ARP-spoofing – Zwaktes van netwerkveiligheid

Anders dan op internet communiceren apparaten binnen een LAN niet direct via IP-adressen. In plaats daarvan worden voor het adresseren binnen lokale IPv4-netwerken fysieke hardware-adressen gebruikt. Deze zogenoemde MAC-adressen (Media Access Control) zijn unieke 48-bits nummers die het mogelijk maken om ieder toestel apparaat binnen het LAN via de eigen netwerkkaart eenduidig te identificeren.

Voorbeeld van een MAC-adres: 00-80-41-ae-fd-7e

MAC-adressen worden door de fabrikant bepaald en zijn uniek. Theoretisch gezien is het daardoor mogelijk om de hardware-adressen wereldwijd te adresseren. In de praktijk is dit echter niet mogelijk, omdat IPv4-adressen te kort zijn om het MAC-adres in zijn geheel weer te geven. In netwerken op basis van IPv4 is de adresomzetting via ARP daarom onvermijdelijk.

Als computer A contact wil opnemen met computer B in hetzelfde netwerk, moet voor het IP-adres eerst het passende MAC-adres worden bepaald. Hierbij wordt gebruikgemaakt van het Address Resolution Protocol (ARP), een netwerkprotocol dat volgens het request-response-schema werkt.

Voor het bepalen van het bijbehorende MAC-adres stuurt computer A eerst een broadcastaanvraag (het zogenoemde ARP-request) naar alle apparaten in het netwerk. Deze omvat ongeveer de volgende informatie:

Een computer met het MAC-adres xx-xx-xx-xx-xx-xx en het IP-adres yyy.yyy.yyy.yyy wil contact opnemen met een computer met IP-adres zzz.zzz.zzz.zzz en heeft daarvoor het MAC-adres nodig.

Het ARP-request wordt aangenomen door alle computers in het LAN. Om te voorkomen dat je iedere keer een ARP-aanvraag moet indienen voordat je een gegevenspakket wilt versturen, houdt de computer in het netwerk een lokale tabel bij – de ARP-cache. Hierin worden alle bekende MAC-adressen inclusief bijbehorende IP tijdelijk opgeslagen.

Alle computers in het netwerk noteren op die manier de adrescombinatie van de afzender die via de broadcastaanvraag is gestuurd. Een antwoord op de broadcastaanvraag wordt echter alleen van computer B verwacht. De ARP-reply van deze computer omvat de volgende informatie:

Hier is het systeem met IP-adres zzz.zzz.zzz.zzz. Het gezochte MAC-adres is aa-aa-aa-aa-aa-aa.

Als computer A zo'n ARP-reply heeft ontvangen, beschikt hij over de benodigde informatie om gegevenspakketten naar computer B te versturen. Nu kunnen deze twee computers via het lokale netwerk met elkaar communiceren.

Maar wat gebeurt er als niet de doelcomputer reageert, maar een ander apparaat dat door een interne aanvaller met kwade opzet wordt gebruikt? Hier komt ARP-spoofing om de hoek kijken.

Programma's die in verband met ARP-spoofing als aanvalssoftware worden gebruikt, worden over het algemeen als veiligheidstool gezien en zijn online gratis verkrijgbaar. Beheerders kunnen met behulp van deze programma's het eigen netwerk controleren en beveiligen tegen gebruikelijke aanvallen. De bekendste applicaties zijn ARP0c /WCI, Arpoison, Cain & Abel, Dsniff, Ettercap, FaceNiff en NetCut.

Omdat bij ARP-spoofing misbruik wordt gemaakt van het Address Resolution Protocol, zijn in principe alle IPv4-netwerken kwetsbaar voor zulke aanvallen. Ook met IPv6 kon het basisprobleem niet worden opgelost. De nieuwe IP-standaard regelt de adresomzetting weliswaar via NDP (Neighbor Discovery Protocol) in plaats van via ARP, maar ook dit systeem is vatbaar voor spoofing-aanvallen. Je kunt de beveiligingsleemte sluiten met het protocol Secure Neighbor Discovery (SEND), maar slechts weinig desktop-besturingssystemen ondersteunen dit protocol.

Een mogelijke bescherming tegen manipulatie van ARP-caches bieden statische ARP-entry’s, die je op Windows bijvoorbeeld kunt vastleggen via het commandoregelprogramma ARP en het commando arp -s. Omdat deze entry’s handmatig moeten worden vastgelegd, wordt deze beveiligingsmaatregel vaak beperkt tot de belangrijkste systemen van het netwerk.

