Résumé

  • Une adresse de diffusion dirigée était routée jusqu’au réseau visé ; le dernier routeur la transformait alors en diffusion sur la liaison locale.
  • L’attaque Smurf ajoutait une adresse source usurpée : les hôtes qui répondaient adressaient leurs paquets à une victime étrangère à la requête.
  • RFC 2644 a fait du blocage de la réception et du relais le réglage initial ; BCP 38 traite séparément la possibilité de mentir sur l’adresse source.

Une adresse pour désigner plusieurs destinataires

La diffusion dirigée tenait dans une adresse IPv4. Le préfixe indiquait le réseau à atteindre, tandis que la partie locale composée de bits à un désignait collectivement ses hôtes. Les routeurs intermédiaires pouvaient acheminer le datagramme normalement. Seul le routeur connaissant le préfixe de destination savait qu’au dernier saut il ne devait pas chercher une machine unique, mais émettre une trame de diffusion.

Cette adresse n’était pas 255.255.255.255. Celle-ci est une diffusion limitée à la liaison présente et ne doit pas être relayée. La diffusion dirigée, elle, rendait un réseau lointain adressable comme un groupe. Une instruction compacte — joindre tout le monde là-bas — voyageait comme un paquet destiné à un point.

RFC 919 formalise ce dispositif en 1984. Le texte justifie la diffusion par la découverte : trouver un service sans posséder une liste figée, annoncer une passerelle, demander une information à tous les voisins. Il rappelle aussi son prix. Chaque hôte qui entend une diffusion doit lui consacrer au moins un peu de travail.

Sur une liaison administrée comme un même ensemble, ce coût peut être un choix collectif raisonnable. La difficulté apparaît lorsque l’émetteur est distant, le réseau mobilisé appartient à quelqu’un d’autre et la réponse vise encore un troisième acteur.

Le dernier saut détenait le pouvoir réel

Le sous-réseautage compliquait la géographie. Plusieurs réseaux matériels pouvaient partager le même numéro de réseau IP. RFC 922 adapte la diffusion à cette structure et conserve une règle essentielle : le paquet progresse vers le réseau matériel distant par le routage habituel, puis la passerelle qui lui est directement rattachée le diffuse sur la liaison.

Ce routeur est donc un changement de juridiction. En amont, un seul datagramme consomme une place dans le chemin. En aval, la liaison invite plusieurs systèmes à le traiter. Le routeur ne transporte pas seulement des octets ; il étend la portée sociale de la demande.

Avec le routage sans classes, la suite de bits à un ne suffit pas à reconnaître partout une diffusion. Il faut connaître la longueur du préfixe. RFC 1812 en tire une conséquence opérationnelle : la décision n’est possible que sur le routeur du dernier saut, celui qui sait où finit le préfixe et où commence la partie locale.

En 1995, ce point de contrôle partait pourtant d’une présomption permissive. Le routeur devait offrir un moyen de désactiver le relais, mais réception et relais des diffusions dirigées devaient être autorisés par défaut. Sans politique contraire, le paquet était transmis.

Le réglage protégeait l’interopérabilité d’un service réputé utile. Il supposait aussi que l’identité portée dans la source et l’intention du demandeur ne transformeraient pas la commodité en arme.

L’adresse de retour pouvait appartenir à une victime

Le routage choisit le chemin à partir de la destination. Beaucoup de protocoles de requête-réponse construisent toutefois la réponse à partir de l’adresse source reçue. Si cette source peut être falsifiée, le répondant ne sait pas que le propriétaire de l’adresse n’a jamais formulé la demande.

L’attaque assemble alors deux permissions. Un paquet porte comme source l’adresse de la victime. Sa destination est la diffusion dirigée d’un autre réseau. Le routeur de ce réseau produit une diffusion locale. Les hôtes qui reçoivent la requête et décident de répondre envoient leurs paquets vers la prétendue source, donc vers la victime.

Il y a réflexion, car les réponses ne reviennent pas à l’émetteur réel. Il y a amplification, car une requête admise peut solliciter plusieurs répondants. Aucun coefficient universel ne découle des normes : le résultat dépend du nombre d’hôtes actifs, de leur comportement et de la taille des messages. La propriété décisive est l’absence de relation un-pour-un entre les paquets envoyés par l’attaquant et les systèmes qu’il peut faire parler.

RFC 2644 appelle « Smurf Amplifiers » les réseaux qui acceptent de telles diffusions venues de l’extérieur. Le mot amplificateur évite de faire porter toute l’analyse sur l’hôte final. La politique du routeur ouvre la scène sur laquelle des comportements locaux apparemment ordinaires deviennent un trafic collectif contre un tiers.

Le préjudice principal restait hors du réseau amplificateur

Chaque composant pouvait croire exécuter une tâche banale. Le routeur connaissait le préfixe. Un hôte local recevait une diffusion. Sa réponse allait vers une adresse globalement routable. Rien, pris isolément, ne devait ressembler à une catastrophe.

