Falsificação e Ataques no Caminho

Falsificação de identidade é forjar uma identidade para enganar um sistema ou uma pessoa. Um atacante finge ser uma fonte confiável, como um endereço IP conhecido, um endereço MAC, um remetente de e-mail ou um site, para obter acesso ou interceptar tráfego.

A falsificação de identidade está na base de muitos ataques de rede. Se um dispositivo confia cegamente em um endereço, forjá-lo permite que o atacante passe pelas defesas ou redirecione o tráfego.

A falsificação de IP forja o endereço IP de origem em um pacote para que ele pareça vir de um equipamento confiável. Os atacantes usam essa técnica para contornar filtros baseados em IP, ocultar sua origem ou ampliar ataques de DoS, fazendo os servidores responderem a uma vítima.

Como o IP básico não verifica a origem, a falsificação é fácil. As defesas incluem filtragem de entrada e de saída, que descarta pacotes com endereços de origem claramente forjados.

A falsificação de MAC altera o endereço de hardware de um dispositivo (Media Access Control, ou controle de acesso ao meio) para se passar por outro dispositivo. Os atacantes usam essa técnica para contornar controles de acesso baseados em MAC ou assumir a identidade de um dispositivo confiável em uma LAN.

Como os endereços MAC podem ser alterados por software, depender apenas deles para garantir a segurança é insuficiente. A segurança de portas em switches ajuda ao limitar quais endereços MAC são permitidos em cada porta.

Um ataque no caminho (antes chamado de ataque de intermediário) coloca secretamente o atacante entre duas partes que se comunicam. O atacante retransmite e possivelmente altera as mensagens, enquanto ambos os lados acreditam estar se comunicando diretamente.

A partir dessa posição, o atacante pode ler dados confidenciais, roubar credenciais ou modificar o conteúdo durante o trânsito, comprometendo a confidencialidade e a integridade ao mesmo tempo.

Uma forma comum de realizar um ataque no caminho em uma LAN é o envenenamento de ARP. O ARP (Address Resolution Protocol, ou protocolo de resolução de endereços) associa endereços IP a endereços MAC e confia cegamente nas respostas.

O atacante envia respostas ARP falsas, afirmando que seu MAC corresponde ao IP do gateway. Assim, as vítimas enviam o tráfego ao atacante, que o encaminha. Isso roteia silenciosamente todo o tráfego de uma LAN pela máquina do atacante.

A falsificação de DNS (envenenamento do cache de DNS) fornece registros falsos a um resolvedor, fazendo um nome de domínio apontar para um servidor do atacante. Um usuário que digita um endereço legítimo da web é enviado silenciosamente para um site falso.

Isso permite roubar credenciais e distribuir malware. As defesas incluem o DNSSEC (DNS Security Extensions), que adiciona assinaturas digitais para que os resolvedores possam verificar se os registros são autênticos.

Os atacantes podem instalar um ponto de acesso mal-intencionado ou um clone malicioso: uma rede Wi-Fi falsa que imita uma rede legítima. Os usuários se conectam a ela, e todo o tráfego passa pelo atacante, caracterizando um ataque no caminho por meio de uma infraestrutura falsa.

Um servidor DHCP mal-intencionado funciona de forma semelhante, fornecendo um gateway ou endereço DNS malicioso para que as vítimas, sem perceber, roteiem o tráfego pelo atacante.

A defesa mais forte contra ataques no caminho é a criptografia. Mesmo que um atacante esteja entre duas partes, o tráfego criptografado (HTTPS, VPN, SSH) é ilegível e qualquer alteração pode ser detectada.

É por isso que usar HTTPS em todos os lugares é importante: um atacante no caminho em uma rede Wi-Fi aberta pode interceptar o tráfego, mas a criptografia TLS faz com que ele capture apenas dados embaralhados e inúteis, que não pode ler nem alterar com segurança.

Sinais de falsificação de identidade e de ataques no caminho incluem avisos inesperados sobre certificados, mudanças repentinas na tabela ARP, alertas de IP ou MAC duplicados e tráfego seguindo caminhos incomuns. O monitoramento da rede e a detecção de intrusões podem identificar anomalias de ARP e dispositivos mal-intencionados.

Os usuários devem levar a sério os avisos de segurança do navegador, que muitas vezes são o único sinal visível de que alguém está interceptando a conexão.

Nenhum controle isolado impede toda falsificação de identidade. Combine várias medidas: inspeção dinâmica de ARP e monitoramento de DHCP nos switches, segurança de portas, filtragem de pacotes contra endereços de origem forjados, DNSSEC e criptografia abrangente.

Juntas, essas medidas tornam a personificação muito mais difícil e garantem que, mesmo quando uma interceptação é bem-sucedida, o atacante obtenha apenas dados que não consegue ler, frustrando o objetivo do ataque.

A falsificação de identidade forja identidades de IP, MAC, DNS ou de dispositivos, enquanto os ataques no caminho inserem um atacante entre duas partes para ler ou alterar o tráfego. Técnicas como envenenamento de ARP, falsificação de DNS e pontos de acesso mal-intencionados viabilizam esses ataques. Criptografia, DNSSEC, inspeção dinâmica de ARP, monitoramento de DHCP e segurança de portas são as defesas em camadas que os impedem.

Teste seus conhecimentos sobre ataques.

A falsificação de identidade forja uma identidade (IP, MAC, DNS ou de dispositivo), enquanto um ataque no caminho insere secretamente o atacante entre duas partes. Envenenamento de ARP, falsificação de DNS e pontos de acesso mal-intencionados realizam esse tipo de ataque. As defesas combinam criptografia, DNSSEC, inspeção dinâmica de ARP, monitoramento de DHCP e segurança de portas.