Vos données peuvent être en danger simplement en transférant des fichiers entre votre propre appareil et un site web. Pour protéger vos informations personnelles, les paramètres du pare-feu des serveurs externes et internes doivent être correctement configurés. C’est pourquoi il est essentiel de vous familiariser avec le serveur FTP et de comprendre les différentes stratégies d’attaque du point de vue d’un attaquant.
Que sont donc les serveurs FTP ? Comment les cybercriminels peuvent-ils intercepter vos données s’ils ne sont pas configurés correctement ?
Que sont les serveurs FTP ?
FTP est l’abréviation de File Transfer Protocol. Il permet le transfert de fichiers entre deux ordinateurs connectés à l’Internet. En d’autres termes, vous pouvez transférer les fichiers que vous souhaitez sur les serveurs de votre site Web via FTP. Vous pouvez accéder à FTP à partir de la ligne de commande ou d’un client d’interface utilisateur graphique (GUI).
La majorité des développeurs qui utilisent FTP sont des personnes qui entretiennent régulièrement des sites Web et transfèrent des fichiers. Ce protocole permet de rendre la maintenance de l’application Web facile et sans problème. Bien qu’il s’agisse d’un protocole assez ancien, il est toujours activement utilisé. Vous pouvez utiliser le protocole FTP non seulement pour télécharger des données, mais aussi des fichiers. Un serveur FTP, quant à lui, fonctionne comme une application utilisant le protocole FTP.
Pour qu’un attaquant puisse attaquer efficacement le serveur FTP, les droits de l’utilisateur ou les paramètres de sécurité généraux doivent être mal configurés.
Comment les pirates informatiques compromettent-ils la communication RCP ?
RCP est l’abréviation de Remote Procedure Call (appel de procédure à distance). Il permet aux ordinateurs d’un réseau d’effectuer certaines requêtes entre eux sans connaître les détails du réseau. La communication avec RCP ne contient aucun cryptage ; les informations que vous envoyez et recevez sont en texte clair.
Si vous utilisez RCP pendant la phase d’authentification du serveur FTP, le nom d’utilisateur et le mot de passe seront envoyés au serveur en texte clair. À ce stade, l’attaquant, qui écoute la communication, s’introduit dans le trafic et atteint vos informations en capturant ce paquet de texte.
De même, comme le transfert d’informations entre le client et le serveur n’est pas crypté, l’attaquant peut voler le paquet que le client reçoit et accéder aux informations sans avoir besoin d’un mot de passe ou d’un nom d’utilisateur. Avec l’utilisation de SSL (Secure Socket Layer), vous pouvez éviter ce danger, car cette couche de sécurité crypte le mot de passe, le nom d’utilisateur et toutes les communications de données.
Pour utiliser cette structure, vous devez avoir un logiciel supportant SSL du côté client. De plus, si vous voulez utiliser SSL, vous aurez besoin d’un fournisseur de certificats indépendant et tiers, c’est-à-dire une autorité de certification (CA). Étant donné que l’AC effectue le processus d’authentification entre le serveur et le client, les deux parties doivent avoir confiance en cette institution.
Que sont les configurations de connexion active et passive ?
Le système FTP fonctionne sur deux ports. Ce sont les canaux de contrôle et de données.
Le canal de contrôle fonctionne sur le port 21. Si vous avez déjà réalisé des solutions CTF à l’aide d’un logiciel comme nmap, vous avez probablement vu le port 21. Les clients se connectent à ce port du serveur et initient la communication de données.
Dans le canal de données, le processus de transfert de fichiers a lieu. C’est donc l’objectif principal de l’existence de FTP. Il existe également deux types de connexion différents lors du transfert de fichiers : active et passive.
Connexion active
Le client choisit comment les données seront envoyées pendant une connexion active. Il demande ensuite au serveur de lancer la transmission des données à partir d’un certain port, ce que le serveur fait.
L’une des failles les plus importantes de ce système commence lorsque le serveur lance le transfert et que le pare-feu du client approuve cette connexion. Si le pare-feu ouvre un port pour permettre cela et accepte les connexions à partir de ces ports, c’est extrêmement risqué. Par conséquent, un attaquant peut rechercher les ports ouverts sur le client et pirater la machine en utilisant l’un des ports FTP découverts ouverts.
Connexion passive
Dans une connexion passive, le serveur décide du mode de transfert des données. Le client demande un fichier au serveur. Le serveur envoie les informations au client à partir de n’importe quel port que le serveur peut recevoir. Ce système est plus sûr qu’une connexion active car l’initiateur est le client et le serveur se connecte au port correspondant. Ainsi, le client n’a pas besoin d’ouvrir le port et d’autoriser les connexions entrantes.
