Les déplacements d’adresses MAC font partie du fonctionnement courant d’une fabric Ethernet VPN (EVPN). Lorsqu’une machine virtuelle migre vers un nouvel hôte, elle conserve son adresse MAC ; le nouveau commutateur leaf la détecte et annonce le changement via BGP afin que le trafic puisse suivre. Mais le même processus peut être détourné si un autre appareil revendique une adresse MAC qui ne lui appartient pas.
Le risque tient à l’absence d’authentification des adresses MAC source dans Ethernet. Un commutateur apprend une adresse MAC à partir des trames reçues sur un port d’accès, puis EVPN diffuse cette information aux autres équipements provider edge. Si un hôte usurpe l’adresse MAC d’un serveur, l’annonce qui en résulte peut porter un numéro de séquence de mobilité supérieur, amenant les autres leafs à diriger vers l’hôte usurpateur le trafic destiné à ce serveur. La route falsifiée reste considérée comme fiable jusqu’à ce que l’hôte légitime s’annonce à nouveau.
Les conséquences possibles comprennent l’interception du trafic, l’interruption de service et une charge supplémentaire sur le plan de contrôle. Un attaquant peut attirer le trafic destiné à la victime, revendiquer son adresse MAC et supprimer les paquets, ou déclencher à répétition des déplacements d’adresses MAC qui génèrent des mises à jour BGP et des changements dans les tables de transfert. L’article avertit également qu’un attaquant pourrait tenter de revendiquer l’adresse IP de la victime au moyen d’ARP gratuit ou d’annonces de voisinage non sollicitées, une étape qui peut ne pas déclencher la détection de mobilité MAC.
La protection contre les adresses MAC en double ne constitue pas une défense complète. Les protections comptabilisent généralement les déplacements sur une période donnée et sur chaque PE individuellement ; l’activité peut donc rester sous le seuil d’alerte ou être répartie entre plusieurs commutateurs. Même lorsqu’une alerte est déclenchée, elle peut signaler un événement de duplication sans indiquer qu’il pourrait être malveillant.
Les route reflectors peuvent offrir une vue plus globale, car ils reçoivent les mises à jour des routes EVPN de type 2. Les opérateurs peuvent exporter ces mises à jour à l’aide du protocole BGP Monitoring Protocol et suivre les adresses MAC, les appareils à l’origine des annonces, les numéros de séquence, les indicateurs sticky et les horodatages. Parmi les signes d’alerte utiles figurent des déplacements anormalement fréquents sur de longues périodes, des sauts de numéro de séquence supérieurs à un, des routes sticky inattendues et des annonces contradictoires pour la même adresse MAC.
Cette surveillance du plan de contrôle doit être confrontée aux registres de la couche d’accès, notamment aux associations établies par DHCP snooping, aux sessions 802.1X et aux inventaires de ports. L’article cite également les limites du nombre d’adresses MAC par port, l’inspection ARP/ND et les entrées MAC sticky pour les systèmes critiques parmi les mesures susceptibles de restreindre les adresses que les hôtes sont autorisés à utiliser. Le principal enjeu de sécurité est qu’EVPN distribue les informations apprises à la périphérie : la confiance dans la fabric dépend donc de la vérification de l’identité des hôtes au point où les appareils se connectent.
Sources: APNIC Blog.