spoofing z IP dynamicznego

Spoofing z dynamicznego IP utrudnia śledzenie sprawcy, ponieważ adres źródłowy zmienia się przy każdej sesji.

Na czym polega spoofing z dynamicznego adresu IP

Spoofing z dynamicznego adresu IP oznacza sytuację, w której nadawca manipuluje informacją o źródle komunikacji zapisującą się w nagłówku pakietu IP. Adres widoczny dla odbiorcy może wtedy nie wskazywać rzeczywistego interfejsu sieciowego, z którego wysłano dane. W przypadku dynamicznego adresu IP dodatkową trudność stanowi to, że operator może przydzielać ten sam adres różnym abonentom w różnych momentach. Sam fakt korzystania z dynamicznego IP nie jest jednak spoofingiem. Dynamiczny adres jest legalnie przydzielanym adresem, który może zmieniać się po ponownym połączeniu, odnowieniu dzierżawy DHCP albo zmianie warunków pracy sieci. Spoofing pojawia się dopiero wtedy, gdy źródłowy adres w pakiecie zostaje celowo sfałszowany.

Adres IP służy przede wszystkim do kierowania pakietów między sieciami, a nie do pewnego potwierdzania tożsamości człowieka lub urządzenia. W ataku z fałszywym adresem źródłowym sprawca może próbować ukryć rzeczywiste pochodzenie ruchu, podszyć się pod inny host albo skierować odpowiedzi do innego systemu. Dynamiczność adresu utrudnia późniejsze przypisanie zdarzenia do konkretnego abonenta, ale nie usuwa innych śladów technicznych. Znaczenie mają między innymi czas, port źródłowy, adres docelowy, identyfikatory połączenia, logi urządzeń pośredniczących oraz sposób przydzielania adresów przez operatora.

Dlaczego zmienny adres komplikuje analizę zdarzenia

W sieci z dynamicznym przydzielaniem adresów pojedynczy wpis w logu, na przykład adres IP i godzina, może być niewystarczający do jednoznacznego ustalenia źródła ruchu. Operator musi zestawić adres z dokładnym znacznikiem czasu, informacją o strefie czasowej, portem źródłowym lub innym parametrem pozwalającym odróżnić równoczesne sesje. Jeżeli adres był przydzielany przez DHCP, pomocne są również dane dotyczące dzierżawy, identyfikatora klienta i urządzenia, któremu przydzielono konfigurację. W sieciach stosujących translację adresów NAT wiele urządzeń może korzystać z jednego publicznego adresu, dlatego sam adres publiczny nie wskazuje konkretnego komputera w sieci lokalnej.

Jeszcze bardziej złożona sytuacja występuje przy współdzieleniu adresów przez CGNAT, czyli translację wykonywaną po stronie operatora. Wtedy prywatne urządzenia abonentów mogą wychodzić do Internetu przez wspólny adres publiczny. Do rozróżnienia połączeń potrzebne są dokładne dane czasowe oraz porty użyte po translacji. Jeżeli w komunikacji bierze udział kilka sieci pośrednich, usługa tunelująca albo dodatkowa warstwa translacji, analiza wymaga korelacji logów z wielu miejsc. Zmienny adres może więc utrudniać śledzenie, lecz nie stanowi automatycznej gwarancji anonimowości.

Ograniczenia spoofingu w protokołach IP

Skuteczność fałszowania adresu zależy od rodzaju ruchu. W protokole UDP, który nie wymaga ustanowienia połączenia, odbiorca może otrzymać datagram wyglądający na wysłany z innego adresu. Odpowiedzi są wtedy kierowane do sfałszowanego adresu, więc sprawca może nie otrzymać ich bezpośrednio. Taka właściwość bywa wykorzystywana przy atakach opartych na odbiciu i wzmacnianiu ruchu, zwłaszcza gdy usługa odpowiada większym komunikatem niż otrzymany żądający datagram.

W protokole TCP spoofing jest trudniejszy, ponieważ komunikacja opiera się na uzgadnianiu połączenia i numerach sekwencyjnych. Jeżeli odpowiedź trafia do prawdziwego właściciela sfałszowanego adresu, nieuczestniczący w komunikacji nadawca nie może łatwo utrzymać pełnej sesji. Nie oznacza to jednak, że fałszowanie źródła jest nieszkodliwe. Może służyć do generowania ruchu, testowania filtrów, zakłócania analizy zdarzeń albo wykorzystywania błędnych założeń w urządzeniach sieciowych. W sieciach lokalnych dodatkowe znaczenie mają mechanizmy kontroli dostępu, filtrowanie ruchu wychodzącego i poprawna konfiguracja routerów. Filtrowanie antyspoofingowe powinno odrzucać pakiety, których źródłowy adres nie pasuje do zakresu dozwolonego dla danego interfejsu.

Jak interpretować ślady na komputerze i w sieci

Na pojedynczym laptopie lub komputerze PC nie zawsze da się potwierdzić spoofing wyłącznie na podstawie adresu widocznego w aplikacji. Należy rozróżnić adres przypisany lokalnemu interfejsowi, adres routera w sieci domowej oraz publiczny adres obserwowany przez usługę internetową. Pomocne może być porównanie logów zapory sieciowej, routera i aplikacji, a także sprawdzenie, czy wpisy dotyczą połączeń TCP, datagramów UDP czy jedynie żądań zapisanych przez konkretną usługę. Różnica między adresem dynamicznym a adresem sfałszowanym wymaga analizy sposobu przydziału adresu oraz kierunku ruchu, ponieważ adres zmieniający się po rozłączeniu może być całkowicie prawidłowy.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów. W przypadku podejrzenia problemu z komunikacją sieciową diagnostyka powinna obejmować stan karty sieciowej, konfigurację TCP/IP, działanie routera, reguły zapory oraz objawy występujące w konkretnych programach. Sam komunikat o zmiennym adresie IP nie przesądza jeszcze o infekcji ani o ataku spoofingowym. Dopiero zgodność obserwacji z logami urządzeń sieciowych, charakterem połączeń i momentem wystąpienia problemu pozwala sformułować techniczny wniosek.