IP spoofing (z anglického spoof - hoax) -
Pro útočníka je základním principem útoku falšování vlastních hlaviček IP paketů, ve kterých se mimo jiné mění zdrojová IP adresa. IP spoofing útok je často označován jako "blind spoofing" [1] . Je to proto, že odpovědi na podvržené pakety se nemohou dostat do počítače crackera, protože odchozí adresa byla změněna. Stále však existují dva způsoby, jak získat odpovědi:
Transportní (4) protokol TCP má vestavěný mechanismus pro zamezení spoofingu - tzv. pořadové číslo a potvrzení (číslo pořadu, číslo potvrzení) [ 1] . Protokol UDP takový mechanismus nemá, a proto jsou na něm postavené aplikace zranitelnější vůči spoofingu.
Zvažte navázání TCP spojení ( triple handshake ):
Pomocí IP-spoofingu nebude cracker schopen vidět ISN, protože neobdrží odpověď ze serveru. ISN potřebuje ve třetím kroku, kdy je bude muset zvýšit o 1 a odeslat. K navázání spojení jménem IP někoho jiného musí útočník uhodnout ISN. Ve starších operačních systémech (OS) bylo velmi snadné ISN uhodnout – s každým připojením se zvyšovalo o jedno. Moderní operační systémy používají mechanismus, který zabraňuje hádání ISN.
Typ DoS útoku . Útočník odešle požadavky SYN na vzdálený server a nahradí tak adresu odesílatele. Odpověď SYN+ACK je odeslána na neexistující adresu, v důsledku toho se ve frontě připojení objevují tzv. polootevřená spojení, která čekají na potvrzení od klienta. Po určitém časovém limitu jsou tato připojení zrušena. Útok je založen na zranitelnosti omezení zdrojů operačního systému pro polootevřená připojení, popsané v roce 1996 skupinou CERT , podle níž byla fronta na taková připojení velmi krátká (například Solaris nepovoloval více než osm připojení) a časový limit připojení byl poměrně dlouhý (podle RFC 1122 - 3 minuty).
Další typ DoS útoku. Útočící počítač zasílá požadavky na DNS server , přičemž v přenášeném paketu uvede v poli zdrojová IP adresa IP adresu napadeného počítače. Odezva DNS serveru několik desítekkrát převyšuje objem požadavku, což zvyšuje pravděpodobnost úspěšného DoS útoku.
Jedinými identifikátory, podle kterých může koncový hostitel rozlišovat mezi účastníky TCP a připojeními TCP, jsou pole Sequence Number a Acknowledge Number. Se znalostí těchto polí a pomocí nahrazení zdrojové IP adresy paketu IP adresou jednoho z účastníků může útočník vložit jakákoli data, která povedou k odpojení, chybovému stavu nebo vykoná nějakou funkci ve prospěch útočníka. Oběť si těchto manipulací nemusí ani všimnout.
Tento typ útoku je nejúčinnější tam, kde mezi počítači existuje důvěryhodný vztah. Například v některých podnikových sítích si interní systémy navzájem důvěřují a uživatelé se mohou přihlásit bez uživatelského jména nebo hesla, pokud je počítač uživatele ve stejné místní síti. Podvržením připojení z důvěryhodného počítače může útočník získat přístup k cílovému počítači bez ověření. Slavným příkladem úspěšného útoku je, že jej Kevin Mitnick použil proti autu Tsutomu Shimomura v roce 1994 ( útok Mitnick ).
Nejjednodušší způsob, jak zkontrolovat, zda podezřelý paket přišel od správného odesílatele, je odeslat paket na IP adresu odesílatele. Obvykle se pro IP spoofing používá náhodná IP a je pravděpodobné, že nepřijde žádná odpověď. Pokud ano, má smysl porovnávat pole TTL ( Time to live ) přijatých paketů. Pokud se pole neshodují, pakety pocházejí z různých zdrojů.
Na úrovni sítě je útoku částečně zabráněno paketovým filtrem na bráně. Musí být nakonfigurován tak, aby neumožňoval pakety, které přicházejí přes ta síťová rozhraní, odkud nemohly přijít. Například filtrování paketů z externí sítě se zdrojovou adresou uvnitř sítě.
Jednou z nejspolehlivějších metod ochrany proti falšování IP adres je shoda MAC adresy ( ethernetového rámce ) a IP adresy ( záhlaví IP protokolu ) odesílatele. Pokud má například paket s IP adresou z vnitřní sítě MAC adresu brány, měl by být tento paket zahozen. V moderních síťových zařízeních není problém změnit MAC adresu (fyzickou adresu).