ARP spoofing este o tehnică prin care un atacator, aflat deja în aceeași rețea locală, trimite mesaje ARP (Address Resolution Protocol) false către alte dispozitive, convingându-le că adresa lui fizică (MAC) corespunde adresei IP a altui echipament, de exemplu routerul. Rezultatul: traficul care ar trebui să meargă direct între două dispozitive trece, fără să știe nimeni, prin calculatorul atacatorului.
Cum funcționează ARP spoofing?
Într-o rețea locală, protocolul ARP leagă adresele IP de adresele fizice (MAC) ale dispozitivelor, ca datele să ajungă la destinația corectă. Acest protocol a fost gândit pentru rețele de încredere, fără verificare a cine trimite un mesaj ARP. Atacatorul trimite mesaje false, "otrăvind" tabelele ARP ale victimelor, astfel încât atât calculatorul victimei, cât și routerul, să creadă că trebuie să comunice prin dispozitivul atacatorului. Acesta devine un intermediar invizibil, capabil să citească sau chiar să modifice traficul, o formă clasică de atac man-in-the-middle.
De ce contează?
Pentru că funcționează fără să exploateze vreo vulnerabilitate de software — se bazează pe o lipsă structurală de verificare din protocolul ARP însuși, prezentă practic în orice rețea locală neprotejată suplimentar. Pe o rețea de birou sau Wi-Fi partajată, un singur dispozitiv compromis sau un atacator conectat fizic poate intercepta traficul altor colegi, inclusiv parole trimise necriptat sau sesiuni active.
Cum te protejezi?
- Folosește criptare capăt la capăt (HTTPS, VPN) pentru orice trafic sensibil, ca datele interceptate să rămână ilizibile.
- Segmentează rețeaua și limitează cine se poate conecta fizic sau prin Wi-Fi la segmentele critice.
- Folosește echipamente de rețea (switch-uri) cu protecție ARP activată (dynamic ARP inspection), disponibilă pe majoritatea echipamentelor profesionale.
- Monitorizează rețeaua pentru schimbări neobișnuite ale asocierilor IP-MAC, semn tipic de ARP spoofing în desfășurare.
Un exemplu concret
Într-un birou cu Wi-Fi partajat, un atacator conectat la aceeași rețea lansează un atac de ARP spoofing și reușește să intercepteze traficul unui coleg care accesează o aplicație internă fără HTTPS. Parola de acces circulă necriptat prin calculatorul atacatorului, care o citește direct, fără ca victima să observe vreo diferență în funcționarea conexiunii.
Vrei să știi dacă rețeaua internă a firmei tale e vulnerabilă la interceptare? Cere o verificare a securității rețelei.
Întrebări frecvente
ARP spoofing poate veni din afara rețelei locale?
Nu direct — protocolul ARP funcționează doar în interiorul aceleiași rețele locale. Un atacator are nevoie fie de acces fizic, fie de un dispozitiv deja compromis, conectat la acea rețea.
HTTPS elimină complet riscul ARP spoofing?
Reduce mult impactul, pentru că traficul interceptat rămâne criptat și ilizibil, dar atacatorul tot poate vedea că are loc o comunicare, cu cine și cât trafic, informații care pot fi folosite pentru alte atacuri.