OS Fingerprinting

Définition

Le fingerprinting d'OS (Operating System Fingerprinting) est la technique d'identification du système d'exploitation d'une machine cible sans y avoir accès direct, en analysant les caractéristiques spécifiques de son implémentation de la pile TCP/IP. Chaque système d'exploitation implémente légèrement différemment les protocoles réseau (valeurs TTL, taille de la fenêtre TCP, options TCP, réponses aux paquets malformés), créant une signature distinctive. Il existe deux approches : le fingerprinting actif et le fingerprinting passif. Le fingerprinting actif (comme celui de Nmap avec l'option -O) envoie des paquets TCP, UDP et ICMP spécialement conçus pour provoquer des réponses révélatrices, puis compare les réponses à une base de signatures contenant les profils de centaines de systèmes d'exploitation. Le fingerprinting passif (p0f, NetworkMiner) analyse uniquement le trafic réseau existant sans envoyer de paquets supplémentaires. Les paramètres clés analysés incluent : la valeur TTL initiale (64 pour Linux/macOS, 128 pour Windows, 255 pour certains équipements réseau), la taille de fenêtre TCP initiale, l'ordre des options TCP, la réponse aux paquets TCP avec des flags illégaux (combinaisons FIN+URG+PSH pour le scan Xmas), le comportement des séquences TCP (ISN), et les réponses aux sondes ICMP spécifiques. La connaissance du système d'exploitation oriente toute la stratégie d'exploitation : les exploits noyau, les techniques de post-exploitation, les méthodes de persistance et les outils utilisés diffèrent fondamentalement entre Windows, Linux, macOS et les systèmes embarqués. Un système Windows Server identifié comme Exchange Server suggère des chemins d'attaque spécifiques (ProxyLogon, ProxyShell, NTLM relay), tandis qu'un Linux Ubuntu expose des vecteurs différents. Sur les réseaux internes, le fingerprinting d'OS permet de cartographier les systèmes critiques (contrôleurs de domaine Windows Server, serveurs de base de données, équipements réseau) et de prioriser les vecteurs d'attaque les plus prometteurs.