L’agrégation changeait la nature de l’événement. L’attaquant payait une requête. Le réseau amplificateur payait une part du traitement et de la sortie. La victime recevait l’ensemble des réponses sans avoir sollicité aucune d’elles. Le détenteur du réglage et le détenteur du dommage n’étaient pas la même entité.

Ce décalage affaiblissait l’incitation à corriger. Une victime pouvait filtrer ou limiter le débit, mais elle intervenait après que la multiplication avait eu lieu. L’opérateur de l’amplificateur pouvait ne constater qu’un volume modéré à l’entrée. Le véritable levier se trouvait à l’endroit précis où un paquet devenait une invitation collective.

RFC 2644 a renversé la présomption

En août 1999, RFC 2644, devenu BCP 34, modifie les exigences de RFC 1812 sans redessiner IPv4. Le routeur peut proposer une option permettant de recevoir une diffusion dirigée, mais cette option doit être désactivée au départ et la réception exige une configuration explicite de l’utilisateur final. De même, les options de réception et de relais par interface doivent commencer en position de blocage.

Le changement paraît modeste : quelques verbes normatifs et deux valeurs initiales. Il transforme pourtant la répartition des responsabilités. Avec l’ancien réglage, un équipement fraîchement installé devenait disponible pour la diffusion distante tant que l’opérateur n’avait pas pensé à fermer la fonction. Avec le nouveau, personne ne pouvait restaurer cette capacité par simple inertie.

La norme n’interdit pas à un fabricant d’exposer le mécanisme ni à un opérateur de l’activer. Elle exige que l’exception soit volontaire. Le besoin, la portée et le propriétaire de la décision peuvent alors être interrogés avant que le réseau ne serve de multiplicateur.

C’est une correction par le défaut sûr. Elle ne prétend pas que chaque configuration existante changera immédiatement. Elle empêche surtout les nouveaux déploiements d’hériter silencieusement d’une ouverture dont la valeur locale et le risque global ont divergé.

Fermer l’amplificateur ne vérifie pas l’origine

La diffusion dirigée n’est qu’une moitié de la composition. Si un réseau bloque le relais au dernier saut, il cesse d’offrir ce fan-out précis. Il n’empêche pas pour autant ses propres clients d’émettre ailleurs des paquets portant une fausse source. À l’inverse, contrôler les sources près de l’émetteur ne décide pas si un réseau distant doit accepter une diffusion externe.

RFC 2827, BCP 38, place un filtre sur la liaison d’agrégation du fournisseur. Le trafic d’un réseau client ne doit annoncer comme source que les préfixes légitimement rattachés à ce client. Une adresse étrangère peut être rejetée avant d’entrer dans le transit.

Le texte en reconnaît les limites. Un assaillant peut utiliser une adresse valide de son propre préfixe. Il peut aussi usurper un autre hôte à l’intérieur de la plage autorisée. Le filtrage améliore l’imputabilité du réseau source et réduit une classe de mensonges ; il n’authentifie pas une personne et n’empêche pas un trafic hostile correctement adressé.

Les deux protections distribuent donc le travail. Le bord source refuse l’adresse de retour empruntée. Le bord destination refuse de transformer une demande lointaine en diffusion locale. Aucune des deux ne doit servir d’alibi pour négliger l’autre.

La diffusion locale a survécu

Dire que l’Internet a « désactivé la diffusion » serait faux. La diffusion limitée continue d’appartenir à une liaison et sert notamment à des fonctions d’amorçage ou de découverte. RFC 2644 vise l’autorisation implicite donnée à une source distante d’introduire une diffusion dans un réseau qu’elle n’administre pas.

La nuance protège aussi contre une autre exagération : la modification n’a pas mis fin à toute réflexion ou amplification. D’autres services peuvent répondre à une source usurpée. D’autres multiplicateurs peuvent apparaître. Le résultat historique est plus précis et plus solide : une capacité largement exploitable a cessé d’être le comportement initial attendu des routeurs.

Une exception doit être plus petite que l’équipement

Si un usage légitime impose encore une diffusion dirigée, l’autorisation ne devrait pas prendre la forme « activer sur le routeur ». Elle devrait nommer l’interface d’entrée, le préfixe source attendu, l’interface et le préfixe de destination, le protocole, la durée et le service responsable. Elle devrait aussi expliquer pourquoi une solution locale ou sélective ne convient pas.

La télémétrie doit séparer les paquets bloqués par défaut, ceux acceptés par exception et les diffusions réellement émises sur la liaison. Le volume de réponses importe autant que le nombre de requêtes. Toute extension automatique d’une exception à une nouvelle interface ou à un préfixe agrandi mérite une alerte.

Le réglage sûr ne remplace pas cette gouvernance. Il crée le moment où la gouvernance devient obligatoire.

Sources et limites des preuves

Le corpus fermé comprend RFC 919, RFC 922, RFC 1812, RFC 2644 et RFC 2827. Ces textes établissent le mécanisme, les exigences des routeurs, l’inversion du défaut et le modèle de filtrage source. Ils ne mesurent ni facteur d’amplification universel, ni comportement de tous les hôtes, ni déploiement actuel, ni fréquence actuelle des attaques, ni conformité des constructeurs.