Arp Spoofing

Vo všeobecnosti je cieľom priradiť MAC adresu útočníka k IP adrese iného hostiteľa, napríklad k predvolenej bráne, čo spôsobí, že akákoľvek prevádzka určená pre túto adresu IP sa namiesto toho odošle útočníkovi.

Podvrhnutie adresy cez protokol ARP môže útočníkovi umožniť zachytiť dátové rámce v sieti, modifikovať prevádzku alebo zastaviť celú prevádzku. Často sa útok používa ako začiatok pre ďalšie útoky.

Útok je možné použiť len v sieťach, ktoré používajú ARP, a vyžaduje, aby mal útočník priamy prístup k sieťovému segmentu siete, na ktorý má byť útok vedený, teda aby bol priamo pripojený v sieti, kde sú zariadenia, na ktoré chce útočiť. Z tohto dôvodu by mali administrátori siete na sieťových prepínačoch vypnúť nepoužívané porty.

Protokol ARP (Address Resolution Protocol) je široko používaný komunikačný protokol na prekladanie adries internetovej vrstvy (IP) na adresy linkovej vrstvy (MAC).

Keď sa datagram internetového protokolu (IP) posiela z jedného hostiteľa na druhého v lokálnej sieti, cieľová adresa IP sa musí preložiť na adresu MAC na prenos cez datalinkovú vrstvu (prostredníctvom sieťových prepínačov - switchov). Keď je známa IP adresa iného hostiteľa a je potrebná jeho MAC adresa, v miestnej sieti sa odošle broadcastová správa známa ako požiadavka ARP (ARP request). Cieľový počítač so známou IP adresou v požiadavke ARP potom odpovie ARP odpoveďou (ARP response), ktorá obsahuje adresu MAC pre túto adresu IP.

ARP je bezstavový protokol. Sieťové zariadenia automaticky ukladajú do vyrovnávacej pamäte všetky prijaté odpovede ARP bez ohľadu na to, či si ich sieťové hostiteľské počítače vyžiadali. Dokonca aj záznamy ARP, ktorých platnosť ešte neuplynula, sa prepíšu, keď sa prijme nový paket s ARP odpoveďou. V protokole ARP neexistuje metóda, pomocou ktorej by hostiteľ mohol overiť zariadenie, od ktorého paket pochádza. Toto správanie má svoje legitímne použitie v sieti (pozri ďalej), ale dá sa zneužiť aj ako zraniteľnosť na už spomínaný útok ARP spoofing.

Základným princípom spoofingu ARP je zneužitie nedostatočného overovania zdroja správ v protokole ARP odoslaním podvrhnutého (spoofed) ARP rámca do siete LAN. Takýto nevyžiadaný rámec sa v odbornej literatúre označuje ako Gratuitous ARP. Útok ARP spoofing možno spustiť z napadnutého hostiteľa v sieti LAN alebo z počítača útočníka, ktorý je pripojený priamo k cieľovej sieti LAN.

Útočník používajúci ARP spoofing sa pri prenose dát v sieti medzi používateľmi zamaskuje za jedno zo zariadení. Ak používatelia na sieti nemajú nainštalované žiadne notifikačné alebo bezpečnostné mechanizmy, nebudú vedieť, že útočník nie je skutočným zariadením v sieti.

Vo všeobecnosti je cieľom útoku priradiť adresu MAC počítača útočníka k IP adrese obete, takže akákoľvek prevádzka určená pre cieľového hostiteľa (obeť) bude odoslaná na počítač útočníka. Útočník sa môže rozhodnúť kontrolovať pakety (špehovanie), pričom môže presmerovať prevádzku na skutočný predvolený cieľ, aby sa vyhol odhaleniu, upraviť údaje pred ich presmerovaním (útok man-in-the-middle) alebo spustiť útok na odmietnutie služby (DoS) tým, že spôsobí zahodenie niektorých alebo všetkých paketov v sieti.

Statické položky ARP

Najjednoduchšou formou obrany je použitie statických ARP záznamov pre kritické služby (predvolená brána, servery, tlačiarne), pričom tieto statické záznamy budú dostupné len na čítanie v pamäti ARP hostiteľa. Mapovanie adries IP na adresy MAC v miestnej vyrovnávacej pamäti ARP (ARP cache) sa môže zadávať staticky. Hostitelia nemusia odosielať požiadavky ARP, ak takéto záznamy existujú. Statické záznamy síce poskytujú určitú bezpečnosť proti falšovaniu, ale ich výsledkom sú nároky na údržbu, pretože statické mapovanie adries pre všetky systémy v sieti sa musí najprv vygenerovať a potom distribuovať. To sa vo veľkej sieti veľmi zle škáluje, pretože mapovanie sa musí nastaviť pre každú dvojicu strojov, čo vedie k ${\displaystyle n^{2}-n}$  záznamom ARP, ktoré sa musia konfigurovať, kde n je počet zariadení v sieti. Na každom stroji musí byť záznam ARP pre každý iný stroj v sieti; n-1 záznamov ARP na každom z n strojov.

