ARP, pour Address Resolution Protocol (« protocole de résolution d'adresse »), est l'un des protocoles les plus anciens et les plus discrets d'un réseau local : il tourne en permanence, sans qu'on s'en aperçoive, et pourtant rien ne pourrait fonctionner sans lui. Ce guide explique simplement ce qu'il fait, comment il fonctionne, et pourquoi il mérite malgré tout votre attention.
Pourquoi deux adresses différentes pour un même appareil ?
Chaque appareil connecté à un réseau porte en réalité deux adresses bien distinctes. L'adresse IP (par exemple 192.168.1.42) identifie l'appareil de façon logique, pour savoir vers quel réseau et quelle machine acheminer des données — un peu comme une adresse postale. L'adresse MAC (par exemple 3C:7C:3F:A1:B2:C9) est, elle, gravée dans la carte réseau elle-même : c'est l'identifiant physique unique de l'appareil sur son réseau local, comparable au numéro de série d'un appartement dans un immeuble, utile une fois qu'on est arrivé à la bonne adresse postale. Pour qu'un message arrive réellement à destination sur un réseau local (Ethernet ou Wi-Fi), c'est l'adresse MAC qui est utilisée en dernier ressort — pas l'adresse IP.
Ce que fait concrètement ARP
Imaginons que votre ordinateur (192.168.1.10) veuille contacter l'imprimante du bureau (192.168.1.50), sur le même réseau local. Il connaît son adresse IP, mais pas encore son adresse MAC — indispensable pour que les données circulent réellement sur le câble ou les ondes Wi-Fi. ARP résout ce problème en trois temps :
Une table que vous pouvez consulter vous-même
Ce cache ARP n'est pas un secret : sur Windows, macOS ou Linux, la commande arp -a tapée dans un terminal l'affiche directement, avec la liste des appareils que votre machine a récemment « rencontrés » sur le réseau local et leurs adresses MAC associées. C'est souvent le premier réflexe d'un technicien pour vérifier qu'un appareil répond bien sur le réseau.
ARP ne sort jamais du réseau local
Point important : ARP ne fonctionne qu'à l'intérieur d'un même réseau local (on parle de « domaine de diffusion »). Pour contacter un appareil situé sur un autre réseau — un site distant, ou simplement Internet — votre ordinateur n'a pas besoin de connaître son adresse MAC réelle : il utilise ARP uniquement pour retrouver l'adresse MAC de sa passerelle (le routeur), qui se chargera de relayer les données plus loin. C'est pour cette raison qu'ARP reste invisible dès qu'on sort du réseau local — et c'est aussi ce qui en limite, par nature, la portée d'une éventuelle attaque.
La faille à connaître : l'usurpation ARP (ARP spoofing)
ARP a été conçu dans les années 1980, à une époque où la confiance entre machines d'un même réseau n'était pas remise en question. Résultat : aucune vérification d'identité n'est intégrée au protocole. N'importe quel appareil présent sur le réseau local peut répondre à une demande ARP en prétendant posséder une adresse IP qui n'est pas la sienne — y compris celle de la passerelle. C'est ce qu'on appelle l'usurpation ARP, ou ARP spoofing (parfois « ARP poisoning » : empoisonnement de cache ARP).
Concrètement, un appareil malveillant déjà présent sur le réseau local (un poste compromis, un visiteur mal intentionné sur le Wi-Fi) envoie de fausses réponses ARP pour se faire passer, par exemple, pour la passerelle Internet. Les autres appareils du réseau, sans méfiance, mettent à jour leur cache ARP avec cette fausse correspondance et commencent à envoyer leur trafic — potentiellement tout le trafic Internet de l'entreprise — vers l'appareil de l'attaquant plutôt que vers le vrai routeur, sans que rien ne s'affiche à l'écran. L'attaquant peut alors observer ce trafic, voire le modifier, avant de le relayer vers sa véritable destination : c'est une attaque dite « de l'homme du milieu » (man-in-the-middle).
Comment s'en protéger en entreprise
En résumé
ARP est un protocole simple et indispensable : il traduit une adresse IP en adresse MAC pour que les données puissent réellement circuler sur un réseau local. Il est aussi, par conception, dépourvu de toute vérification d'identité — ce qui en fait, depuis toujours, une porte d'entrée classique pour un attaquant déjà présent sur le réseau. La bonne nouvelle : un réseau correctement cloisonné et équipé de matériel professionnel réduit très fortement ce risque, sans rien demander aux utilisateurs.
Vous voulez vérifier si votre réseau local est correctement cloisonné et protégé contre ce type d'attaque silencieuse ? Parlons-en.