Ignorer et ne jamais envoyer de redirections ICMP

Pourquoi il compte

Une redirection ICMP est un message d’un routeur disant : passe par cet autre routeur pour cette destination. Sur un Wi-Fi partagé, une attaquante peut en envoyer une fausse pour que votre trafic passe par sa machine, où il peut être observé ou modifié. Refuser les redirections garde vos routes sous votre contrôle.

Comment il fonctionne

Met les options accept_redirects et secure_redirects à 0 pour IPv4 et accept_redirects à 0 pour IPv6, sur les groupes d’interfaces all et default. Met aussi send_redirects à 0, pour que cet ordinateur n’envoie pas de redirections aux autres.

À qui il s'adresse

Juste pour les ordinateurs de bureau, portables et la plupart des serveurs. Une machine qui sert de routeur peut vouloir continuer d’en envoyer, et certains petits réseaux en dépendent.

Ce que vous pouvez remarquer

Rien sur les réseaux ordinaires. Si votre machine n’est pas le routeur du réseau, personne ne remarque la différence, pas plus que les autres appareils.

Le vérifier sur votre ordinateur

Lire la valeur actuelle :

sysctl net.ipv4.conf.all.accept_redirects
sysctl net.ipv4.conf.default.accept_redirects
sysctl net.ipv4.conf.all.secure_redirects
sysctl net.ipv4.conf.default.secure_redirects
sysctl net.ipv6.conf.all.accept_redirects
sysctl net.ipv6.conf.default.accept_redirects
sysctl net.ipv4.conf.all.send_redirects
sysctl net.ipv4.conf.default.send_redirects

L'appliquer à la main

La définir maintenant (jusqu'au prochain redémarrage) :

sudo sysctl -w net.ipv4.conf.all.accept_redirects=0
sudo sysctl -w net.ipv4.conf.default.accept_redirects=0
sudo sysctl -w net.ipv4.conf.all.secure_redirects=0
sudo sysctl -w net.ipv4.conf.default.secure_redirects=0
sudo sysctl -w net.ipv6.conf.all.accept_redirects=0
sudo sysctl -w net.ipv6.conf.default.accept_redirects=0
sudo sysctl -w net.ipv4.conf.all.send_redirects=0
sudo sysctl -w net.ipv4.conf.default.send_redirects=0

La conserver après les redémarrages, dans un fichier qui vous appartient :

sudo tee /etc/sysctl.d/90-net-redirects.conf <<'EOF'
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
EOF
sudo sysctl --system

L'annuler

Supprimez le fichier et redémarrez, ou remettez l'ancienne valeur avec sysctl -w.

Réglages liés

• Refuser les paquets à routage par la source
• Rejeter les paquets dont l'adresse d'expéditeur est falsifiée
• Ignorer les annonces de routeur IPv6

Sources

Linux Hardening Guide (madaidans)

2.2.2

ANSSI, Configuration recommendations of a GNU/Linux system (BP-028)

kernel and network settings