Résumé

  • Sabina Anja situe la première confiance d’EVPN au port d’accès, où un commutateur apprend une adresse MAC fournie par l’hôte.
  • Le numéro de séquence de mobilité départage des annonces ; il ne vérifie pas que l’hôte possède l’adresse qu’il revendique.

Une machine virtuelle quitte un serveur et arrive sur un autre. EVPN met à jour le chemin, et le service continue. Sabina Anja raconte dans APNIC la version hostile de ce mécanisme : une machine qui n’a pas bougé voit son adresse MAC émise comme adresse source par un autre hôte. Le commutateur d’accès apprend cette adresse et la présente au reste du tissu comme une nouvelle localisation légitime.

Le RFC 7432 décrit l’attribut de mobilité MAC et son numéro de séquence pour les routes EVPN de type MAC/IP. Lorsqu’un équipement apprend localement une adresse qu’il connaissait à distance, l’annonce suivante peut porter un numéro supérieur. Les autres équipements choisissent alors la nouvelle annonce. Le protocole ordonne les mouvements ; il n’examine pas l’identité de l’hôte qui a envoyé la trame initiale. Dans le scénario d’Anja, le trafic destiné à la victime peut suivre le faux nouvel emplacement.

La tentation est de surveiller un compteur de mouvements. Elle est insuffisante dans les deux sens. Une machine virtuelle vraiment déplacée à répétition peut afficher un chiffre élevé. Une usurpation lente peut rester sous le seuil d’une alerte fondée sur une courte fenêtre. Anja propose de lire l’historique des annonces de type 2 aux réflecteurs de routes, avec l’émetteur, l’identifiant de segment, la séquence et les horodatages, puis de le rapprocher des affectations autorisées au port d’accès.

Ce rapprochement change la question de l’enquête. On ne demande plus seulement « combien de déplacements ? », mais « quel appareil avait le droit d’annoncer cette adresse à ce moment ? ». Le texte publie une analyse de menace et aucun relevé d’incident sur un tissu nommé. Un journal corrélé entre réflecteur et port d’accès établirait le chemin suivi dans un cas réel.

Le commutateur ne peut transformer une donnée apprise sans contrôle en identité vérifiée. C’est au bord du réseau que l’exploitant doit limiter les adresses qu’un hôte peut présenter ; le cœur pourra alors faire son travail de diffusion sans servir de mégaphone à une usurpation.