ARPスプーフィング

概要

ARPスプーフィングとは、ARPメッセージを偽装することで不正にデータを取得します。中間者攻撃(Man In The Middle Attack)の一種です。ARPスプーフィングの仕組みについて解説します。

ARPスプーフィングとは

ARPスプーフィングは、攻撃者がARPリプライを偽装してクライアントから送信されたパケットを不正に取得する攻撃です。以下のネットワーク構成で、ARPスプーフィングの仕組みを考えます。

通常のARPによるアドレス解決

PC1が他のネットワークのPC2へパケットを送信するときについて考えています。宛先IPアドレスが異なるネットワークのとき、デフォルトゲートウェイのMACアドレスを解決するためにARPリクエストをブロードキャストします。問い合わせ対象は、デフォルトゲートウェイのIPアドレス10.1.1.254です。そして、デフォルトゲートウェイのR1はARPリプライで自身のMACアドレス Rを通知します。PC1は、デフォルトゲートウェイのIPアドレスに対するMACアドレスRをARPキャッシュに保存します。また、デフォルトゲートウェイのR1は、ARPキャッシュにPC1のIPアドレス10.1.1.1に対するMACアドレスAを保存します。

ARPの仕組みについて、以下の記事で詳しく解説しています。

ネットワークのおべんきょしませんか？

ARP ～IPアドレスとMACアドレスを対応付け～

https://www.n-study.com/tcp-ip/arp/

ARPとはARP(Address Resolution Protocol)とはIPアドレスとMACアドレスを対応付けるためのプロトコルです。そして、IPアドレスとMACアドレスを対応付けることをアドレス解決と呼び、ARPというプロトコルの名前の由来です。ARPはイーサネットでIPパケットを転送するときに必要不可欠な大事なプロトコルです。なぜMACアドレスが必要か？TCP/IPの通信では、IPアドレスで宛先を指定しているのですが、なぜ、MACアドレスも必要なのでしょうか？それは、IPパケットをイーサネットインタフェースから送り出すには、イーサネットヘッダを付加し...

ARPキャッシュの書き換え

攻撃者は、PC1とR1のARPキャッシュを書き換えるとために、ARPリプライを偽装します。

攻撃者はホストのIPアドレス10.1.1.1のMACアドレスとして自身のMACアドレスPC-HackのARPリプライを送信します。これによりR1のARPテーブルを書き換えます。また、デフォルトゲートウェイのIPアドレス10.1.1.254のMACアドレスとして自身のMACアドレスPC-HackのARPリプライを送信します。すると、PC1のARPテーブルを書き換えることができます。

ARPはセキュリティを考慮したプロトコルではありません。ARPリクエストとリプライを関連付けるような情報などなく、ARPリプライの情報が正確かどうかを検証できません。ほとんどのARPの実装では、ARPリプライを受信するとその内容でARPキャッシュを更新します。

このように、ARPキャッシュを不正に書き換えることから、ARPスプーフィングをARPキャッシュポイズニングとも呼びます。

データが不正に取得される

ARPキャッシュが書き換えられたことで、PC1からPC2へパケットを送信するときにカプセル化するイーサネットヘッダは、宛先MACアドレスがPC-Hackになってしまいます。PC2宛てのパケットは、デフォルトゲートウェイのR1へ転送するはずですが、攻撃者のPC-Hackへ転送されて不正にパケットが取得されます。そして、攻撃者はパケットの取得を検出されないように、さらに本来のデフォルトゲートウェイへパケットを転送します。

通信は双方向です。PC2からPC1へのリプライも攻撃者に不正に取得されます。R1のARPキャッシュを改ざんしているので、PC2からPC1へのリプライのパケットをカプセル化するイーサネットヘッダは、宛先MACアドレスがPC-Hackとなってしまいます。そのため、リプライも攻撃者に取得されてしまいます。