Softvér na detekciu a prevenciu

Softvér, ktorý zisťuje podvrhnutie protokolu ARP, sa vo všeobecnosti spolieha na určitú formu overovania alebo krížovej kontroly odpovedí ARP. Neoverené odpovede ARP sú potom blokované. Tieto techniky môžu byť prepojené so serverom DHCP, aby sa overovali dynamické aj statické adresy IP. Táto schopnosť môže byť implementovaná v jednotlivých koncových zariadeniach alebo môže byť integrovaná do ethernetových prepínačov alebo iných sieťových zariadení. Existencia viacerých adries IP priradených k jednej adrese MAC môže naznačovať útok podvrhnutím ARP, hoci existuje legitímne použitie takejto konfigurácie. Pri pasívnejšom prístupe zariadenie počúva odpovede ARP v sieti a pri zmene položky ARP odošle oznámenie prostredníctvom e-mailu.

Softvér xARP poskytuje možnú ochranu aj prevenciu pred falšovaním v prostredí systému Windows. ArpStar je linuxový modul pre jadro 2.6 a smerovače Linksys, ktorý zahadzuje neplatné ARP pakety, ktoré porušujú mapovanie a obsahuje možnosť vyliečenia.

Niektoré virtualizované prostredia, ako napríklad KVM, tiež poskytujú bezpečnostné mechanizmy na zabránenie falšovania MAC medzi hosťami bežiacimi na tom istom hostiteľovi.

Okrem toho niektoré ethernetové adaptéry poskytujú funkcie proti spoofingu MAC a VLAN.

OpenBSD pasívne sleduje hostiteľov vydávajúcich sa za miestneho hostiteľa a v prípade akéhokoľvek pokusu o prepísanie trvalého záznamu zobrazí upozornenie.

Zabezpečenie operačného systému

Operačné systémy reagujú rôzne:

• Linux ignoruje nevyžiadané odpovede, ale na druhej strane používa odpovede na požiadavky z iných počítačov na aktualizáciu svojej vyrovnávacej pamäte

• Solaris prijíma aktualizácie záznamov až po uplynutí časového limitu

• V systéme Microsoft Windows možno správanie vyrovnávacej pamäte ARP konfigurovať prostredníctvom niekoľkých položiek registra v časti HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters, ArpCacheLife, ArpCacheMinReferenceLife, ArpUseEtherSNAP, ArpTRSingleRoute, ArpAlwaysSourceRoute, ArpRetryCount

Techniky, ktoré sa používajú pri podvrhovaní ARP, možno použiť aj na implementáciu redundancie sieťových služieb. V sieti existujú protokoly, ktoré umožňujú fungovanie serverových alebo smerovačových clusterov - tzv. stand-by protokoly. V tomto prípade medzi sebou komunikuje hlavný a záložný server a navzájom sa kontrolujú, či sú funkčné. Ak záložný server zistí, že hlavný server prestal reagovať, odošle do siete nevyžiadanú ARP odpoveď, v ktorej oznámi všetkým zariadeniam, že on prebral úlohu hlavného servera. Takto zabezpečí aby si všetky zariadenia v sieti k IP adrese, ktorú používal hlavný server, nastavili novú MAC adresu a tým pádom presmeruje všetku potrebnú sieťovú prevádzku na seba. Takto môže fungovať aj systém pre záložnú predvolenú bránu v sieti, len v tom prípade nebudeme rozprávať o serveroch ale o smerovačoch. Protokoly na redundanciu predvolenej brány sa označujú ako First Hop Redundancy Protocols (FHRP) a konkrétnymi implementáciami sú napríklad protokoly Hot Standby Routing Protocol (HSRP) od spoločnosti Cisco, prípadne otvorený štandard realizovaný cez protokol Virtual Router Redundancy Protocol (VRRP).

Vývojári často používajú ARP spoofing na ladenie IP prevádzky medzi dvoma hostiteľmi, keď sa používa prepínač: ak hostiteľ A a hostiteľ B komunikujú cez ethernetový prepínač, ich prevádzka by za normálnych okolností bola neviditeľná pre tretieho monitorujúceho hostiteľa M. Vývojár nakonfiguruje A, aby mal MAC adresu M pre B, a B, aby mal MAC adresu M pre A; a tiež nakonfiguruje M na preposielanie paketov. M teraz môže monitorovať prevádzku presne ako pri útoku man-in-the-middle.

Obrana

Spoofing

Niektoré z nástrojov, ktoré umožňujú vykonanie útokov ARP spoofing:

• Arpspoof (part of the DSniff suite of tools)
• Arpoison
• Subterfuge
• Ettercap
• Seringe
• ARP-FILLUP -V0.1
• arp-sk -v0.0.15
• ARPOc -v1.13
• arpalert -v0.3.2
• arping -v2.04
• arpmitm -v0.2
• Simsang
• zANTI -v2
• elmoCut
• NetSec Framework -v1
• Minary
• NetCut (Má tiež funkciu obrany)
• ARPpySHEAR

• Cache poisoning
• DNS spoofing
• IP address spoofing
• MAC spoofing
• Proxy ARP

Tento článok je čiastočný alebo úplný preklad článku ARP_spoofing na anglickej Wikipédii (číslo revízie nebolo určené).