Спуфинг

Коротко: Подделка ложной идентичности в сети — например, поддельного адреса отправителя, чтобы вызвать ложное доверие или обойти механизмы безопасности.

Подробнее: Частые разновидности: IP-спуфинг (подделанный IP-адрес отправителя в пакетах), ARP-спуфинг/отравление (ложное сопоставление IP и MAC-адресов в локальной сети с целью перенаправить трафик) и подмена email (подделанный адрес отправителя для фишинга). Спуфинг часто — первый шаг к другим атакам, например «человек посередине».

Подробности

При ARP-спуфинге, одной из практически самых эффективных разновидностей в локальных сетях, атакующий отправляет поддельные ARP-ответы, чтобы другие устройства ошибочно изменили сопоставление IP-адреса и MAC-адреса на машину атакующего:

Нормально:     192.168.1.1 (роутер) -> принадлежит MAC aa:aa:aa:aa:aa:aa
После
спуфинга:      192.168.1.1 (роутер) -> жертва ошибочно считает: MAC bb:bb:bb:bb:bb:bb (атакующий)

Всё сетевое доверие ARP основано на том, что каждое устройство верит ответам других без проверки — в самом ARP по замыслу нет никакой аутентификации. Это позволяет атакующему встать «человеком посередине» между двумя участниками связи (например, жертвой и роутером) и читать весь трафик (сниффинг) или даже манипулировать им, пересылая затем без изменений, чтобы остаться незамеченным.

Подмена email работает иначе: протокол SMTP по умолчанию не проверяет, верен ли указанный отправитель — атакующий может вписать в поле «From» практически любой адрес. Современные почтовые системы используют механизмы защиты SPF, DKIM и DMARC, которые через DNS-запись определяют, каким серверам разрешено отправлять письма от имени домена — принимающие почтовые серверы могут благодаря этому всё надёжнее распознавать и отсеивать поддельных отправителей.

Другие виды спуфинга

Помимо ARP и email-спуфинга существует множество других вариантов того же принципа: DNS-спуфинг (также отравление DNS-кэша) манипулирует разрешением DNS так, что доменное имя ложно указывает на IP-адрес атакующего вместо настоящего сервера — жертвы незаметно попадают на поддельную копию сайта, хотя ввели правильный адрес. Подмена номера звонящего (Caller ID spoofing) подделывает отображаемый номер при телефонных звонках, часто для мошеннических звонков от имени банка или ведомства. GPS-спуфинг отправляет поддельные спутниковые сигналы, чтобы манипулировать рассчитанным устройством положением — актуально, среди прочего, для защиты от дронов или обмана геозависимых функций приложений.

Меры защиты от ARP-спуфинга

Поскольку в самом ARP нет понятия аутентификации, защиту нужно применять на других уровнях: управляемые коммутаторы часто поддерживают «динамическую проверку ARP» (dynamic ARP inspection), когда коммутатор сам сверяет ARP-ответы с известным доверенным списком (например, из привязок DHCP) и отбрасывает подозрительные пакеты, не пуская их в сеть. На стороне клиента статические ARP-записи для особо критичных устройств (например, роутера) могут снизить риск, но их едва ли практично поддерживать в больших динамичных сетях. Шифрованные соединения (TLS/HTTPS) также уменьшают ущерб, даже если атакующему удалось стать «человеком посередине» через ARP-спуфинг — он видит трафик, но не может прочитать его открытым текстом без подходящего ключа.

IP-спуфинг в DDoS-атаках

IP-спуфинг играет центральную роль и в некоторых техниках DDoS-атак: при «атаке отражением» атакующий отправляет запросы безобидным общедоступным серверам (например, DNS или NTP) с подделанным IP отправителя — подделанным адресом настоящей жертвы. Отвечающий сервер отправляет свой (часто значительно больший) ответ не атакующему, а мнимому отправителю — настоящей жертве, которую затопляет волна непрошеных ответов. Эта техника («DNS amplification», «NTP amplification») делает IP-спуфинг эффективным усилителем, потому что самому атакующему достаточно затратить немного полосы, чтобы у жертвы возник многократно больший ответный трафик.

См. также: ARP, Вредоносное ПО