Le spoofing ARP : détourner le trafic d’un réseau local

Le spoofing ARP consiste à envoyer de fausses réponses ARP sur un réseau local pour associer votre adresse IP à la carte de l'attaquant, qui reçoit alors votre trafic. C'est la base d'une attaque de l'homme du milieu, exploitable dès qu'on partage le même segment Ethernet ou Wi-Fi.

Sommaire

Le principe : pourquoi ARP est vulnérable

ARP (Address Resolution Protocol) traduit une adresse IPv4 en adresse MAC sur un réseau local. Quand votre machine veut joindre 192.168.1.1, elle diffuse une requête « qui a 192.168.1.1 ? » à tout le segment. La machine concernée répond avec sa MAC, et cette réponse est stockée dans le cache ARP pendant quelques minutes.

Le protocole, défini par la RFC 826 en 1982, n'intègre aucune authentification. Une machine accepte une réponse ARP même sans avoir posé de question, et elle écrase l'entrée précédente sans vérifier. C'est cette confiance aveugle qu'exploite le spoofing ARP : l'attaquant envoie de fausses réponses pour faire croire que son adresse MAC correspond à l'IP de la passerelle.

Le procédé ne concerne qu'IPv4. En IPv6, la résolution passe par NDP (Neighbor Discovery Protocol) au-dessus d'ICMPv6, qui souffre d'un problème équivalent mais porte un autre nom.

Le déroulement d’une attaque ARP

L'attaquant doit être présent sur le même segment que ses cibles : même LAN filaire, même Wi-Fi, même VLAN. De là, il envoie en boucle des réponses ARP forgées, souvent des gratuitous ARP (des annonces non sollicitées), pour empoisonner en continu le cache des victimes avant que les entrées légitimes n'y reviennent.

Un scénario classique vise à la fois le poste et la passerelle. Avec l'outil arpspoof de la suite dsniff, cela tient en trois commandes :

Une fois le cache empoisonné, tout le trafic du poste vers Internet transite par la machine de l'attaquant, qui le relaie vers la vraie passerelle. La victime ne voit aucune coupure. bettercap et ettercap automatisent la même chose avec une interface plus complète.

`echo 1 > /proc/sys/net/ipv4/ip_forward` active le routage pour ne pas couper la victime
`arpspoof -i eth0 -t 192.168.1.50 192.168.1.1` fait passer le poste par l'attaquant
`arpspoof -i eth0 -t 192.168.1.1 192.168.1.50` empoisonne aussi la passerelle dans l'autre sens

Ce que permet un cache ARP empoisonné

Se placer au milieu du trafic ouvre la porte à plusieurs abus, du plus discret au plus brutal.

Le chiffrement limite fortement les dégâts. Sur une session HTTPS correctement validée, l'attaquant voit passer des octets illisibles et un changement de certificat déclenche une alerte dans le navigateur. Le risque reste entier pour tout ce qui circule en clair, et pour les utilisateurs qui cliquent malgré l'avertissement.

Lecture passive des échanges non chiffrés (HTTP, FTP, DNS, SMTP en clair)
Vol de cookies de session et de jetons d'authentification transmis sans TLS
SSL stripping : rétrograder une connexion HTTPS vers HTTP quand l'utilisateur tape l'URL sans https://
Déni de service en associant l'IP de la passerelle à une MAC inexistante, ce qui isole la victime

Spoofing ARP, IP spoofing, MAC spoofing : ne pas confondre

Le mot « spoofing » recouvre des attaques très différentes selon la couche visée, et les confondre mène à de mauvaises parades.

Retenez la portée : le spoofing ARP ne franchit pas le routeur. Personne ne peut empoisonner votre cache ARP depuis Internet, il faut un pied sur votre réseau local. L'IP spoofing, lui, sert par exemple à masquer la source d'une attaque DDoS à distance.

Attaque	Couche OSI	Ce qui est falsifié	Portée
Spoofing ARP	2 (liaison)	Association IP vers MAC	Réseau local uniquement
MAC spoofing	2 (liaison)	Adresse MAC de la carte	Réseau local
IP spoofing	3 (réseau)	IP source du paquet	Local ou Internet
DNS spoofing	7 (application)	Réponse DNS (nom vers IP)	Local ou Internet

Détecter et bloquer le spoofing ARP

Premier réflexe, inspecter le cache. `arp -a` sous Windows et macOS, `ip neigh show` sous Linux, affichent les couples IP-MAC connus. Un signe qui ne trompe pas : deux adresses IP différentes, typiquement la passerelle et un poste, qui pointent vers la même adresse MAC.

Pour la surveillance continue, arpwatch journalise chaque couple IP-MAC et envoie une alerte dès qu'une association change. Côté équipement, un switch managé avec Dynamic ARP Inspection (DAI), adossé au DHCP snooping, rejette les réponses ARP qui ne correspondent pas à un bail connu.

Sur les liaisons sensibles, une entrée ARP statique pour la passerelle (`arp -s 192.168.1.1 00-11-22-33-44-55`) empêche son écrasement. Et parce qu'aucune de ces mesures n'est parfaite, chiffrez ce qui compte : HTTPS partout, VPN sur les réseaux non maîtrisés comme le Wi-Fi public.

Parade	Où	Effet
Dynamic ARP Inspection	Switch managé	Rejette les réponses ARP hors bail DHCP
Entrée ARP statique	Poste ou serveur	Fige l'association IP-MAC de la passerelle
arpwatch	Supervision	Alerte quand un couple IP-MAC change
Chiffrement (TLS, VPN)	Applicatif	Rend le trafic intercepté illisible

Testez vos connaissances

Quiz rapide Question 1 sur 3

Sur quelle couche du modèle OSI agit le spoofing ARP ?

Questions fréquentes

Peut-on subir un spoofing ARP depuis Internet ?

Non. L'ARP ne circule que dans un même domaine de diffusion. L'attaquant doit être connecté à votre réseau local (câble, Wi-Fi ou VLAN partagé). Une attaque à distance relèverait d'une autre technique, comme le DNS spoofing ou l'IP spoofing.

Le HTTPS protège-t-il contre le spoofing ARP ?

Il protège la confidentialité et l'intégrité du contenu : même intercepté, le trafic TLS reste illisible et toute substitution de certificat déclenche une alerte. Il n'empêche pas l'empoisonnement du cache lui-même, ni la lecture de ce qui transite en clair à côté.

ARP poisoning et ARP spoofing, est-ce la même chose ?

Oui, les deux termes désignent la même attaque : injecter de fausses associations IP-MAC dans un cache ARP. « Poisoning » insiste sur le cache corrompu, « spoofing » sur l'usurpation d'identité. On les emploie indifféremment.

Un VPN suffit-il à me protéger ?

Un VPN chiffre tout votre trafic dès la sortie de la machine, donc l'attaquant qui l'intercepte ne voit qu'un tunnel opaque. C'est efficace contre l'écoute, mais il peut toujours empoisonner votre cache et provoquer une coupure. Le VPN protège la confidentialité, pas la disponibilité.

Comment repérer rapidement une attaque en cours ?

Affichez le cache avec `arp -a` et cherchez une même adresse MAC associée à plusieurs IP, en particulier celle de la passerelle. Une chute de débit ou des déconnexions brèves peuvent aussi accompagner un empoisonnement continu.