Une attaque MITM (man-in-the-middle, homme du milieu) consiste à s'insérer dans un échange entre deux parties qui croient communiquer directement. L'attaquant peut alors observer le trafic, le modifier, ou se faire passer pour l'une des extrémités. Le terme désigne d'abord une attaque de niveau réseau.
Les vecteurs classiques
- Point d'accès Wi-Fi malveillant ou jumeau maléfique, qui capte le trafic de ses clients ;
- Empoisonnement ARP ou DNS, qui redirige le trafic vers une machine contrôlée ;
- Interception TLS au moyen d'une autorité de certification indûment approuvée sur le poste ;
- Rétrogradation de protocole, forçant un chiffrement plus faible ou son absence.
Les contre-mesures sont largement déployées : TLS correctement validé, HSTS, épinglage de certificats, transparence des certificats, réseaux d'entreprise segmentés. Le MITM réseau reste possible, mais il exige un positionnement privilégié.
À ne pas confondre avec l'AiTM
L'AiTM (adversary-in-the-middle) est une variante applicative, aujourd'hui bien plus courante : la victime se rend d'elle-même sur un proxy inverse hébergé par l'attaquant, qui relaie la session vers le site authentique. Il n'y a aucun chiffrement à casser — deux connexions TLS parfaitement valides coexistent — et l'objectif n'est pas le mot de passe mais le cookie de session émis après une MFA réussie.
Autrement dit : le MITM attaque le canal, l'AiTM attaque le parcours d'authentification.
Aller plus loin : définition de l'AiTM · l'attaque qui vole la session · le QR code dynamique contre l'AiTM · l'authentification cognitive