Podszywanie się i ataki typu on-path

Spoofing polega na podszywaniu się pod inną tożsamość w celu oszukania systemu lub osoby. Atakujący udaje zaufane źródło, takie jak znany adres IP, adres MAC, nadawca wiadomości e-mail lub witryna internetowa, aby uzyskać dostęp albo przechwycić ruch.

Spoofing leży u podstaw wielu ataków sieciowych. Jeśli urządzenie bezkrytycznie ufa adresowi, jego sfałszowanie pozwala atakującemu ominąć zabezpieczenia lub przekierować ruch.

Podszywanie się pod adres IP polega na sfałszowaniu źródłowego adresu IP w pakiecie, aby wyglądało na to, że pochodzi on z zaufanego hosta. Atakujący wykorzystują tę technikę do omijania filtrów opartych na adresach IP, ukrywania swojego źródła lub wzmacniania ataków DoS przez nakłanianie serwerów do odpowiadania ofierze.

Ponieważ podstawowy protokół IP nie weryfikuje źródła, spoofing jest łatwy. Zabezpieczenia obejmują filtrowanie ruchu przychodzącego i wychodzącego, które odrzuca pakiety z wyraźnie sfałszowanymi adresami źródłowymi.

Podszywanie się pod adres MAC polega na zmianie sprzętowego adresu urządzenia (Media Access Control) w celu podszycia się pod inne urządzenie. Atakujący wykorzystują tę technikę do omijania mechanizmów kontroli dostępu opartych na adresach MAC lub przejęcia tożsamości zaufanego urządzenia w sieci LAN.

Ponieważ adresy MAC można zmieniać programowo, samo poleganie na nich zapewnia słabe zabezpieczenia. Funkcja port security na przełącznikach pomaga, ograniczając listę adresów MAC dozwolonych na poszczególnych portach.

Atak typu on-path (wcześniej nazywany atakiem man-in-the-middle) polega na potajemnym umieszczeniu atakującego między dwiema komunikującymi się stronami. Atakujący przekazuje dalej wiadomości i może je modyfikować, podczas gdy obie strony sądzą, że komunikują się bezpośrednio ze sobą.

Z takiej pozycji atakujący może odczytywać poufne dane, kraść dane uwierzytelniające lub modyfikować treść podczas przesyłania, jednocześnie naruszając poufność i integralność.

Popularnym sposobem przeprowadzenia ataku typu on-path w sieci LAN jest zatrucie ARP. Protokół ARP (Address Resolution Protocol) odwzorowuje adresy IP na adresy MAC i bezkrytycznie ufa odpowiedziom.

Atakujący wysyła fałszywe odpowiedzi ARP, twierdząc, że jego adres MAC należy do adresu IP bramy. W rezultacie ofiary wysyłają ruch do atakującego, który przekazuje go dalej. W ten sposób cały ruch w sieci LAN zostaje po cichu skierowany przez komputer atakującego.

Podszywanie się pod DNS (zatrucie pamięci podręcznej DNS) polega na dostarczeniu resolverowi fałszywych rekordów, aby nazwa domeny wskazywała serwer atakującego. Użytkownik, który wpisuje prawidłowy adres internetowy, zostaje po cichu przekierowany do fałszywej witryny.

Umożliwia to kradzież danych uwierzytelniających i rozpowszechnianie złośliwego oprogramowania. Zabezpieczenia obejmują DNSSEC (DNS Security Extensions), które dodaje podpisy cyfrowe, dzięki czemu resolvery mogą sprawdzać autentyczność rekordów.

Atakujący mogą umieścić nieautoryzowany punkt dostępu lub utworzyć evil twin: fałszywą sieć Wi-Fi naśladującą prawidłową sieć. Użytkownicy łączą się z nią, a cały ich ruch przechodzi przez atakującego. Jest to atak typu on-path z wykorzystaniem fałszywej infrastruktury.

Nieautoryzowany serwer DHCP działa podobnie, przydzielając złośliwy adres bramy lub DNS, przez co ofiary nieświadomie kierują ruch przez atakującego.

Najskuteczniejszą ochroną przed atakami typu on-path jest szyfrowanie. Nawet jeśli atakujący znajduje się między dwiema stronami, zaszyfrowany ruch (HTTPS, VPN, SSH) jest nieczytelny, a próby jego modyfikacji można wykryć.

Dlatego HTTPS wszędzie ma znaczenie: atakujący typu on-path w otwartej sieci Wi-Fi może przechwycić ruch, ale szyfrowanie TLS sprawia, że przechwytuje jedynie zaszyfrowane, bezużyteczne dane, których nie może odczytać ani bezpiecznie zmodyfikować.

Oznaki spoofingu i ataków typu on-path obejmują nieoczekiwane ostrzeżenia dotyczące certyfikatów, nagłe zmiany w tabeli ARP, alerty o zduplikowanych adresach IP lub MAC oraz nietypowe trasy ruchu. Monitorowanie sieci i systemy wykrywania włamań mogą sygnalizować anomalie ARP oraz nieautoryzowane urządzenia.

Użytkownicy powinni zwracać uwagę na ostrzeżenia bezpieczeństwa przeglądarki, które często są jedynym widocznym sygnałem, że ktoś przechwytuje ich połączenie.

Żaden pojedynczy mechanizm kontroli nie powstrzyma każdego przypadku spoofingu. Należy połączyć kilka zabezpieczeń: dynamiczną inspekcję ARP i nasłuchiwanie DHCP na przełącznikach, port security, filtrowanie pakietów pod kątem sfałszowanych adresów źródłowych, DNSSEC oraz powszechne szyfrowanie.

Razem znacznie utrudniają one podszywanie się i sprawiają, że nawet udane przechwycenie ujawnia dane, których atakujący nie może odczytać, niwecząc cel ataku.

Spoofing polega na fałszowaniu tożsamości IP, MAC, DNS lub urządzenia, a ataki typu on-path umieszczają atakującego między dwiema stronami, aby mógł odczytywać lub modyfikować ruch. Umożliwiają je techniki takie jak zatrucie ARP, podszywanie się pod DNS i nieautoryzowane punkty dostępu. Szyfrowanie, DNSSEC, dynamiczna inspekcja ARP, nasłuchiwanie DHCP i port security to warstwowe zabezpieczenia, które powstrzymują te ataki.

Sprawdź swoją wiedzę o atakach.

Spoofing polega na fałszowaniu tożsamości (IP, MAC, DNS lub urządzenia), natomiast atak typu on-path potajemnie umieszcza atakującego między dwiema stronami. Służą do tego zatrucie ARP, podszywanie się pod DNS i nieautoryzowane punkty dostępu. Zabezpieczenia łączą szyfrowanie, DNSSEC, dynamiczną inspekcję ARP, nasłuchiwanie DHCP i port security.