Résumé

  • TCP a conservé une composante temporelle tout en ajoutant un décalage secret lié au quadruplet de connexion.
  • Le procédé contrarie la prédiction hors chemin, sans authentifier les extrémités. Si le prochain numéro de séquence initial d’un serveur pouvait être déduit du précédent, un attaquant n’avait pas besoin de voir la connexion qu’il cherchait à usurper. RFC 1948 décrit cette attaque aveugle : mesurer l’évolution des numéros, envoyer un SYN avec une fausse adresse source, puis deviner l’accusé de réception correspondant à une réponse invisible.

La correction a gardé la progression temporelle utile pour distinguer deux incarnations d’une même connexion, mais elle a limité ce qu’une connexion révèle sur une autre. L’ISN devient M + F(quadruplet, secret). Même si M est prévisible, un changement d’adresse ou de port sélectionne un décalage dépendant d’un secret que l’observateur extérieur ne doit pas pouvoir calculer.

RFC 6528 a normalisé ce mécanisme, ensuite intégré à la spécification TCP actuelle par RFC 9293. Aucun champ nouveau n’apparaît sur le réseau : le point de contrôle est le choix interne de la valeur de 32 bits placée dans le SYN.