RSSIL 2012 - Attaques par complexité et complexité des attaques

Par Robert ERRA
« An algorithmic complexity attack is a form of computer attack that exploits known cases in which an algorithm used in a piece of software will exhibit worst case behavior. This type of attack can be used to achieve a denial-of-service." (wikipedia)
Ces attaques sont en fait très peu étudiées bien que quelquefois dévastatrices. Au récent CCC des attaques de ce type ont été présentées sur les fonctions de hash de certains langages, mais ces attaques peuvent aussi être effectuées sans qu'il y ait de « hash ».
Le plus intéressant et dramatique c'est qu'elles peuvent être réalisées à priori à chacun des quatre niveaux du modèle TCP/IP : Application, Transport, Internet, Accès réseau.
Après un tour d'horizon, et une suite d'exemples, nous nous proposons de présenter une méthodologie (ou un début) permettant de les identifier et de les contrer tant que faire se peut.