Подмена и атаки с перехватом трафика

Подмена — это фальсификация личности или источника, чтобы ввести в заблуждение систему или человека. Злоумышленник выдаёт себя за доверенный источник, например за известный IP-адрес, MAC-адрес, отправителя электронного письма или веб-сайт, чтобы получить доступ или перехватить трафик.

Подмена лежит в основе многих сетевых атак. Если устройство безоговорочно доверяет адресу, его фальсификация позволяет злоумышленнику обойти защиту или перенаправить трафик.

Подмена IP-адреса заключается в фальсификации исходного IP-адреса в пакете, чтобы казалось, будто он отправлен доверенным узлом. Злоумышленники используют это для обхода фильтров на основе IP, сокрытия своего происхождения или усиления DoS-атак, заставляя серверы отвечать жертве.

Поскольку базовый IP не проверяет источник, подменить адрес легко. Защита включает фильтрацию входящего и исходящего трафика, которая отбрасывает пакеты с явно поддельными исходными адресами.

Подмена MAC-адреса изменяет аппаратный адрес устройства (Media Access Control), чтобы выдать его за другое устройство. Злоумышленники используют это для обхода средств контроля доступа на основе MAC или захвата доверенной идентичности устройства в LAN.

Поскольку MAC-адреса можно изменить программно, полагаться только на них для защиты ненадёжно. Защита портов на коммутаторах помогает, ограничивая список MAC-адресов, разрешённых для каждого порта.

Атака с посредником на пути (ранее называвшаяся атакой «человек посередине») тайно помещает злоумышленника между двумя взаимодействующими сторонами. Злоумышленник ретранслирует сообщения и, возможно, изменяет их, пока обе стороны считают, что общаются напрямую друг с другом.

Заняв такую позицию, злоумышленник может читать конфиденциальные данные, красть учётные данные или изменять содержимое во время передачи, одновременно нарушая конфиденциальность и целостность.

Распространённый способ занять позицию посредника на пути в LAN — отравление ARP. ARP (Address Resolution Protocol) сопоставляет IP-адреса с MAC-адресами и безоговорочно доверяет ответам.

Злоумышленник отправляет поддельные ответы ARP, заявляя, что его MAC-адрес соответствует IP-адресу шлюза. Поэтому жертвы отправляют свой трафик злоумышленнику, который пересылает его дальше. Так весь трафик LAN незаметно проходит через устройство злоумышленника.

Подмена DNS (отравление кэша DNS) передаёт преобразователю ложные записи, из-за чего доменное имя указывает на сервер злоумышленника. Пользователь вводит настоящий веб-адрес, но незаметно попадает на поддельный сайт.

Это позволяет красть учётные данные и распространять вредоносные программы. Защита включает DNSSEC (DNS Security Extensions), добавляющий цифровые подписи, чтобы преобразователи могли проверять подлинность записей.

Злоумышленники могут установить поддельную точку доступа или злой двойник — фальшивую сеть Wi-Fi, имитирующую настоящую. Пользователи подключаются к ней, и весь их трафик проходит через злоумышленника: это атака с посредником на пути через поддельную инфраструктуру.

Поддельный сервер DHCP действует похожим образом: он выдаёт вредоносный адрес шлюза или DNS, поэтому жертвы неосознанно направляют трафик через злоумышленника.

Самая сильная защита от атак с посредником на пути — шифрование. Даже если злоумышленник находится между двумя сторонами, зашифрованный трафик (HTTPS, VPN, SSH) невозможно прочитать, а попытки изменить его обнаруживаются.

Именно поэтому важно использовать HTTPS повсюду: злоумышленник в открытой сети Wi-Fi может перехватить трафик, но шифрование TLS оставляет ему лишь нечитаемые бесполезные данные, которые нельзя безопасно изменить.

Признаки подмены и атак с посредником на пути включают неожиданные предупреждения о сертификатах, внезапные изменения таблицы ARP, предупреждения о дублирующихся IP- или MAC-адресах и прохождение трафика по необычным маршрутам. Мониторинг сети и обнаружение вторжений помогают выявлять аномалии ARP и поддельные устройства.

Пользователям следует обращать внимание на предупреждения системы безопасности браузера: часто это единственный заметный признак того, что кто-то перехватывает их соединение.

Ни один отдельный механизм защиты не останавливает все виды подмены. Используйте несколько средств: динамическую проверку ARP и отслеживание DHCP на коммутаторах, защиту портов, фильтрацию пакетов с поддельными исходными адресами, DNSSEC и повсеместное шифрование.

Вместе эти меры значительно усложняют выдачу себя за другое устройство и гарантируют, что даже успешный перехват даст злоумышленнику данные, которые он не сможет прочитать, лишая атаку смысла.

Подмена фальсифицирует идентичность IP, MAC, DNS или устройства, а атаки с посредником на пути помещают злоумышленника между двумя сторонами, чтобы читать или изменять трафик. Их осуществлению способствуют такие методы, как отравление ARP, подмена DNS и поддельные точки доступа. Многоуровневую защиту обеспечивают шифрование, DNSSEC, динамическая проверка ARP, отслеживание DHCP и защита портов.

Проверьте свои знания об атаках.

Подмена фальсифицирует идентичность (IP, MAC, DNS или устройства), а атака с посредником на пути тайно помещает злоумышленника между двумя сторонами. Для этого используются отравление ARP, подмена DNS и поддельные точки доступа. Защита объединяет шифрование, DNSSEC, динамическую проверку ARP, отслеживание DHCP и защиту портов.