Förfalskning och attacker från nätverksvägen

MAC-spoofing ändrar en enhets hårdvaruadress (Media Access Control) för att utge sig för att vara en annan enhet. Angripare använder detta för att kringgå åtkomstkontroller baserade på MAC-adresser eller ta över en betrodd enhets identitet i ett LAN.

Eftersom MAC-adresser kan ändras i programvara är det ett svagt säkerhetsskydd att förlita sig enbart på dem. Port security på switchar hjälper genom att begränsa vilka MAC-adresser som tillåts per port.

En on-path-attack (tidigare kallad man-in-the-middle-attack) placerar angriparen i hemlighet mellan två kommunicerande parter. Angriparen vidarebefordrar och kan eventuellt ändra meddelanden medan båda parter tror att de kommunicerar direkt med varandra.

Från denna position kan angriparen läsa konfidentiella uppgifter, stjäla inloggningsuppgifter eller ändra innehåll under överföringen, vilket samtidigt bryter mot både konfidentialitet och integritet.

Ett vanligt sätt att genomföra en on-path-attack i ett LAN är ARP-förgiftning. ARP (Address Resolution Protocol) mappar IP-adresser till MAC-adresser och litar blint på svar.

Angriparen skickar falska ARP-svar som hävdar att den egna MAC-adressen tillhör gatewayens IP-adress. Offren skickar då sin trafik till angriparen, som vidarebefordrar den. På så sätt leds trafiken från ett helt LAN i det tysta genom angriparens dator.

DNS-spoofing (förgiftning av DNS-cache) förser en resolver med falska poster så att ett domännamn pekar på en angriparstyrd server. En användare som skriver in en legitim webbadress skickas i det tysta till en falsk webbplats.

Detta möjliggör stöld av inloggningsuppgifter och distribution av skadlig kod. Försvarsåtgärder omfattar DNSSEC (DNS Security Extensions), som lägger till digitala signaturer så att resolvers kan verifiera att posterna är äkta.

Angripare kan placera ut en oauktoriserad åtkomstpunkt eller en evil twin: ett falskt Wi-Fi-nätverk som efterliknar ett legitimt nätverk. Användare ansluter till det, och all deras trafik passerar genom angriparen. Det är en on-path-attack via falsk infrastruktur.

En oauktoriserad DHCP-server fungerar på liknande sätt genom att dela ut en skadlig gateway- eller DNS-adress, så att offren ovetandes dirigerar trafiken genom angriparen.

Det starkaste försvaret mot on-path-attacker är kryptering. Även om en angripare befinner sig mellan två parter är krypterad trafik (HTTPS, VPN, SSH) oläslig och manipulationssäker.

Därför är HTTPS överallt viktigt: en on-path-angripare på ett öppet Wi-Fi kan avlyssna trafiken, men TLS-kryptering innebär att angriparen bara fångar förvrängd och oanvändbar data som inte går att läsa eller ändra på ett säkert sätt.

Tecken på spoofing och on-path-attacker är bland annat oväntade certifikatvarningar, plötsliga ändringar i ARP-tabellen, varningar om duplicerade IP- eller MAC-adresser och trafik som tar ovanliga vägar. Nätverksövervakning och intrångsdetektering kan upptäcka ARP-avvikelser och oauktoriserade enheter.

Användare bör ta webbläsarens säkerhetsvarningar på allvar, eftersom de ofta är det enda synliga tecknet på att någon avlyssnar anslutningen.

Ingen enskild kontroll stoppar all spoofing. Kombinera flera åtgärder: dynamisk ARP-inspektion och DHCP-snooping på switchar, port security, paketfiltrering mot förfalskade källadresser, DNSSEC och genomgående kryptering.

Tillsammans gör dessa åtgärder identitetsförfalskning betydligt svårare och säkerställer att även en lyckad avlyssning bara ger angriparen data som inte går att läsa, vilket omintetgör attackens syfte.

Spoofing förfalskar IP-, MAC-, DNS- eller enhetsidentiteter, medan on-path-attacker placerar en angripare mellan två parter för att läsa eller ändra trafik. Tekniker som ARP-förgiftning, DNS-spoofing och oauktoriserade åtkomstpunkter möjliggör attackerna. Kryptering, DNSSEC, dynamisk ARP-inspektion, DHCP-snooping och port security är försvarsåtgärderna i flera lager som stoppar dem.

Spoofing förfalskar en identitet (IP, MAC, DNS eller enhet), medan en on-path-attack i hemlighet placerar angriparen mellan två parter. ARP-förgiftning, DNS-spoofing och oauktoriserade åtkomstpunkter åstadkommer detta. Försvaret kombinerar kryptering, DNSSEC, dynamisk ARP-inspektion, DHCP-snooping och port security.