Chaîne de communauté SNMP par défaut

Définition

La chaîne de communauté SNMP par défaut désigne l'utilisation, encore fréquente sur des équipements réseau et des systèmes embarqués, des valeurs d'authentification standard fournies par le constructeur pour le protocole de supervision Simple Network Management Protocol dans ses versions 1 et 2c, typiquement une chaîne en lecture et une autre en écriture jamais modifiées après le déploiement de l'équipement. Ces versions du protocole transmettent la chaîne de communauté en clair sur le réseau et ne prévoient aucun mécanisme d'authentification robuste au-delà de cette simple valeur partagée, rendant leur interception ou leur devinette triviale si elles n'ont pas été personnalisées. Un attaquant ayant identifié la chaîne de communauté en lecture d'un équipement peut extraire une quantité considérable d'informations de configuration, de tables de routage et d'inventaire réseau, tandis qu'une chaîne en écriture compromise peut permettre de modifier la configuration de l'équipement directement, y compris sur des routeurs et commutateurs critiques de l'infrastructure. Cette faiblesse reste fréquemment retrouvée lors d'audits sur des équipements industriels et des équipements réseau anciens rarement reconfigurés après leur installation initiale. Pour les équipes défensives, la contre-mesure consiste à remplacer systématiquement les chaînes par défaut par des valeurs uniques et complexes, à migrer vers SNMPv3 qui introduit une authentification et un chiffrement robustes, et à restreindre l'accès SNMP aux seules adresses de gestion autorisées.