Sniffing de paquets : définition, cibles et fonctionnement

Qu'est-ce que le sniffing ?

Le sniffing informatique, aussi connu en français sous les termes de reniflement ou reniflage de paquets, est une méthode permettant d’intercepter et d’analyser les données qui circulent sur un réseau. Pour ce faire, on utilise des logiciels appelés sniffers, ou analyseurs de paquets en français.

Si le reniflement de paquets peut être utilisé en cybersécurité pour surveiller et entretenir les réseaux, dans les faits, cette technique informatique est surtout prisée dans la cybercriminalité car elle permet de capturer des informations sensibles telles que des mots de passe ou des données bancaires.

Qu’est-ce qu’un paquet informatique ?

Un paquet informatique est le segment d’un message plus important qui voyage sur un réseau. Ce message a été coupé en plusieurs morceaux pour être transmis plus facilement, et ces morceaux sont ensuite rassemblés lorsqu’ils atteignent leur destination.

Illustrons ce principe avec un exemple de la vie courante. Lorsque vous achetez des meubles, ceux-ci arrivent généralement en kit, et vous devez ensuite les assembler. Les livrer entiers représenterait en effet plusieurs défis techniques, coûterait plus cher, et mobiliserait des ressources plus importantes. Avec les fichiers numériques, c’est la même chose : plus ils sont lourds, plus ils sont complexes à transférer, et c’est pour cela qu’ils sont scindés en paquets de données.

Un paquet de données se compose ainsi d’une partie des informations à transmettre d’un point à un autre, mais aussi d’informations de contrôle : adresses IP de l’expéditeur et du destinataire, protocole d’envoi utilisé, ou encore du code de contrôle.

Le sniffing, ou reniflage de paquets, est directement lié à ces paquets de données. Si le réseau sur lequel circulent ces paquets est mal configuré ou peu sécurisé, un sniffer peut les intercepter et ainsi mettre la main sur des informations parfois sensibles.

À quelle famille de cyberattaques appartient le Sniffing ?

Tout comme les attaques DDoS, le sniffing appartient à la catégorie des cyberattaques par réseau. Ces attaques exploitent les vulnérabilités des réseaux pour perturber les échanges d’informations et intercepter des données.

Qui sont les victimes potentielles du sniffing de paquets ?

Quelles sont les cibles d'une attaque de reniflement par paquets ?

Le reniflement par paquets s’intéresse à toutes les personnes qui échangent des données sensibles sur un réseau mal sécurisé. Le sniffing cible ainsi aussi bien les utilisateurs individuels que les grandes entreprises, et les victimes potentielles sont nombreuses :

• Les utilisateurs de réseaux Wi-Fi publics non sécurisés, comme ceux de cafés ou d’aéroports.
• Les entreprises qui n’utilisent pas de mesures de chiffrement adéquates pour leurs échanges, ou qui traînent à mettre leurs systèmes à jour.
• Les personnes utilisant des services de communication non chiffrés, disponibles par exemple sur des applications ou sites insuffisamment sécurisés.
• Les utilisateurs d’appareils IoT, souvent mal sécurisés, ce qui en fait une cible de choix pour les pirates informatiques et surtout les sniffers.

Quels sont les principaux points d’accès utilisés dans les attaques par sniffing ?

Les cybercriminels passent par plusieurs points d’accès pour mener des attaques par sniffing :

• Les réseaux Wi-Fi publics, souvent non sécurisés, permettent aux attaquants d’intercepter facilement des paquets de données.
• Les réseaux Wi-Fi non sécurisés de certaines entreprises.
• Les points d’accès physique en entreprise, tels que les ports Ethernet en libre accès ; il suffit alors à l’attaquant d’y brancher son appareil pour pouvoir intercepter les données circulant sur ce réseau local.
• Les segments de réseau non chiffrés, notamment les réseaux internes.
• Les hubs, chaque appareil y étant connecté recevant l’ensemble du trafic du réseau.
• Les appareils IoT qui n’embarquent pas de mesures de protection adaptées.
• Les services Cloud insuffisamment sécurisés, ce qui peut permettre l’interception de données pendant leur transfert.

