Panoptinet

Ce qui s'est passé

Les hackers ont à leur disposition toute une batterie de techniques dans l'attaque des serveurs. Celles-ci servent parfois à s'immiscer entre deux interlocuteurs pour écouter leur conversation et voler des données (« man-in-the-middle »), et dans d'autres cas le but est plutôt de mettre sa victime à terre. Les attaques par déni de service de type DDoS (Distributed Denial of Service) mettent en jeu un très grand nombre d'ordinateurs (jusqu'à plusieurs centaines de milliers) constituant une armée et répondant aux ordres d'un commandant. Ces « zombies » sont tous infectés par le même virus ou ver qui est prévu pour répondre aux ordres du commandant caché quelque part sur internet. A un instant précis, l'ordre est envoyé à tous les zombies de se connecter sur un serveur, à une adresse IP précise et sur une multitude de ports. Cette opération peut durer quelques minutes ou quelques heures si elle est très violente. Dans le cadre de l'actualité ci-dessus, on dénombrerait environ 3 000 PC volontaires (militants, sympathisants, etc.) et 30 000 PC zombies involontaires, c'est à dire des ordinateurs infectés appartenant à des particuliers, des entreprises ou des associations, sans que ces derniers ne le sachent.

Dans le détail

Concrètement cette attaque exploite les caractéristiques du protocole TCP (niveaux 4 et 5) qui fonctionne en mode connecté. Cela signifie qu'il y a une négociation entre le client et le serveur sur l'utilisation des ressources du serveur. Dans un premier temps, le client envoie une demande au serveur sur son port x et le serveur répond soit qu'il est disponible, soit qu'il ne l'est pas. Ensuite le client répond à son tour qu'il a bien reçu le message et qu'il va commencer à parler. Si le serveur répond qu'il est disponible il ouvre alors un canal de communication spécifique pour sa communication avec le client et réserver ainsi dans sa mémoire un espace dédié à cette communication. Cette fraction de mémoire dédiée est soustraite à la mémoire libre du serveur.
Normalement lorsqu'une communication est initiée par un client, elle se termine dans un délai assez court (en général quelques millisecondes à quelques secondes). Alors les ressources réservées par le serveur sont libérées et peuvent être utilisées pour d'autres communications.
Dans ce cas précis, le serveur est sollicité par le client, il lui répond qu'il est disponible et réserve des ressources en mémoire, mais le client ne poursuit jamais la conversation. Les ressources ne sont donc pas libérées immédiatement mais après un délai d'expiration (quelques secondes généralement). Assez long pour qu'au même moment, des centaines de milliers de demandes parviennent au serveur, l'obligeant à réserver toute sa mémoire disponible et au bout du compte à « tomber » faute de ressources disponibles. Il cesse alors toute activité et il faut, au mieux, le redémarrer.

Que faire ?

Il est pratiquement impossible de contrer ces attaques car elles n'exploitent pas une faille qui peut être comblée mais un mécanisme intrinsèque à un protocole de communication indispensable et de niveau assez bas. Pour éviter ceci, la seule chose à faire est d'inciter tous les utilisateurs à « nettoyer » leur ordinateur et le débarrasser des virus et autres vers qui polluent le trafic mondial d'internet et rend le service globalement moins fiable (anti-spywares, cf. notre rubrique Outils conseillés) ou d'utiliser des solutions de surveillance du réseau.

En amont, ces mêmes utilisateurs doivent être plus vigilants lors de leurs pratiques internet, et lorsqu'ils échangent des fichiers (peer-to-peer, clés USB, mail, etc.).