Des millions d’équipements réseau, utilisant des protocoles de tunneling non sécurisés, sont aujourd’hui exposés à des cyberattaques. Une négligence qui met en danger aussi bien les infrastructures critiques que les appareils domestiques.
Routeurs domestiques, VPN grand public, nœuds de réseau mobiles, serveurs critiques : des millions d’appareils réseau, personnels et professionnels, sont aujourd’hui exposés. À l’origine de cette vulnérabilité, des protocoles de tunneling mal sécurisés et des configurations négligées, offrant aux hackers des opportunités inquiétantes pour détourner ou infiltrer ces infrastructures essentielles.
Une vulnérabilité massive, des risques multiples
Plus de 4,2 millions d’hôtes vulnérables. Ce chiffre, révélé par le chercheur Mathy Vanhoef en amont de la conférence USENIX 2025, met en lumière une faille inquiétante dans la configuration de millions appareils réseau. D’après ses recherches, de nombreux routeurs domestiques, serveurs VPN, nœuds de réseaux mobiles et infrastructures CDN acceptent des paquets non authentifiés sans vérification préalable.
Les protocoles de tunneling mis en cause ici – IPIP, GRE, 4in6 et 6in4 – servent logiquement à encapsuler et transporter des données entre réseaux distants. IPIP encapsule des paquets IPv4 dans d’autres paquets IPv4, tandis que GRE (Generic Routing Encapsulation) permet d’encapsuler différents types de protocoles. Les variantes 4in6 et 6in4, quant à elles, répondent aux besoins spécifiques de la coexistence entre IPv4 et IPv6.
Malgré leur utilité, ces protocoles posent un problème fondamental : ils ne vérifient ni l’identité des expéditeurs ni l’intégrité des paquets reçus. En l’absence d’authentification ou de chiffrement natif, tout paquet peut être accepté et transmis, ce qui expose les hôtes à des abus potentiels.
Pour combler ces lacunes, ces protocoles devraient être combinés à des technologies comme IPsec, qui assurent à la fois l’authentification des expéditeurs et le chiffrement des données. Malheureusement, cette étape supplémentaire est souvent négligée, soit par manque de connaissances, soit pour faciliter les déploiements. Et c’est exactement ce qui s’est produit pour les 4,26 millions d’hôtes dont on parle ici.
Selon l’enquête de Vanhoef, ces vulnérabilités ont une portée mondiale (218 pays touchés sur les 249 étudiés) et touchent une large gamme d’équipements. En Chine, près de 60 % des hôtes vulnérables permettent l’usurpation d’adresses IP, une situation aggravée par des configurations spécifiques au sein de certains Systèmes Autonomes (AS). En France, plus de 700 000 routeurs Free, soit 17 % des hôtes vulnérables identifiés, exposent directement les réseaux domestiques. Au Japon, 238 000 nœuds Softbank, y compris des infrastructures critiques pour les réseaux mobiles, sont également affectés.
Les grandes entreprises ne sont pas épargnées. Des nœuds CDN de Meta et Tencent, qui gèrent des milliards de requêtes par jour, figurent parmi les hôtes compromis. Plusieurs serveurs VPN grand public, comme ceux d’AoxVPN, exposent aussi leurs utilisateurs et utilisatrices. Pire, les équipements de services obsolètes, comme AirFalcon VPN ou AmanVPN, restent accessibles, faute d'infrastructures correctement démantelées.
Ces dispositifs mal sécurisés pourraient être exploités comme proxies anonymes, et ainsi permettre aux hackers de masquer leur identité derrière des adresses IP usurpées. Ils pourraient aussi servir à lancer des attaques DDoS (comme le Ping-pong Amplification, qui amplifie le trafic en le faisant rebondir entre hôtes vulnérables), à détourner des requêtes DNS, ou encore à infiltrer des réseaux privés (via des techniques comme le Routing Loop DoS, qui surcharge les appareils en multipliant les transmissions). En bref, les conséquences sont graves.
Que faire pour sécuriser ces tunnels vulnérables ?
Pour empêcher ces 4,26 millions d’hôtes vulnérables de continuer à servir d’outils pour des cyberattaques, des mesures claires s’imposent. Le problème, on le sait, vient de configurations laxistes ou incomplètes. Les protocoles IPIP, GRE, 4in6 et 6in4, bien que simples à déployer, exposent les appareils qu’ils équipent en raison de leur absence d’authentification et de chiffrement. Il est donc impératif de les combiner avec des technologies comme IPsec, ou de se rabattre vers des solutions tout-en-un comme WireGuard, bien plus sûres.
À noter que ces failles trouvent aussi leur origine dans des appareils réseau mal configurés dès leur mise en service. Les fabricants doivent donc fournir des paramètres par défaut plus stricts et rendre obligatoires les mises à jour de sécurité. Les utilisateurs et utilisatrices ont également un rôle à jouer : appliquer les patchs dès leur disponibilité, désactiver les fonctions inutiles et vérifier régulièrement les paramètres de leurs routeurs ou services VPN.
Du côté des infrastructures, les opérateurs et fournisseurs doivent s’astreindre à filtrer le trafic non authentifié pour éviter les usurpations d’adresses IP. Une inspection approfondie des paquets permettrait par ailleurs de détecter et d’éliminer les tunnels non sécurisés. Pour les équipements les plus vulnérables, comme les Freebox ou les nœuds de réseaux mobiles, une révision complète des politiques de sécurité pourrait nettement contribuer à limiter les abus.
Reste la question de la sensibilisation. Si autant d’appareils sont exposés, c’est aussi parce que beaucoup ignorent les implications de leurs configurations réseau. Former les administrateurs, fournir des outils de diagnostic accessibles et promouvoir les bonnes pratiques auprès des utilisateurs et utilisatrices doivent devenir des priorités.
Source : Top10VPN
30 décembre 2024 à 09h18
. Je rajouterais que peu importe un vpn sécurisé, ca protège pas si on clique sur une pj et qu’on rentre ses données sur un site avec une bdd qui ne sécurise pas les mots de passe…ils seront e clair dans la bdd…et même si c’est un site en HTTPS 
