Spoofing e attacchi on-path

Lo spoofing consiste nel falsificare un’identità per ingannare un sistema o una persona. Un attaccante finge di essere una fonte attendibile, ad esempio un indirizzo IP, un indirizzo MAC, un mittente email o un sito web conosciuto, per ottenere l’accesso o intercettare il traffico.

Lo spoofing è alla base di molti attacchi di rete. Se un dispositivo considera attendibile un indirizzo senza verificarlo, falsificarlo consente all’attaccante di eludere le difese o reindirizzare il traffico.

Lo spoofing IP falsifica l’indirizzo IP sorgente di un pacchetto, facendolo sembrare proveniente da un host attendibile. Gli attaccanti lo usano per eludere i filtri basati sugli indirizzi IP, nascondere la propria origine o amplificare gli attacchi DoS inducendo i server a rispondere a una vittima.

Poiché il protocollo IP di base non verifica la sorgente, lo spoofing è facile da realizzare. Le difese includono il filtraggio in ingresso e in uscita, che scarta i pacchetti con indirizzi sorgente chiaramente falsificati.

Lo spoofing MAC modifica l’indirizzo hardware (Media Access Control) di un dispositivo per impersonarne un altro. Gli attaccanti lo usano per eludere i controlli di accesso basati sul MAC o per assumere l’identità di un dispositivo attendibile in una LAN.

Poiché gli indirizzi MAC possono essere modificati tramite software, affidarsi solo a essi per la sicurezza è poco efficace. La sicurezza delle porte sugli switch aiuta limitando gli indirizzi MAC consentiti per ciascuna porta.

Un attacco on-path (precedentemente chiamato man-in-the-middle) colloca segretamente l’attaccante tra due parti che comunicano. L’attaccante inoltra e può modificare i messaggi, mentre entrambe le parti credono di comunicare direttamente tra loro.

Da questa posizione l’attaccante può leggere dati riservati, sottrarre credenziali o modificare i contenuti durante il trasferimento, compromettendo contemporaneamente la riservatezza e l’integrità.

Un modo comune per realizzare un attacco on-path in una LAN è il ARP poisoning. ARP (Address Resolution Protocol) associa gli indirizzi IP agli indirizzi MAC e considera attendibili le risposte senza verificarle.

L’attaccante invia risposte ARP contraffatte dichiarando che il proprio MAC corrisponde all’indirizzo IP del gateway. In questo modo le vittime inviano il traffico all’attaccante, che lo inoltra. Il traffico dell’intera LAN viene così instradato silenziosamente attraverso il computer dell’attaccante.

Lo spoofing DNS (avvelenamento della cache DNS) fornisce a un resolver record falsi, in modo che un nome di dominio venga risolto nell’indirizzo di un server dell’attaccante. Un utente che digita un indirizzo web legittimo viene reindirizzato silenziosamente a un sito falso.

Questo consente di sottrarre credenziali e distribuire malware. Tra le difese rientra DNSSEC (DNS Security Extensions), che aggiunge firme digitali affinché i resolver possano verificare l’autenticità dei record.

Gli attaccanti possono installare un access point abusivo o un evil twin: una rete Wi-Fi falsa che imita una rete legittima. Gli utenti vi si connettono e tutto il loro traffico passa attraverso l’attaccante, realizzando un attacco on-path tramite un’infrastruttura contraffatta.

Un server DHCP abusivo funziona in modo analogo: assegna un gateway o un indirizzo DNS dannoso, così le vittime instradano inconsapevolmente il traffico attraverso l’attaccante.

La difesa più efficace contro gli attacchi on-path è la cifratura. Anche se un attaccante si trova tra due parti, il traffico cifrato (HTTPS, VPN, SSH) non è leggibile e rende evidenti le manomissioni.

Ecco perché è importante usare HTTPS ovunque: un attaccante on-path su una rete Wi-Fi aperta può intercettare il traffico, ma la cifratura TLS fa sì che acquisisca solo dati incomprensibili e inutili, che non può leggere né modificare in modo sicuro.

Tra i segnali di spoofing e degli attacchi on-path vi sono avvisi imprevisti relativi ai certificati, cambiamenti improvvisi nella tabella ARP, avvisi relativi a indirizzi IP o MAC duplicati e percorsi anomali del traffico. Il monitoraggio della rete e i sistemi di rilevamento delle intrusioni possono segnalare anomalie ARP e dispositivi abusivi.

Gli utenti dovrebbero prestare attenzione agli avvisi di sicurezza del browser, che spesso sono l’unico segnale visibile dell’intercettazione della connessione.

Nessun singolo controllo blocca ogni forma di spoofing. È necessario combinarne diversi: dynamic ARP inspection e DHCP snooping sugli switch, sicurezza delle porte, filtraggio dei pacchetti contro gli indirizzi sorgente falsificati, DNSSEC e cifratura pervasiva.

Insieme, queste misure rendono molto più difficile l’impersonificazione e garantiscono che, anche in caso di intercettazione riuscita, l’attaccante non possa leggere i dati, vanificando lo scopo dell’attacco.

Lo spoofing falsifica le identità IP, MAC, DNS o dei dispositivi, mentre gli attacchi on-path inseriscono un attaccante tra due parti per leggere o modificare il traffico. Tecniche come l’avvelenamento ARP, lo spoofing DNS e gli access point abusivi li rendono possibili. La cifratura, DNSSEC, la dynamic ARP inspection, il DHCP snooping e la sicurezza delle porte costituiscono le difese a più livelli che li bloccano.

Verifichi le Sue conoscenze sugli attacchi.

Lo spoofing falsifica un’identità (IP, MAC, DNS o dispositivo), mentre un attacco on-path inserisce segretamente l’attaccante tra due parti. L’avvelenamento ARP, lo spoofing DNS e gli access point abusivi realizzano questo obiettivo. Le difese combinano cifratura, DNSSEC, dynamic ARP inspection, DHCP snooping e sicurezza delle porte.