Proteggere Windows e Linux dall'ARP poisoning

Introduzione

Nel 1960 nacquero le prime infrastrutture di rete (LAN) inizialmente basate su un sistema a Bus, ogni PC era collegato in modo lineare attraverso un cavo di rete. Le reti BUS riconoscibili facilmente per l'assenza di un Hub e dai connettori BNC, anziché gli attuali RJ45, presentavano un'importante falla si sicurezza, tutti i dati potevano essere intercettati ed eventualmente manipolati, inoltre il guasto di un terminale avrebbe compromesso le comunicazioni di tutta la rete.

Successivamente vennero alla luce le reti ad anello con l'intento di migliorare la velocità di scambio dati ma anche esse potevano essere facilmente intercettate da chiunque fosse collegato in rete. L'intercettazione era possibile poiché ogni singolo dato veniva inviato in broadcasting su tutta la rete, il dato inviato da Topolino per Pippo raggiungeva realmente anche tutti gli altri utenti della rete e veniva scartato dai PC che non erano i destinatari originari grazie ad un confronto con l'indirizzo IP.

Infine nacquero le attuali Reti a stella, caratterizzate da un punto centrale (SWITCH) o un elaboratore con diversi terminali collegati ad esso. Le reti a stella portarono notevoli migliorie:

• Comunicazioni difficilmente intercettabili tra i vari terminali;
• Minor traffico di rete e pertanto maggior velocità di velocità;
• Il guasto di un terminale non avrebbe influenzato il funzionamento della rete.

Lo switch permette di determinare qual è il PC destinatario dei dati prima di inviare il pacchetto sfruttando una tabella (CAM Table) che associa l'indirizzo IP al rispettivo MAC Address della scheda ethernet, l'associazione avviene grazie al protocollo di rete ARP, acronimo di Address Resolution Protocol.

ARP Poisoning

L'ARP Poisoning è una tecnica che permette di inserirsi in maniera completamente invisibile tra due PC all'interno della stessa infrastruttura di rete, permettendoci di intercettare ed eventualmente modificare i dati che i terminali si stanno scambiando.

L'attacco si basa sull'assenza di un sistema di autenticazione nel protocollo di rete ARP, l'attaccante andrà ad "avvelenare" la cache dei terminali, contenente le associazioni tra MAC e IP introducendo i dati del terminale attaccante.

Topolino convinto di inviare un dato a Pippo realmente comunicherà con l'attaccante, quest'ultimo una volta analizzati i dati li invierà a Pippo facendogli credere che sia Topolino il mittente. Questa tecnica viene anche nominata MITM acronimo di Man In The Middle perché l'attaccante si inserisce tra due interlocutori ed è in grado di leggere, inserire o modificare a piacere, messaggi tra le due parti.

Proteggersi dall'ARP Poisoning

Com'è possibile intuire dalla precedente descrizione la difesa si basa su una costante verifica della cache contente le associazioni tra MAC e IP del proprio terminale, questa verifica ci permetterà di prevenire l'eventuale introduzione di un malintenzionato. Di seguito vi riepilogheremo gli attuali software in grado di intercettare e neutralizzare un attacco di tipo ARP Poisoning.

ArpON

ArpON è una utility per Linux, Mac, FreeBSD, NetBSD e OpenBSD che rende il protocollo ARP sicuro contro attacchi Man in The Middle (MITM) attraverso tecniche ARP Spoofing, ARP Cache Poisoning, ARP Poison Routing (APR). Blocca inoltre anche attacchi di Filtering (DHCP Spoofing, DNS Spoofing, WEB Spoofing, Session Hijacking e SSL/TLS Hijacking), Sniffing, Hijacking e Injection.

Download: ArpON

XArp

XArp è una utility sia per Windows che Ubuntu e presenta una comoda interfaccia grafica per gli utenti meno esperti. Viene distribuito nella versione a pagamento o gratuita, la prima permette di identificare e bloccare un attacco mentre la seconda segnala esclusivamente un possibile attacco ma non lo neutralizza. La versione a pagamento per 20€ offre altri servizi quali l'allert via eMail di un tentato attacco, un filtro per ignorare determinati pacchetti e la possibilità di impostare profili personalizzati per ogni interfaccia di rete.

Download: XArp

ARPDefender

ARPDefender è un dispositivo hardware in grado di monitorare tutta l'infrastruttura di rete ed eliminare eventuali attacchi di ARP Poisoning senza la necessità di installare un software su ogni singola macchina in rete. Prodotto dedicato alle grandi infrastrutture di rete dove il monitoraggio di ogni singolo terminale richiederebbe un'elevata dispersione di tempo.

Maggiori Informazioni: ARPDefender