Détournement de session TCP (TCP session hijacking)

Définition

Le détournement de session TCP, ou TCP session hijacking, désigne une attaque consistant à s'insérer dans une connexion TCP déjà établie entre deux parties légitimes, en devinant ou en observant les numéros de séquence attendus par chacune, pour injecter des paquets se substituant frauduleusement à l'une des deux parties sans que l'autre ne détecte l'usurpation. Historiquement facilitée par des générateurs de numéros de séquence initiaux prévisibles dans certaines implémentations anciennes de la pile TCP, cette attaque nécessite aujourd'hui généralement une position d'observation sur le chemin réseau entre les deux parties, par exemple via une usurpation ARP préalable sur un réseau local, pour capturer les numéros de séquence réels en temps réel plutôt que de les deviner à l'aveugle. Une fois la session détournée avec succès, l'attaquant peut injecter des commandes arbitraires dans le flux au nom de la victime légitime, ou simplement interrompre la connexion de manière ciblée. La généralisation du chiffrement de bout en bout via TLS a considérablement réduit l'exploitabilité pratique de cette attaque sur les protocoles modernes, le contenu chiffré rendant l'injection de commandes compréhensibles impossible sans les clés de session. Pour les équipes défensives, les contre-mesures reposent sur le chiffrement systématique des flux sensibles, la détection des usurpations ARP préalables sur le réseau local, et la surveillance des anomalies de numéros de séquence TCP dans les journaux réseau.