Imaginez l'internet comme une ville géante et bouillonnante où chaque appareil possède une adresse unique, comme un numéro de maison. Dans l'ancienne version de cette ville (IPv4), les rues étaient encombrées, et il était facile pour quelqu'un de descendre chaque pâté de maisons, de frapper à chaque porte et de voir qui était à la maison. Mais dans la nouvelle et massive expansion de la ville (IPv6), les rues sont si longues et les numéros de maison si aléatoires et changeants qu'il est presque impossible de trouver qui que ce soit par simple supposition. Il vous faudrait une carte qui se met à jour chaque seconde.

Pour garder leurs horloges synchronisées, la plupart des appareils de cette ville ne se contentent pas de deviner l'heure ; ils interrogent un gardien du temps central appelé le NTP Pool. Considérez le NTP Pool comme une immense tour d'horloge gérée par des bénévoles, où n'importe qui peut installer une horloge et proposer l'heure au quartier. Parce qu'il est très populaire, des millions d'appareils demandent l'heure à ces horloges chaque jour. Le hic ? Lorsqu'un appareil demande l'heure, il doit montrer son « numéro de maison » (son adresse IP) pour que l'horloge sache où envoyer la réponse. Cette publication explore une ruse sournoise où certaines personnes utilisent ces horloges bénévoles non pas seulement pour donner l'heure, mais pour noter secrètement les numéros de maison de tous ceux qui passent par là, puis utiliser cette liste pour aller frapper aux portes qu'elles n'auraient pas trouvées autrement.

Le casse de la tour de l'horloge

Dans cette étude, les chercheurs Erik Rye et Robert Beverly ont décidé d'enquêter sur un phénomène étrange qu'ils ont appelé « back-scanning » (balayage inversé). Ils soupçonnaient que certains des serveurs d'horloges bénévoles du NTP Pool agissaient comme des espions. Voici comment la ruse fonctionne : un appareil demande l'heure à une horloge. L'horloge voit l'adresse de l'appareil, la note, puis — au lieu de simplement renvoyer l'heure — commence à envoyer des sondes à cette adresse pour voir quels services y sont en cours d'exécution. C'est comme un boulanger amical qui, après que vous lui avez demandé l'heure, commence secrètement à vérifier si votre maison possède une porte verrouillée, une caméra de sécurité ou un coffre-fort caché, tout cela parce que vous êtes entré dans sa boutique.

Pour attraper ces espions, les chercheurs ont mis en place un pièp intelligent. Ils ont créé un ordinateur « sondeur » spécial qui a envoyé des milliers de requêtes aux horloges du NTP Pool. Mais voici la magie : chaque requête provenait d'un nouveau numéro de maison factice et éphémère (appelé « nonce »). Ces numéros étaient aléatoires et n'étaient jamais réutilisés. Les chercheurs ont ensuite attendu de voir si quelqu'un frapperait à la porte de ces fausses maisons.

Si une horloge faisait simplement son travail, elle répondrait avec l'heure et oublierait le faux numéro de maison. Mais si une horloge était un espion, elle noterait ce faux numéro et enverrait plus tard une sonde à cette adresse. Comme la fausse maison n'existait pas réellement, la seule façon pour une sonde d'atteindre cette adresse était que l'horloge (ou quelqu'un de connecté à elle) ait sauvegardé le numéro et cherche activement à le joindre.

Ce qu'ils ont trouvé

Au cours d'une année, les chercheurs ont envoyé environ 2,45 millions de ces fausses requêtes à 2 335 serveurs NTP différents. Ils ont découvert que 22 de ces serveurs agissaient effectivement comme des espions. Ces 22 serveurs étaient regroupés en quatre « clusters » de comportement distincts :

1. Les Toucheurs Légers : Un groupe de serveurs envoyait principalement un simple « ping » (une vérification de base pour voir si l'appareil est vivant) aux fausses adresses. Ils étaient curieux, mais ne creusaient pas davantage.
2. Les Gros Bonnets : Le groupe le plus actif, que les chercheurs ont bapté Cluster 2, était une opération massive. Ils utilisaient 8 serveurs NTP pour collecter des adresses, puis lançaient une énorme campagne de balayage utilisant plus de 3 000 adresses IP différentes pour frapper aux portes. Ils ne se contentaient pas de vérifier si la porte était ouverte ; ils ont testé 572 types de serrures différents (ports TCP) et 9 types de clés différents (ports UDP). Ils cherchaient des choses spécifiques comme des serveurs web, des outils de contrôle à distance et des bases de données.
3. Les Loups Solitaires : Deux autres groupes étaient beaucoup plus petits, avec un seul serveur chacun, mais ils effectuaient tout de même des balayages. L'un envoyait des pings, et l'autre tentait d'accéder à un port de débogage Android spécifique.