Quelles sont les conséquences d’un reniflage de paquets (sniffing)

Le reniflage de paquets peut avoir plusieurs conséquences pour ses victimes :

• Vol de données sensibles, qui peuvent être utilisées pour frauder ou même pour usurper votre identité.
• Accès non autorisé aux systèmes (compte, réseau interne…) grâce notamment au vol d’identifiants. Les pirates peuvent alors exfiltrer encore plus facilement des données, voire prendre le contrôle de ces systèmes et vous empêcher d’y accéder.
• Manipulation des communications, les attaquants pouvant dans certains cas altérer les données interceptées et/ou rediriger les communications. Cela leur permet de mener des attaques de type Man-in-the-Middle, ou encore d’injecter des malwares dans les systèmes surveillés.
• Compromission de la confidentialité des échanges, ce qui peut nuire à la réputation de l'organisation victime de la cyberattaque ou aboutir à une violation de la vie privée des individus.
• Perturbation des services, le sniffing pouvant affecter les performances de vos systèmes et services et provoquer des ralentissements réseau.

Comment fonctionne une attaque par sniffing ?

Quels sont les deux modes des analyseurs de paquet ? 

Les analyseurs de paquets peuvent faire du sniffing passif ou du sniffing actif. Ces deux modes de reniflage présentent chacun leurs caractéristiques et ne se détectent donc pas de la même façon :

• Le sniffing passif consiste à écouter silencieusement le trafic réseau sans interférer avec les communications. Ce type d’attaque n'entraînant aucune modification visible, il est délicat de le détecter. Le reniflage passif cible surtout les réseaux non sécurisés et les hubs.
• Le sniffing actif est plus invasif, l’attaquant injectant des paquets malveillants au réseau pour en perturber les communications et induire des réponses spécifiques afin de capturer certaines informations.

Cas concret du Sniffing 

Imaginez : vous êtes tranquillement installé dans un café après le travail, et vous profitez du Wi-Fi gratuit de l’établissement. C’est le début du mois, et vous voulez voir si votre salaire vous a déjà été versé ; vous consultez alors votre compte depuis le site de votre banque. Ce que vous ne savez pas, c’est qu’un attaquant est en train d’utiliser un sniffer pour espionner ce réseau dont la sécurité laisse à désirer, et il parvient sans problème à intercepter les données échangées entre votre appareil et le serveur de votre banque. Résultat : le pirate a désormais accès à vos identifiants de connexion et peut s’en servir sans que vous ne vous en aperceviez.

Quelles sont les techniques de sniffing par paquets ? 

Voici les principales techniques utilisées dans les attaques de reniflement de paquets :

• L’ARP Spoofing, ou technique de l’empoisonnement ARP, qui consiste à tromper les machines d’un réseau local en leur faisant croire qu’elles communiquent avec le routeur légitime, alors qu’elles transitent en réalité par l’attaquant.
• Le DNS Spoofing, qui consiste à rediriger les internautes vers un domaine malveillant, où il sera possible de capter leurs informations personnelles.
• L’IP spoofing, qui consiste à usurper l’adresse IP d’une autre machine afin d’intercepter les paquets qui lui sont destinés. 
• Le sniffing en mode promiscuité, qui consiste à configurer la carte réseau servant à l’attaque pour qu’elle puisse surveiller tout le trafic du réseau local, même celui ne lui étant pas destiné.
• Le sniffing par port mirroring, ou la réplication de port, qui consiste à configurer le port d’un commutateur réseau pour qu’il copie et envoie tout le trafic vers un autre port, permettant de surveiller plusieurs communications en même temps.
• L’attaque Evil Twin, qui consiste à créer un faux point d’accès Wi-Fi qui imite un réseau légitime. Les utilisateurs se connectent alors à ce faux réseau sans se méfier, exposant ainsi toutes leurs communications à l’attaquant.
• Le MAC flooding, qui consiste à inonder un commutateur réseau de fausses adresses MAC pour le surcharger (une adresse MAC étant ce qui vous permet de vous identifier auprès d’un réseau Wi-Fi). Dans certains cas, le commutateur cesse de fonctionner correctement et passe alors en mode hub, envoyant tout le trafic à tous les ports connectés, y compris celui de l’attaquant.

