АТАКА НА ARP ПРОТОКОЛ

Протокол ARP является уязвимым в следствии того, что в нем нет проверки на  подлинность ARP-запросов и ARP-ответов. А так как сетевые интерфейсы на компьютерах не проверят приходящие ARP пакеты (ARP-ответ присылается на интерфейс устройства без необходимости), то, как раз в таком случае возможна атака ARP-spoofing. До выполнения атаки ARP-spoofing в ARP-таблице узлов A и B существуют записи с IP- и MAC-адресами друг друга. Между узлами A и B обмен информации происходит напрямую.[1, c. 35] В результате выполнения  атаки ARP-spoofing'а узел C, выполняющий атаку, отправляет ARP-ответы:

узел A: получает пакет содержащий  с IP-адрес узла B и MAC-адрес узла C;

узлу B: получает пакет, содержащий  с IP-адрес узла A и MAC-адрес узла C.

В силу того, что компьютеры поддерживают самопроизвольный ARP (gratuitous ARP) протокол, они модифицируют собственные ARP-таблицы и помещают в них  записи, где вместо настоящих MAC-адресов компьютеров A и B стоит MAC-адрес компьютера C. (красные стрелки).[2, c. 121]

Итогом атаки служит то, что  компьютер A хочет передать пакет компьютеру B, он находит в ARP-таблице запись (соответствующую узлу  C) и определяет из неё MAC-адрес получателя. Отправленный по этому MAC-адресу пакет приходит компьютеру C вместо получателя. Узел C затем перенаправляет пакет тому узлу сети, кому он действительно адресован — т.е. узлу B

Рисунок 1. Схема проведения ARP-spoofing

Рисунок 2. Пример “Отравленной ARP ” таблицы

Инструменты для выполнения ARP-spoofing'а.

В настоящее время существует множество инструментов для выполнения атаки класса ARP-spoofing , работающие как в ОС Linux, так и в ОС Windows.

Наиболее известные:

1. ettercap;
2. cain&abel;
3. dsniff;
4. arp-sk.

Для перенаправления информации на компьютер злоумышленника можно использовать  набор библиотек Sсapy, который позволяет более тонко настраивать отправляемые пакеты.[3, c. 157] На Рисунке 3 представлена реализация атаки ARP-Spoofing.

Рисунок 3. Пример скрипта для осуществления APRspoofing

На Рисунке 4 представлена ARP таблица атакуемого компьютера до проведения атаки с целью перенаправления информации на компьютер злоумышленника. Затем с помощью скрипта производится отправка пакета, который виден с использования сниффера (Рисунок 5). На Рисунке 6 представлена ARP таблица атакуемого компьютера после проведения атаки. Как видно после проведения атаки адрес шлюза был изменен на адрес атакующего, и весь трафик, исходящий от компьютера жертвы будет проходить через компьютер злоумышленника, что видно на Рисунке 6, где при трассировке до конечного узла добавляется еще один узел.

Рисунок 4. APR таблица до атаки

Рисунок 5. Дамп сниффера

Рисунок 6. APR таблица после атаки

Рисунок 7. Пример работы утилиты tracert

В статье описывается атака типа, ARPSpoofing, и ее реализация с помощь scapy. Приводится подробный анализ этапов проведения атаки, последовательность воздействия на атакуемый узел. Предложен пример скрипта реализующего отправку поддельного ARP-пакета. В связи с вышеизложенным можно сделать вывод, что угрозы связанные и перехватом трафика являются серьезной проблемой защиты данных и информации от несанкционированного доступа.

Список литературы:

1. Олифер В. Г. ОлиферН. А. Компьютерные сети. Принципы, технологии, протоколы:  учеб. пособие Мн.: Питер 2010.-855 c.
2. Таненбаум Э. Остин Т. Структурированная Компьютерная Организация ОРАН учеб. пособие Мн.: Питер  2010.-946 c.
3. Шахнович И.А. Современные технологии беспроводной связи учеб. пособие Мн.: Техносфера 2006.-646 c.