Les chercheurs ont remarqué quelque chose d'intéressant concernant le délai. Pour les « Toucheurs Légers », il fallait environ 14 heures en moyenne pour commencer le balayage après avoir détecté une nouvelle adresse. Les « Gros Bonnets » mettaient un peu plus de temps, environ 22 heures, mais une fois qu'ils commençaient, ils ne s'arrêtaient pas. Certains de ces balayages ont duré plus d'un mois, vérifiant de manière répétée les mêmes adresses.

Le « Pourquoi » et le « Qui »

Les chercheurs ont remonté la piste du plus grand groupe de balayage (Cluster 2). Il s'est avéré qu'il s'agissait d'une société d'assurance en cybersécurité. Lorsque les chercheurs les ont interrogés, la firme s'est montrée franche : elle a admis utiliser le NTP Pool spécifiquement pour apprendre les adresses IPv6 actives afin de procéder au balayage inversé. Elle affirmait le faire à des fins « défensives », plus précisément pour aider à calculer les risques pour ses clients assureurs. Elle soutenait que savoir quels appareils sont présents sur le réseau aide à comprendre le paysage des menaces.

Cependant, les chercheurs ont souligné un problème majeur : les personnes dont les appareils étaient scannés ne savaient pas que cela se produisait. La plupart de ces appareils sont de petits gadgets embarqués (comme des thermostats intelligents ou des capteurs IoT) qui demandent automatiquement l'heure au NTP Pool. Ils n'ont jamais consenti à être scannés. De plus, la société de balayage utilisait un mélange de serveurs cloud difficiles à identifier. Bien que la firme ait admis qu'environ 40 % de son infrastructure de balayage ne possédait pas d'enregistrements d'identification (rDNS) et ait affirmé avoir corrigé ces entrées spécifiques, elle n'a pas ajouté d'enregistrements d'identification à ses serveurs NTP. De plus, ni leurs serveurs NTP ni leurs serveurs de balayage n'hébergent de page web pour expliquer qui ils sont ou comment s'en retirer, bien qu'une redirection sur leur domaine fournisse quelques informations.

Les suites

Cette découverte a mis en lumière une « zone grise » de l'éthique sur internet. Bien que frapper à une porte pour voir si quelqu'un est présent ne soit généralement pas un crime, le faire secrètement en utilisant une ruse pour trouver des adresses censées être cachées est éthiquement trouble. Les chercheurs n'ont pas seulement pointé le problème ; ils ont commencé à travailler avec les administrateurs du NTP Pool pour le résoudre.

Ils construisent actuellement un système pour intégrer leur méthode de détection directement dans le système de notation du NTP Pool. À l'avenir, si un serveur d'horloge bénévole est pris en flagrant délit de « back-scanning », le système abaissera automatiquement son score, ce qui signifie qu'il recevra moins de trafic et finira par être expulsé du pool. Les chercheurs ont également partagé une liste des acteurs malveillants avec le NTP Pool, et la société d'assurance impliquée a accepté de rendre ses opérations plus transparentes en corrigeant les enregistrements d'identification manquants sur ses serveurs de balayage, bien que les serveurs NTP eux-mêmes restent non identifiés.

La conclusion à retenir

Cette publication montre que même dans un monde où trouver des appareils est censé être difficile, il existe des moyens astucieux de tricher. En utilisant la confiance placée dans un service de distribution de l'heure bénévole, certaines entités ont pu construire une carte des appareils les plus insaisissables d'internet. L'étude suggère que, bien que ces balayages puissent être destinés à la sécurité ou à l'assurance, ils contournent le consentement des propriétaires d'appareils. La solution n'est pas de fermer le NTP Pool, mais de le rendre plus intelligent, en veillant à ce que les horloges bénévoles restent ce qu'elles sont censées être — des horloges — et non des espions secrets.