Fast Flux

Le Fast-flux est une technique connue pour son utilisation pour dissimuler des sites de phishing et de disséminateur de malware. Cette technique utilise les caractéristiques techniques du protocole DNS (ou Domain Name system) permettant d'attribuer à un même nom de domaine de nombreuses adresses IP.

Présentation de la technique

Le protocole DNS est le protocole utilisé pour résoudre une adresse IP, et donc un serveur, à partir d'un nom de domaine. Il est possible, afin de répartir les charges entre plusieurs serveurs, d'attribuer plusieurs adresses IP à un seul nom de domaine. Cette technique, dite « Round Robin DNS », est associé avec un TTL très bas et ce afin que les serveurs changent l'adresse attribuée très régulièrement.

L'adresse IP correspondant au nom de domaine change donc continuellement et pointe, généralement, vers des machines compromises fonctionnant comme des reverse proxy et redirigeant les requêtes vers le serveur réel alors appelé "mothership".

Fast-flux simple

La technique du fast-flux simple correspond à la dissimulation de l'IP du "mothership" par un ensemble de machines compromises agissant comme des reverse proxy.^[1] L'internaute faisant une demande de résolution de l'IP d'un nom de domaine passera via un proxy et lui cachera donc l'adresse du "mothership". Toutefois, cette technique a ces limites puisqu'il suffit alors de couper le serveur DNS résolvant le nom de domaine pour que le "mothership" ne soit pas du tout accessible.

Fast-flux double

La technique du fast-flux double correspond à la dissimulation de l'IP du "mothership" par un ensemble de machines compromises agissant comme des reverse proxy ainsi qu'à la redirection des requêtes effectuées au serveur DNS vers le "mothership". Si le serveur DNS est également maitrisé et que le registar du nom de domaine permet le changement aisé du NS gérant le nom de domaine, il devient alors beaucoup plus compliqué de couper accès et au DNS et au "mothership". ^[2]

Position de l'ICANN

Via un rapport publié en mars 2008 par le "Security and stability Advisory Committee" (SSAC), l'ICANN émet la recommandation suivante :

« SSAC encourages ICANN, registries and registrars to consider the practices mentioned in this Advisory, to establish best practices to mitigate fast flux hosting, and to consider whether such practices should be addressed in future agreements. »

Soit :

« SSAC encourage l'ICANN et les registars à examiner les pratiques évoquées dans ce rapport de recommandation, pour établir les meilleures pratiques en vue d'atténuer les effets de l'hébergement de Fast Flux, et d'examiner si de telles pratiques devraient être traitées dans les accords futurs.^[3] »

Références