VLAN HOPPING ATTACK

     Le Vlan Hopping (ou saut de vlan ) est une attaque permettant à un hackeur  de " sauter " d'un Vlan à un autre Vlan.
En principe les Vlan sont configurés pour garantir la sécurité mais aussi une confidentialité entre les segments réseaux.

Il existe deux types d'attaques sur les vlan :

• Switch Spoofing
• Double Tagging

SWITCH SPOOFING (Usurpation de commutateur)

    Le principe de cette attaque est très simple. Il permet à l'attaquant d'usurper l'identité d'un commutateur dans le réseau. Le switch spoofing attacks utilise généralement le protocole DTP (Dynamic Trunking Protocol).

Principe : 

• Envoi de trame DTP sur un port Access 
• Si le mode DTP est en DYNAMIC AUTO ou Dynamic DESIRABLE
• L'attaquant tente d'effectuer une négociation du lien d'agrégation de manière automatique
• Une fois l'attaque réussi, ce lien sera en mode trunk, l'attaquant pour écouter le trafic et se comporte comme un switch du réseau.

Double Tagging Attacks (Double encapsulation)

     Cette attaque est la suite de celle du switch spoofing attack, en effet l'idée est de s'infiltrer à un Vlan en question.  L'idée est d'envoyer des trames doublement encapsulé , c'est à dire contenant les champ des deux vlan. Le vlan 1 et le vlan 20 par exemple. Le premier champ contenant le vlan 1 va être supprimé par le premier switch. Ensuite le second switch va recevoir le second champ dans la trame avec le vlan 10 dedans. Il va ensuite router les trames à l’intérieur du segment vlan 10, Dans ce cas l'attaquant aura pleinement accès au vlan 20.

Principe :

• Exploite une faiblesse du protocole IEEE 802.1Q
• Autorise la double encapsulation 

Contre - mesures

1. Éteindre les ports inutilisés
2. Ne pas utiliser le Vlan par défaut
3. Mettre en place un Vlan dédié pour la gestion des interfaces trunk
4. Désactiver le mode auto-trunk
5. Changer l'ID du Vlan natif