IP-spoofing
I computernetværk refererer IP-spoofing til afsendelse af IP-pakker med en forfalsket afsender- IP-adresse .
Den header hver IP-pakke indeholder sin kilde adresse. Dette skal være den adresse, pakken blev sendt fra. Ved at smide overskriften til at indeholde en anden adresse kan angriberen få pakken til at se ud som om pakken blev sendt fra en anden computer. Dette kan bruges af ubudne gæster til at træffe sikkerhedsforanstaltninger som f.eks B. Outsmarting IP-adressebaseret godkendelse i netværket.
Metoden kan især bruges, når tovejskommunikation ikke er påkrævet, fordi svarene for eksempel er forudsigelige eller unødvendige for angriberen. På denne måde er det imidlertid ikke muligt at skjule computerkommunikation med TCP- forbindelser , fordi svarpakkerne sendes til den "rigtige" computer med den forfalskede IP-adresse. I ikke- omskiftede netværk kan en angriber dog også se svarpakkerne, så hans computer til en vis grad kan indtage stedet for den forfalskede IP-adresse (se sniffing ). I dette tilfælde har angriberen brug for adgang til det relevante fysiske netværkssegment eller en enhed under hans kontrol.
Denne type angreb er mest effektiv, når maskinerne på et netværk har tillidsforhold. I nogle virksomhedsnetværk er det ret almindeligt, at interne systemer stoler på hinanden, så en bruger kan logge ind uden et brugernavn og en adgangskode, hvis han har adgang til netværket fra en anden intern maskine og derfor allerede er logget ind på en anden computer. Ved at skabe en forbindelse fra en pålidelig maskine kunne en angriber angribe målcomputeren uden at godkende sig selv.
IP-spoofing kan bruges uden problemer i angreb baseret på Distribuerede Denial of Service- ordningen , såsom SYN-oversvømmelse eller DNS-amplifikationsangreb . Det angrebne mål er angivet som kildeadressen, som derefter oversvømmes med svar, som ikke er blevet anmodet om af målet og derfor er meningsløse.
Modforanstaltninger
Pakkefiltre er en mulig modforanstaltning mod IP-spoofing. Den gateway til et netværk bør udføre en in- dybde filtrering : pakker, der kommer udefra, der har kildeadresser fra interne computere kasseres. Dette forhindrer en ekstern angriber i at være i stand til at smede adressen på en intern maskine. Ideelt set bør udgående pakker også filtreres, i hvilket tilfælde pakker, hvis kildeadresse ikke er inden for netværket, kasseres; Dette forhindrer IP-adresser i at blive spoofet af eksterne maskiner og er en langvarig efterspørgsel fra sikkerhedseksperter mod internetudbydere (ISP): Hvis hver internetudbyder konsekvent filtrerer udgående pakker, der ifølge deres kildeadresse ikke kommer fra deres eget netværk, ville der være enorme mængder IP-spoofing (ofte i forbindelse med denial-of-service- angreb) er meget mindre af et problem, end det er på Internettet i dag.
Nogle protokoller på højere lag giver deres egne foranstaltninger mod IP-spoofing. Den Transmission Control Protocol (TCP), for eksempel , anvender sekvensnumre at sikre, at indgående pakker er faktisk en del af en etableret forbindelse. Imidlertid betyder den dårlige implementering af TCP-sekvensnumrene i mange ældre operativsystemer og netværksenheder, at angriberen muligvis kan gætte sekvensnumrene og dermed besejre mekanismen. Alternativt kunne han prøve et mand-i-midten-angreb .
I 2003 viste SQL Slammer , at en orm også kan sprede sig inden for en enkelt UDP- pakke . På det tidspunkt brugte den ikke IP-spoofing, men det ville sandsynligvis være blevet bedre gennem firewalls med anti-spoofing-funktionalitet.
Havde en firewall z. Hvis f.eks. En regel tillader MS-SQL- tjenesten (UDP-port 1433) fra en IP-adresse AAAA til BBBB, ville ormen kun skulle smede sin egen afsenderadresse til AAAA for at passere firewallen. Da kun en enkelt pakke er nødvendig, og UDP (User Datagram Protocol) ikke har nogen status, vil en stateful firewall heller ikke tilbyde nogen beskyttelse.
Sikkerhedsimplikationer
I sig selv kan IP-spoofing kun bruges i begrænset omfang til at bryde ind i andre systemer, da alle svarpakker fra den angrebne computer sendes til den falske adresse. Omvendt kan denne adfærd imidlertid også bruges som et "våben", hvis SYN-oversvømmelse bruges med falske pakker ; til dette formål sendes falske pakker til bestemte computere, og svarpakkerne ender med offeret angivet som kildeadresse, hvis forbindelse muligvis bliver lammet. Identiteten af den aktuelle angriber er vanskelig at bestemme, fordi kilden til svarpakkerne naturligvis er den intetanende computer, der blev overrasket.
IP-spoofing inden for belastningsdeling
IP-spoofing kan bruges med god effekt i nogle belastningstest , hvor et lille antal belastningsgeneratorer simulerer et større antal efterspurgte computere. Belastningen i en belastningstest kommer normalt fra et par såkaldte belastningsgeneratorer og dermed fra et par IP-adresser. Hvis belastningstesten kører mod et system, der bruger IP-baseret belastningsbalancering, kan dette føre til en urealistisk fordeling af belastningen på serverne bag belastningsbalanceren. IP-spoofing kan løse dette problem.