Qui se cache derrière les attaques par analyse de paquets ?

Les hackers qui utilisent l'attaque par sniffing 

Plusieurs types de hackers peuvent avoir recours à l’attaque par sniffing :

• Des groupes de hackers, tels que le Lazarus Group, un célèbre collectif affilié à la Corée du Nord, utilisent le sniffing pour mener des campagnes de cyberespionnage et voler des données à grande échelle.
• Des hackers indépendants recourent au reniflage de paquets pour intercepter des données sensibles telles que des identifiants ou des informations bancaires, souvent pour ensuite commettre des fraudes ou usurper l’identité de leurs victimes.
• Travaillant pour le compte d’entreprises ou d’organisations, les espions industriels recourent au sniffing pour mettre la main sur des secrets commerciaux ou encore les stratégies suivies par la concurrence, et ainsi essayer de prendre un avantage compétitif.
• Les ethical hackers utilisent le sniffing de manière légitime pour détecter les failles de sécurité au sein des réseaux et ainsi pouvoir les corriger.

Les exemples les plus marquants de Sniffing 

• Au début des années 2000, une vague de cyberattaques par sniffing a touché les cybercafés, notamment en Chine, en Inde, et dans d’autres régions où l’accès à l’Internet public était très répandu. Cela a eu lieu alors même que les mesures de sécurité de l’époque étaient faibles, et que les utilisateurs n’étaient pas sensibilisés aux dangers de la cybercriminalité. Ces attaques ont ainsi contribué à accroître la vigilance des autorités et des fournisseurs de services Internet, et ont mené à l’adoption de protocoles de sécurité plus robustes.
• En 2007, Albert Gonzalez et ses acolytes s’attaquent à la chaîne de magasins TJX. Ils procèdent d’abord à une injection SQL pour installer des portes dérobées, ensuite utilisées par les pirates pour faire du reniflement de paquets. Bilan des opérations : plus de 45 millions de numéros de cartes de crédit ont été dérobés et auraient ensuite été revendus.

Comment se protéger des cyberattaques par sniffing ?

Plusieurs bonnes pratiques vous aideront à vous protéger des attaques par sniffing de paquets. Pour vous aider à y voir plus clair, nous les avons réparties en deux catégories : les techniques que tout le monde peut adopter, et celles spécifiques aux entreprises. 

Pour vous protéger des attaques par sniffing dans la vie de tous les jours, vous pouvez par exemple :

• Utiliser un VPN pour chiffrer vos données et empêcher les attaquants d’en intercepter les paquets pendant leur transit.
• Éviter les réseaux Wi-Fi publics, qui sont souvent pris pour cible par les sniffers.
• Privilégier les sites utilisant le protocole HTTPS, qui permet de chiffrer les communications entre votre navigateur et le serveur.
• Utiliser un service de messagerie chiffré de bout en bout pour garantir la confidentialité de vos échanges.

Les entreprises devraient pour leur part adopter des mesures supplémentaires pour se prémunir contre les attaques par reniflement de paquets, et notamment :

• Utiliser un système de chiffrement fort tel que WPA3 pour protéger leur réseau Wi-Fi et éviter que des intrus ne s’y connectent.
• Mettre en place un système de surveillance réseau pour détecter toute activité suspecte, et notamment les tentatives d’intrusion.
• Chiffrer l’ensemble de leurs communications et de leurs fichiers critiques pour prévenir leur interception en cas de sniffing.
• Limiter l’accès physique à leurs équipements réseaux, tels que les ports Ethernet et points d’accès, pour empêcher les attaquants d’y brancher des sniffers matériels.
• Former leurs employés aux bonnes pratiques de la cybersécurité pour leur apprendre à reconnaître les dangers et à adopter un comportement plus sûr en ligne.

