Empoisonnement ARP
Attaque de niveau 2 : un attaquant sur le même réseau local envoie de fausses réponses ARP → le cache ARP de la victime associe l'IP de la passerelle à la MAC de l'attaquant. Tout le trafic sortant de la victime passe alors par l'attaquant → possibilité de MITM.
Outils : Ettercap, Bettercap, arpspoof. Standard sur Kali Linux et dans les cursus de pentest. Fonctionne jusqu'au redémarrage de la victime ou à l'expiration du cache ARP (5 à 20 min). Défense : DAI (Dynamic ARP Inspection) sur le switch — valide l'ARP par rapport à la table de liaison DHCP snooping et rejette l'ARP invalide. Entrées ARP statiques pour les hôtes critiques (serveurs, passerelles). Pertinence actuelle : le WiFi vers données mobiles ou un VPN contourne les attaques sur LAN, mais un LAN d'entreprise reste vulnérable. HTTPS protège la confidentialité des données mais un MITM peut quand même faire du DoS ou de l'analyse de trafic.