Spoofing und On-Path-Angriffe

Spoofing bedeutet, eine Identität zu fälschen, um ein System oder eine Person zu täuschen. Ein Angreifer gibt sich als vertrauenswürdige Quelle aus, etwa als bekannte IP-Adresse, MAC-Adresse, E-Mail-Absender oder Website, um Zugriff zu erhalten oder Datenverkehr abzufangen.

Spoofing liegt vielen Netzwerkangriffen zugrunde. Wenn ein Gerät einer Adresse blind vertraut, kann der Angreifer diese Adresse fälschen, Schutzmaßnahmen umgehen oder Datenverkehr umleiten.

IP-Spoofing fälscht die Quell-IP-Adresse eines Pakets, sodass es scheinbar von einem vertrauenswürdigen Host stammt. Angreifer nutzen dies, um IP-basierte Filter zu umgehen, ihre Herkunft zu verschleiern oder DoS-Angriffe zu verstärken, indem sie Server dazu bringen, einem Opfer zu antworten.

Da das grundlegende IP-Protokoll die Quelle nicht überprüft, ist Spoofing einfach. Zu den Schutzmaßnahmen gehören Ingress- und Egress-Filtering, bei dem Pakete mit offensichtlich gefälschten Quelladressen verworfen werden.

MAC-Spoofing ändert die Hardwareadresse (Media Access Control) eines Geräts, um sich als ein anderes Gerät auszugeben. Angreifer nutzen dies, um MAC-basierte Zugriffskontrollen zu umgehen oder die Identität eines vertrauenswürdigen Geräts in einem LAN zu übernehmen.

Da sich MAC-Adressen per Software ändern lassen, ist es unsicher, sich allein auf sie zu verlassen. Port-Sicherheit auf Switches hilft, indem sie die zulässigen MAC-Adressen pro Port begrenzt.

Bei einem On-Path-Angriff (früher Man-in-the-Middle-Angriff genannt) platziert sich der Angreifer heimlich zwischen zwei kommunizierenden Parteien. Er leitet Nachrichten weiter und kann sie möglicherweise verändern, während beide Seiten glauben, direkt miteinander zu kommunizieren.

Aus dieser Position kann der Angreifer vertrauliche Daten lesen, Zugangsdaten stehlen oder Inhalte während der Übertragung verändern und damit Vertraulichkeit und Integrität gleichzeitig verletzen.

Eine verbreitete Möglichkeit, in einem LAN eine On-Path-Position einzunehmen, ist ARP-Poisoning. ARP (Address Resolution Protocol) ordnet IP-Adressen MAC-Adressen zu und vertraut den Antworten blind.

Der Angreifer sendet gefälschte ARP-Antworten und behauptet, seine MAC-Adresse gehöre zur Gateway-IP-Adresse. Dadurch senden Opfer ihren Datenverkehr an den Angreifer, der ihn weiterleitet. So wird der Datenverkehr eines gesamten LANs unbemerkt über den Rechner des Angreifers geleitet.

DNS-Spoofing (DNS-Cache-Poisoning) versorgt einen Resolver mit gefälschten Einträgen, sodass ein Domainname zu einem Server des Angreifers aufgelöst wird. Gibt eine Person eine legitime Webadresse ein, wird sie unbemerkt auf eine gefälschte Website geleitet.

Dadurch können Zugangsdaten gestohlen und Schadsoftware verbreitet werden. Zu den Schutzmaßnahmen gehört DNSSEC (DNS Security Extensions). Dabei werden digitale Signaturen hinzugefügt, mit denen Resolver die Echtheit von Einträgen überprüfen können.

Angreifer können einen nicht autorisierten Access Point oder einen evil twin platzieren: ein gefälschtes WLAN, das ein legitimes Netzwerk nachahmt. Benutzer verbinden sich damit, und ihr gesamter Datenverkehr läuft über den Angreifer – ein On-Path-Angriff über eine gefälschte Infrastruktur.

Ein nicht autorisierter DHCP-Server funktioniert ähnlich. Er verteilt eine manipulierte Gateway- oder DNS-Adresse, sodass Opfer ihren Datenverkehr unwissentlich über den Angreifer leiten.

Die stärkste Schutzmaßnahme gegen On-Path-Angriffe ist Verschlüsselung. Selbst wenn ein Angreifer zwischen zwei Parteien sitzt, ist verschlüsselter Datenverkehr (HTTPS, VPN, SSH) nicht lesbar und Manipulationen sind erkennbar.

Deshalb ist HTTPS überall so wichtig: Ein On-Path-Angreifer in einem offenen WLAN kann den Datenverkehr abfangen, aber durch die TLS-Verschlüsselung erhält er nur unleserliche, nutzlose Daten, die er weder lesen noch sicher verändern kann.

Anzeichen für Spoofing und On-Path-Angriffe sind unerwartete Zertifikatswarnungen, plötzliche Änderungen an der ARP-Tabelle, Warnungen über doppelte IP- oder MAC-Adressen sowie ungewöhnliche Datenverkehrswege. Netzwerküberwachung und Intrusion Detection können ARP-Anomalien und nicht autorisierte Geräte erkennen.

Benutzer sollten Sicherheitswarnungen des Browsers beachten. Sie sind häufig das einzige sichtbare Anzeichen dafür, dass jemand ihre Verbindung abfängt.

Keine einzelne Maßnahme verhindert jedes Spoofing. Kombinieren Sie mehrere Maßnahmen: Dynamic ARP Inspection und DHCP Snooping auf Switches, Port-Sicherheit, Paketfilter gegen gefälschte Quelladressen, DNSSEC und durchgängige Verschlüsselung.

Zusammen erschweren diese Maßnahmen die Identitätsvortäuschung erheblich und sorgen dafür, dass ein erfolgreicher Abfangversuch nur Daten liefert, die der Angreifer nicht lesen kann. Damit wird der Zweck des Angriffs vereitelt.

Spoofing fälscht IP-, MAC-, DNS- oder Geräteidentitäten. On-Path-Angriffe platzieren einen Angreifer zwischen zwei Parteien, um Datenverkehr zu lesen oder zu verändern. Techniken wie ARP-Poisoning, DNS-Spoofing und nicht autorisierte Access Points ermöglichen solche Angriffe. Verschlüsselung, DNSSEC, Dynamic ARP Inspection, DHCP Snooping und Port-Sicherheit bilden die mehrschichtigen Schutzmaßnahmen, die sie verhindern.

Testen Sie Ihr Wissen über Angriffe.

Spoofing fälscht eine Identität (IP, MAC, DNS oder Gerät), während ein On-Path-Angriff den Angreifer heimlich zwischen zwei Parteien platziert. ARP-Poisoning, DNS-Spoofing und nicht autorisierte Access Points ermöglichen dies. Die Schutzmaßnahmen kombinieren Verschlüsselung, DNSSEC, Dynamic ARP Inspection, DHCP Snooping und Port-Sicherheit.