Comment le sniffing est utilisé dans la cybersécurité ? 

Les professionnels de la Cybersécurité qui utilisent les techniques de Sniffing

Le sniffing n'est pas uniquement utilisé à des fins malveillantes, et plusieurs métiers de la cybersécurité l’utilisent pour surveiller les réseaux et détecter leurs failles de sécurité avant qu’elles ne soient exploitées par les hackers.

• Un pentester utilise le sniffing pour réaliser des tests d’intrusion et évaluer les capacités de résistance des réseaux. Il est ainsi en mesure d’identifier les points faibles des protocoles de sécurité et des configurations réseau pour qu’ils puissent être corrigés avant qu’ils ne soient exploités à des fins malveillantes.
• Le sniffing permet à l’analyste SOC de surveiller le trafic réseau en temps réel, et ainsi de détecter les comportements suspects pour prévenir les intrusions et réagir rapidement en cas de tentative d’attaque.
• L’administrateur réseau peut utiliser un sniffer pour diagnostiquer et optimiser les performances réseau.
• Après une attaque, l’analyste forensic utilise le sniffing pour analyser les traces laissées par les pirates et essayer de reconstituer le déroulement de l’intrusion pour tenter de retrouver les attaquants.

Les outils et sniffer réseau utilisés par les experts en cybersécurité

Les experts en cybersécurité utilisent plusieurs outils de pentest et sniffers pour analyser les réseaux et en améliorer les performances :

• Wireshark est sans conteste l’outil de sniffing le plus populaire. Il permet d'analyser les paquets en temps réel, offrant une visualisation détaillée des protocoles et des données circulant sur un réseau.
• Ettercap est un sniffer réseau open-source utilisé pour réaliser des attaques Man-in-the-Middle et capturer des paquets. Lors des tests de sécurité, il permet de manipuler le trafic réseau en temps réel​.
• Tcpdump est apprécié pour sa légèreté et sa capacité à fonctionner sur des systèmes Unix et Linux​. Cet outil permet notamment de capturer et d’afficher les paquets de données présents sur un réseau.

Conclusion : comment se former à la cybersécurité ?

Vous l’aurez compris, pour éviter les pièges, il est essentiel de maîtriser les bases de la cyberdéfense. Et si on vous disait que vous pouviez vous former à ces bases gratuitement ? Comment ? En vous inscrivant sur JULIE, notre plateforme d’apprentissage qui vous propose justement une introduction gratuite à la cybersécurité ! Ces cours en ligne constituent un excellent point de départ, que vous pourrez ensuite compléter en intégrant notre formation en cybersécurité pour débutants, conçue pour vous permettre de maîtriser les concepts fondamentaux et ainsi apprendre à protéger les réseaux de votre entreprise.

Vous voulez aller encore plus loin car vous envisagez une reconversion dans la cybersécurité ? Développez les compétences nécessaires pour devenir ethical hacker en intégrant notre formation Pentester. D’une durée de 450 heures, elle est éligible au CPF et vous permet d’obtenir un diplôme de niveau bac+4 reconnu par l’État.

Découvrez en détail notre offre de formation dans notre syllabus, et venez nous poser toutes vos questions lors de notre prochaine soirée portes ouvertes en ligne !

Questions fréquentes à propos du Sniffing 

Quelle est la différence entre les attaques Man-in-the-Middle et Sniffing ?

Le sniffing consiste à intercepter les paquets de données circulant sur un réseau, sans les modifier. À l’inverse, lors d’une attaque Man-in-the-Middle (MitM) l'attaquant modifie les données interceptées pour perturber les communications entre plusieurs parties, voire pour se faire passer pour l’une d’entre elles.

Qu'est-ce qu’une attaque DDoS ?

Une attaque DDoS (pour déni de service distribué) vise à saturer le réseau d’un service ou d’un site web pour le rendre indisponible. Pour ce faire, un grand nombre de requêtes sont envoyées à son serveur en simultané pour le paralyser et l’empêcher de fonctionner.