extension of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: ORANGE

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20140102