Overlapping IPv4, IPv6, and TCP data : exploring errors, test case context and multiple overlaps inside network stacks and NIDSes

La fragmentation IP et la segmentation TCP permettent de diviser des paquets réseaux trop volumineux en morceaux plus petits. Ce découpage peut donner lieu à du recouvrement, c'est-à-dire que plusieurs morceaux ainsi créés peuvent se chevaucher, de manière complète ou partielle, avec des données non nécessairement identiques. Les politiques de réassemblage, c'est-à-dire le morceau de données préféré en fonction du type de recouvrement, diffèrent selon les implémentations IPv4, IPv6 et TCP. Dès lors, un système de détection d'intrusion réseau (NIDS) qui ne ré-assemble pas les recouvrements de la même manière que l'hôte surveillé est aveugle au flux réellement traité par cet hôte, laissant la place à son contournement. L'objectif principal de cette thèse est d'évaluer dans quelle mesure les NIDS sont vulnérables à des attaques basées sur les recouvrements IPv4, IPv6 et TCP. Nous proposons tout d'abord une nouvelle méthode pour modéliser les recouvrements de fragments et de segments afin de garantir la complétude des tests. Nous instancions ce modèle dans notre outil PYROLYSE et testons les politiques de réassemblage de différents types de piles IP et TCP. Nous avons découvert que les politiques sont beaucoup plus diverses et complexes que décrites dans l'état de l'art et que les NIDS Suricata, Snort et Zeek présentent des incohérences de réassemblage avec ces piles, ce qui les rend vulnérables aux attaques par recouvrement. Nous avons également trouvé des erreurs de réassemblage dans cinq piles, dont une CVE.