Een andere maatregel tegen het misbruik van ARP is het onderverdelen van het netwerk met layer-3-switches. Zonder controle kunnen broadcast-aanvragen alleen systemen bereiken die in dezelfde netwerklaag liggen. ARP-requests naar andere lagen worden door de switch gecontroleerd. Als deze in de netwerklaag (layer 3) werkt, wordt naast het MAC-adres ook het IP-adres vergeleken met eerdere entry’s. Als dan onregelmatigheden of frequente herindelingen opvallen, slaat de switch alarm. De benodigde hardware kost echter vrij veel geld. Beheerders moeten overwegen of de aanvullende beveiliging de kosten waard is. Daarentegen zijn de duidelijk goedkopere layer-2-switches, die in de beveiligingslaag functioneren, niet voldoende geschikt. Ook deze switches registreren veranderingen van MAC-adressen, maar ze kijken niet naar de gekoppelde IP-adressen.

Verschillende softwarefabrikanten bieden bovendien monitoringprogramma's aan waarmee je netwerken kunt bewaken en opvallende ARP-processen kunt ontdekken. Bekende tools zijn de opensourcesoftware Arpwatch, ARP-GuardGUARD en XArp. Bovendien kun je intrusion-detection-systemen, zoals Snort, gebruiken om de adresomzetting via ARP te controleren.

• Arpwatch: als de platformoverkoepelende opensource-tool Arpwatch in een lokaal IPv4-netwerk wordt geïntegreerd, noteert het hulpmiddel continu alle ARP-activiteiten binnen het LAN. Het programma registreert van alle inkomende ARP-pakketten de meegeleverde adresgegevens en slaat deze in een centrale databank op. Als er oudere aantekeningen zijn die niet overeenstemmen met de data die op dat moment zijn doorgegeven, stuurt het programma via e-mail een waarschuwing naar de beheerder. Deze procedure is effectief, maar alleen geschikt voor netwerken met statische IP-adressen. Als LAN-IP's dynamisch via een DHCP-server worden verdeeld, zorgt iedere verandering van de IP/MAC-indeling voor een vals alarm.
• ARP-GUARD: ook de software ARP-GUARD van het bedrijf ISL controleert het interne netwerk en gebruikt daarvoor twee sensoren. De LAN-sensor lijkt qua werkwijze op Arpwatch, analyseert inkomende gegevenspakketten en slaat bij onregelmatigheden alarm. Bovendien beschikt de sensor-managementarchitectuur van de software over een SNMP-sensor die via het Simple Network Management Protocol (SNMP) toegang heeft tot de toestellen die met het LAN zijn verbonden. Op deze manier kan het systeem de ARP-tabellen van deze apparaten lezen. Daardoor is er meer mogelijk dan het lokaliseren en afweren van ARP-aanvallen. Met het geïntegreerde adresbeheer is het bovendien mogelijk om ongewenste apparaten te vinden en hun verbinding met het netwerk af te breken.
• XArp: de software XArp gebruikt actieve en passieve modules om het netwerk te beschermen tegen ARP-spoofing. De passieve modules analyseren ARP-pakketten die in het netwerk worden verstuurd en vergelijken de meegeleverde adresindelingen met oudere aantekeningen. Als onregelmatigheden worden vastgesteld, slaat het programma alarm. Het controlemechanisme baseert zich op statische analyses en controleert het netwerktraffic aan de hand van verschillende patronen die volgens de ontwikkelaar kenmerkend zijn voor ARP-aanvallen. Je kunt aanpassen hoe gevoelig de trafficfilter is. De actieve modules van de software sturen eigen pakketten naar het netwerk om de ARP-tabellen van bereikbare apparaten te valideren en met geldige entry’s te vullen.

Ook het intrusion-detection-systeem (IDS) Snort beschikt over een geïntegreerde Arpspoof-preprocessor, waarmee het mogelijk is om het gegevensverkeer in een netwerk te monitoren en handmatig vergelijkingslijsten aan te leggen. Dit kost echter vrij veel moeite.

Bovendien worden IDS’en meestal alleen bij de overgang naar vreemde netwerken gebruikt. Of het rendabel is om de software binnen een LAN te gebruiken, moet voor ieder geval afzonderlijk worden bepaald. Onder andere de ondernemingsraad kan zich tegen deze maatregel uitspreken. Een beheerder die via IDS toezicht houdt op het netwerk heeft toegang tot het gehele netwerkverkeer en daardoor ook tot alle activiteiten van de medewerkers van een bedrijf – de controlefunctie die daardoor mogelijk is, is over het algemeen ongewenst.

Actieprijzen checken