Relay Attacks over the Internet: Anomaly Detection using Time Measurement

Le réseau Internet est rapidement devenu un outil de communication massivement utilisé, permettant l'accès à du savoir et du divertissement, et connectant des milliards d'utilisateurs à travers le monde. Le défi de correctement router les informations sur un tel réseau implique une topologie très complexe, dépendant de la position géographique des nœuds, d'alliances commerciales et gouvernementales, ou encore du prix de construction des liens physiques.

 

Ce défi est relevé par une approche collaborative dans laquelle une communication pair à pair permanente permet de mettre à jour des tables de routage global. Dans ce contexte, une famille d'attaque a rapidement émergé : les attaques par détournement de trafic. Une attaque par détournement de trafic se définit par une modification frauduleuse d'une ou de plusieurs routes construites dans des conditions standards. De telles attaques peuvent être classées en 3 catégories :

Les attaques trou noir, dans lesquelles les paquets de données sont détruits avant d'atteindre leur destination, les attaques de redirection dans lesquelles les paquets sont routés vers le mauvais destinataire, et les attaques par relais dans lesquelles les paquets visitent un ensemble de nœuds indésirables avant d'atteindre leur destination. 

 

Les réponses de la communauté scientifique sur les attaques par détournement de trafic sont en grande partie concentrées sur des procédés permettant d'empêcher ces attaques, que ce soit en ajoutant des couches de sécurité aux protocoles en place, ou en définissant des nouvelles architectures de routage. 

Nous avons choisi d'aborder cette problématique sous un angle différent, celui de la détection. Par nature, les attaques trou noir et de redirection sont détectées dès qu'elles ont lieu étant donné que le destinataire ne reçoit jamais les paquets. Nous construisons donc un protocole bi-partie permettant la détection d'attaques par relais. Le protocole présenté possède un design simple, qui n'a pas besoin de prendre en compte la topologie du réseau sous-jacent, et pouvant être déployé quel que soit le procédé de routage utilisé. Notre proposition repose sur un mécanisme de type "distance-bounding" qui permet une authentification par un échange défi-réponse, et qui mesure le temps de communication aller-retour entre les utilisateurs afin de décider si une attaque par relais est en cours. 

Le protocole est soutenu par de nombreuses observations expérimentales, ayant permis la définition d'une fonction analysant les temps obtenus durant une communication et décidant si ceux-ci sont susceptibles d'être issus d'une attaque par relais. L'implémentation d'un prototype a également été réalisée. 

Le protocole final n'utilise que deux opérations cryptographiques par exécution, n'ajoute qu'une faible charge de travail, pour les utilisateurs comme pour le réseau, et est prouvé sûr dans le modèle de l'oracle aléatoire.