Mais une connexion passive peut toujours être vulnérable car le serveur ouvre un port sur lui-même et attend. L’attaquant scanne les ports du serveur, se connecte au port ouvert avant que le client ne demande le fichier et récupère le fichier en question sans avoir à fournir de détails tels que les informations d’identification.
Dans ce cas, le client ne peut prendre aucune mesure pour protéger le fichier. Assurer la sécurité du fichier téléchargé est un processus entièrement côté serveur. Alors, comment empêcher ce genre d’attaque de se produire ? Pour se protéger contre ce type d’attaque, le serveur FTP ne doit autoriser que l’adresse IP ou MAC qui a demandé le fichier à se lier au port qu’il ouvre.
Masquage IP/MAC
Si le serveur a un contrôle IP/MAC, l’attaquant doit détecter les adresses IP et MAC du client réel et se masquer en conséquence pour voler le fichier. Bien sûr, dans ce cas, les chances de succès de l’attaque diminuent car il est nécessaire de se connecter au serveur avant que l’ordinateur ne demande le fichier. Jusqu’à ce que l’attaquant effectue le masquage IP et MAC, l’ordinateur qui demande le fichier sera connecté au serveur.
Délai d’attente
Une attaque réussie sur un serveur avec filtrage IP/MAC est possible si le client subit de brèves périodes de déconnexion pendant le transfert de fichiers. Les serveurs FTP définissent généralement un certain délai d’attente afin que le transfert de fichiers ne s’arrête pas en cas de brève interruption de la connexion. Lorsque le client rencontre un tel problème, le serveur ne déconnecte pas l’adresse IP et MAC du client et attend que la connexion soit rétablie jusqu’à l’expiration du délai d’attente.
En effectuant un masquage IP et MAC, l’attaquant se connecte à la session ouverte sur le serveur pendant cet intervalle de temps et continue à télécharger des fichiers à partir de l’endroit où le client original s’est arrêté.
Comment fonctionne une attaque par rebond ?
La caractéristique la plus importante de l’attaque par rebond est qu’elle rend difficile la recherche de l’attaquant. Lorsqu’elle est utilisée en conjonction avec d’autres attaques, un cybercriminel peut attaquer sans laisser de traces. La logique de ce type d’attaque est d’utiliser un serveur FTP comme proxy. Les principaux types d’attaque pour lesquels la méthode du rebond existe sont le balayage de ports et le passage de filtres de paquets de base.
Balayage de port
Si un attaquant utilise cette méthode de balayage de port, lorsque vous regardez les détails des journaux du serveur, vous verrez un serveur FTP comme ordinateur de balayage. Si le serveur cible qui doit être attaqué et le serveur FTP agissant comme un proxy se trouvent sur le même sous-réseau, le serveur cible n’effectue aucun filtrage de paquets sur les données provenant du serveur FTP. Les paquets envoyés ne sont pas branchés sur le pare-feu. Comme aucune règle d’accès ne sera appliquée à ces paquets, les chances de succès de l’attaquant augmentent.
Passer les filtres de paquets de base
En utilisant cette méthode, un attaquant peut accéder au serveur interne derrière un serveur FTP anonyme protégé par un pare-feu. Le pirate qui se connecte au serveur FTP anonyme détecte le serveur interne connecté par la méthode d’analyse des ports et peut l’atteindre. Ainsi, un pirate peut attaquer le serveur que le pare-feu protège contre les connexions externes, à partir d’un point spécialement défini pour communiquer avec le serveur FTP.
Qu’est-ce qu’une attaque par déni de service ?
Les attaques DoS (Denial of Service) ne sont pas un nouveau type de vulnérabilité. Les attaques DoS ont pour but d’empêcher le serveur de livrer des fichiers en gaspillant les ressources du serveur cible. Cela signifie que les visiteurs d’un serveur FTP piraté ne peuvent pas se connecter au serveur ou recevoir les fichiers qu’ils demandent pendant cette attaque. Dans ce cas, il est possible de subir d’énormes pertes financières pour une application web à fort trafic et de rendre les visiteurs très frustrés !
Comprendre le fonctionnement des protocoles de partage de fichiers
Les attaquants peuvent facilement découvrir les protocoles que vous utilisez pour télécharger des fichiers. Chaque protocole a ses forces et ses faiblesses. Vous devez donc maîtriser différentes méthodes de cryptage et masquer ces ports. Bien entendu, il est préférable de voir les choses à travers les yeux d’un attaquant, afin de mieux déterminer les mesures à prendre pour se protéger et protéger les visiteurs.
N’oubliez pas : les attaquants auront une longueur d’avance sur vous à bien des égards. Si vous parvenez à trouver vos vulnérabilités, vous pourrez prendre un avantage considérable sur eux.
