Спуфінг

Коротко: Підроблення хибної ідентичності в мережі — наприклад, підробленої адреси відправника, щоб викликати хибну довіру або обійти механізми безпеки.

Докладніше: Поширені різновиди: IP-спуфінг (підроблена IP-адреса відправника в пакетах), ARP-спуфінг/отруєння (хибне зіставлення IP і MAC-адрес у локальній мережі з метою перенаправити трафік) і підміна email (підроблена адреса відправника для фішингу). Спуфінг часто — перший крок до інших атак, наприклад «людина посередині».

Подробиці

За ARP-спуфінгу, одного з практично найефективніших різновидів у локальних мережах, зловмисник надсилає підроблені ARP-відповіді, щоб інші пристрої помилково змінили зіставлення IP-адреси та MAC-адреси на машину зловмисника:

Нормально:     192.168.1.1 (роутер) -> належить MAC aa:aa:aa:aa:aa:aa
Після
спуфінгу:      192.168.1.1 (роутер) -> жертва помилково вважає: MAC bb:bb:bb:bb:bb:bb (зловмисник)

Уся мережева довіра ARP ґрунтується на тому, що кожен пристрій вірить відповідям інших без перевірки — в самому ARP за задумом немає жодної автентифікації. Це дає змогу зловмиснику стати «людиною посередині» між двома учасниками зв’язку (наприклад, жертвою й роутером) та читати весь трафік (сніфінг) або навіть маніпулювати ним, пересилаючи потім без змін, щоб лишитися непоміченим.

Підміна email працює інакше: протокол SMTP за замовчуванням не перевіряє, чи правильний указаний відправник — зловмисник може вписати в поле «From» практично будь-яку адресу. Сучасні поштові системи використовують механізми захисту SPF, DKIM і DMARC, які через DNS-запис визначають, яким серверам дозволено надсилати листи від імені домену — приймальні поштові сервери завдяки цьому можуть дедалі надійніше розпізнавати й відсіювати підроблених відправників.

Інші види спуфінгу

Крім ARP- та email-спуфінгу існує безліч інших варіантів того самого принципу: DNS-спуфінг (також отруєння DNS-кешу) маніпулює розв’язанням DNS так, що доменне ім’я хибно вказує на IP-адресу зловмисника замість справжнього сервера — жертви непомітно потрапляють на підроблену копію сайту, хоча ввели правильну адресу. Підміна номера абонента (Caller ID spoofing) підроблює номер, що відображається під час телефонних дзвінків, часто для шахрайських дзвінків від імені банку чи відомства. GPS-спуфінг надсилає підроблені супутникові сигнали, щоб маніпулювати обчисленим пристроєм положенням — актуально, зокрема, для захисту від дронів або обману геозалежних функцій застосунків.

Заходи захисту від ARP-спуфінгу

Оскільки в самому ARP немає поняття автентифікації, захист потрібно застосовувати на інших рівнях: керовані комутатори часто підтримують «динамічну перевірку ARP» (dynamic ARP inspection), коли комутатор сам звіряє ARP-відповіді з відомим довіреним списком (наприклад, із прив’язок DHCP) і відкидає підозрілі пакети, не пускаючи їх у мережу. На боці клієнта статичні ARP-записи для особливо критичних пристроїв (наприклад, роутера) можуть знизити ризик, але їх навряд чи практично підтримувати у великих динамічних мережах. Шифровані з’єднання (TLS/HTTPS) також зменшують шкоду, навіть якщо зловмисникові вдалося стати «людиною посередині» через ARP-спуфінг — він бачить трафік, але не може прочитати його відкритим текстом без відповідного ключа.

IP-спуфінг у DDoS-атаках

IP-спуфінг відіграє центральну роль і в деяких техніках DDoS-атак: під час «атаки відбиттям» зловмисник надсилає запити нешкідливим загальнодоступним серверам (наприклад, DNS чи NTP) з підробленим IP відправника — підробленою адресою справжньої жертви. Сервер, що відповідає, надсилає свою (часто значно більшу) відповідь не зловмиснику, а удаваному відправнику — справжній жертві, яку затоплює хвиля непроханих відповідей. Ця техніка («DNS amplification», «NTP amplification») робить IP-спуфінг ефективним підсилювачем, бо самому зловмиснику досить витратити трохи смуги, щоб у жертви виник багаторазово більший відповідний трафік.

Див. також: ARP, Шкідливе ПЗ