Обнаружение ARP-спуфинга
Одной из крупнейших угроз компьютерным сетям являются мошеннические системы, притворяющиеся узлом, которому доверяют. Кто-либо, успешно представившийся другим узлом, может сделать много неприятных вещей. Например, он может перехватить и протоколировать трафик, направляемый другому узлу, либо обмануть подключившихся клиентов и перехватить конфиденциальную информацию. Спуфинг узла наносит особенно серьезный ущерб IP-сетям, поскольку открывает широкие ворота для атак. Одной из технологий спуфинга узла в IP-сети является спуфипг протокола разрешения адресов (Address Resolution Protocol, ARP). ARP-спуфинг ограничен локальным сегментом сети и действует за счет использования способа, с помощью которого IP-адреса транслируются в аппаратные Ethernet-адреса.
При отправлении IP-пакета от одного узла к другому в одном и том же физическом сегменте IP-адрес назначения должен транслироваться в МАС-адрес. МЛС-адрес — это аппаратный адрес Ethernet-карты, включенной в сеть. Для этой трансляции используется протокол разрешения адресов.
Когда узлу требуется узнать Ethernet-адрес другого узла, он посылает широковещательную структуру, которая выглядит примерно так:
01:20:14.833350 arp who-has 192.168.0.66 tell 192.168.0.62
Эта структура называется ARP-запросом. При отправке его на широковещательный адрес этот запрос должны увидеть все Ethernet-устройства локального сегмента. Машина, которая удовлетворяет условиям запроса, отвечает:
01:20:14.833421 arp reply 192.168.0.66 is-at 0:0: dI: If: 3f: f I
Поскольку ARP-запрос уже содержит МАС-адрес отправителя, получатель может отправить отклик без выполнения еще одного ARP-запроса.