Suplantación y ataques de intermediario

El spoofing consiste en falsificar una identidad para engañar a un sistema o a una persona. El atacante se hace pasar por una fuente de confianza, como una dirección IP o MAC conocida, un remitente de correo electrónico o un sitio web, para obtener acceso o interceptar tráfico.

El spoofing sustenta muchos ataques de red. Si un dispositivo confía ciegamente en una dirección, falsificarla permite al atacante eludir las defensas o redirigir el tráfico.

El spoofing de IP falsifica la dirección IP de origen de un paquete para que parezca proceder de un host de confianza. Los atacantes lo utilizan para eludir filtros basados en IP, ocultar su origen o amplificar ataques DoS haciendo que los servidores respondan a una víctima.

Como el protocolo IP básico no verifica el origen, el spoofing resulta sencillo. Entre las defensas se encuentran los filtros de entrada y salida, que descartan paquetes con direcciones de origen claramente falsificadas.

El spoofing de MAC cambia la dirección de hardware (Media Access Control) de un dispositivo para suplantar a otro. Los atacantes lo utilizan para eludir controles de acceso basados en MAC o para apoderarse de la identidad de confianza de un dispositivo en una LAN.

Como las direcciones MAC pueden cambiarse mediante software, confiar únicamente en ellas ofrece una seguridad débil. La seguridad de puertos en los switches ayuda al limitar qué direcciones MAC se permiten en cada puerto.

Un ataque en ruta (antes llamado man-in-the-middle) coloca al atacante en secreto entre dos partes que se están comunicando. El atacante retransmite y posiblemente altera los mensajes mientras ambas partes creen estar comunicándose directamente entre sí.

Desde esta posición, el atacante puede leer datos confidenciales, robar credenciales o modificar el contenido durante el tránsito, vulnerando a la vez la confidencialidad y la integridad.

Una forma habitual de situarse en ruta dentro de una LAN es el envenenamiento de ARP. ARP (Address Resolution Protocol) relaciona las direcciones IP con las direcciones MAC y confía ciegamente en las respuestas.

El atacante envía respuestas ARP falsas afirmando que su dirección MAC corresponde a la IP de la puerta de enlace. Así, las víctimas envían su tráfico al atacante, que lo reenvía. De este modo, todo el tráfico de una LAN pasa silenciosamente por el equipo del atacante.

El spoofing de DNS (envenenamiento de caché DNS) proporciona registros falsos a un resolvedor para que un nombre de dominio se resuelva en el servidor del atacante. Un usuario que escribe una dirección web legítima es enviado silenciosamente a un sitio falso.

Esto permite robar credenciales y distribuir malware. Entre las defensas se encuentra DNSSEC (DNS Security Extensions), que añade firmas digitales para que los resolvedores puedan verificar que los registros son auténticos.

Los atacantes pueden instalar un punto de acceso no autorizado o un evil twin: una red Wi-Fi falsa que imita a una legítima. Los usuarios se conectan a ella y todo su tráfico pasa por el atacante, lo que constituye un ataque en ruta mediante infraestructura falsa.

Un servidor DHCP no autorizado funciona de forma similar: distribuye una dirección de puerta de enlace o DNS maliciosa, de modo que las víctimas enrutan el tráfico a través del atacante sin saberlo.

La defensa más sólida contra los ataques en ruta es el cifrado. Aunque un atacante se sitúe entre dos partes, el tráfico cifrado (HTTPS, VPN, SSH) resulta ilegible y permite detectar manipulaciones.

Por eso es importante utilizar HTTPS en todas partes: un atacante en ruta conectado a una red Wi-Fi abierta puede interceptar el tráfico, pero el cifrado TLS hace que solo capture datos ilegibles e inútiles que no puede leer ni modificar de forma segura.

Entre los indicios de spoofing y ataques en ruta se encuentran advertencias inesperadas sobre certificados, cambios repentinos en la tabla ARP, alertas por direcciones IP o MAC duplicadas y rutas inusuales del tráfico. La supervisión de red y la detección de intrusiones pueden señalar anomalías de ARP y dispositivos no autorizados.

Los usuarios deben prestar atención a las advertencias de seguridad del navegador, que a menudo son la única señal visible de que alguien está interceptando su conexión.

Ningún control individual detiene todo el spoofing. Combine varias medidas: inspección dinámica de ARP y DHCP snooping en los switches, seguridad de puertos, filtrado de paquetes contra direcciones de origen falsificadas, DNSSEC y cifrado generalizado.

En conjunto, estas medidas dificultan mucho la suplantación y garantizan que, incluso si la interceptación tiene éxito, el atacante obtenga datos que no puede leer, frustrando el objetivo del ataque.

El spoofing falsifica identidades IP, MAC, DNS o de dispositivos, mientras que los ataques en ruta introducen a un atacante entre dos partes para leer o modificar el tráfico. Técnicas como el envenenamiento de ARP, el spoofing de DNS y los puntos de acceso no autorizados los hacen posibles. El cifrado, DNSSEC, la inspección dinámica de ARP, DHCP snooping y la seguridad de puertos son las defensas por capas que los detienen.

Ponga a prueba sus conocimientos sobre ataques.

El spoofing falsifica una identidad (IP, MAC, DNS o de un dispositivo), mientras que un ataque en ruta introduce en secreto al atacante entre dos partes. El envenenamiento de ARP, el spoofing de DNS y los puntos de acceso no autorizados permiten conseguirlo. Las defensas combinan cifrado, DNSSEC, inspección dinámica de ARP, DHCP snooping y seguridad de puertos.