Förklaring vad är ARP

Address Resolution Protocol (ARP)

Introduktion

Address Resolution Protocol (ARP) är ett protokoll som används för att översätta IP-adresser till fysiska MAC-adresser i ett lokalt nätverk. Detta är nödvändigt för att nätverkskommunikation ska kunna ske korrekt, eftersom medan IP-adresser används för att identifiera enheter på nätverkslagret, används MAC-adresser på länklagret.

Funktion och Syfte

ARP spelar en kritisk roll i nätverkskommunikation. Dess huvuduppgift är att mappa en 32-bitars IP-adress till en 48-bitars MAC-adress. Detta gör det möjligt för en dator att skicka data till rätt enhet på ett lokalt nätverk.

ARP-tabellen

Varje nätverksenhet upprätthåller en ARP-tabell, en cache som lagrar IP- och MAC-adresspar. När en enhet behöver kommunicera med en annan, kontrollerar den först sin ARP-tabell för att se om den önskade MAC-adressen redan är känd. Om så är fallet, används den lagrade adressen; om inte, initieras en ARP-förfrågan.

Hur ARP fungerar

ARP-förfrågan och ARP-svar

När en enhet vill skicka data till en annan enhet på samma nätverk, skickar den en ARP-förfrågan. Detta är ett broadcast-meddelande som skickas till alla enheter på nätverket, och som frågar efter MAC-adressen till den enhet som har en specifik IP-adress.

ARP Request: - Källa IP-adress: Avsändarens IP - Källa MAC-adress: Avsändarens MAC - Destination IP-adress: Målets IP - Destination MAC-adress: 00:00:00:00:00:00 (okänd)

När den enhet med den matchande IP-adressen tar emot denna förfrågan, svarar den med ett ARP-svar som innehåller dess MAC-adress.

ARP Reply: - Källa IP-adress: Mottagarens IP - Källa MAC-adress: Mottagarens MAC - Destination IP-adress: Avsändarens IP - Destination MAC-adress: Avsändarens MAC

ARP-cache och dess betydelse

Varje enhet som använder ARP håller en ARP-cache. Denna cache lagrar nyligen inhämtade IP- till MAC-adressbindningar för att undvika att behöva göra en ARP-förfrågan för varje paket. ARP-cachelagringstid varierar beroende på operativsystem och nätverkskonfiguration, men typiskt är den några minuter.

Vanliga problem med ARP

ARP-spoofing

ARP-spoofing är en teknik där en angripare skickar falska ARP-meddelanden på ett lokalt nätverk. Detta kan leda till att felaktiga IP- till MAC-adressbindningar lagras i enheters ARP-cache, vilket gör det möjligt för angriparen att avlyssna, modifiera eller stoppa datatrafik.

För att skydda sig mot ARP-spoofing kan man använda säkerhetsåtgärder som statiska ARP-tabeller eller säkerhetsprotokoll som Dynamic ARP Inspection (DAI).

Hur ARP-spoofing fungerar

ARP-spoofing fungerar genom att utnyttja den grundläggande funktionen hos ARP-protokollet, som inte har någon autentiseringsmekanism. Här är en steg-för-steg beskrivning av hur en typisk ARP-spoofing-attack utförs:

1. Förberedelser: Angriparen ansluter till det lokala nätverket och identifierar IP-adresserna till de målenheter som ska attackeras. Detta inkluderar oftast nätverkets gateway och en eller flera klienter.

2. Skicka falska ARP-meddelanden: Angriparen skickar falska ARP-meddelanden (ARP-svar) till både gatewayen och klienten. Dessa meddelanden innehåller angriparens MAC-adress, men de använder IP-adressen till den legitima enheten. Detta lurar både gatewayen och klienten att uppdatera sina ARP-cacher med felaktig information.

  Exempel på falska ARP-meddelanden:

  - Till klienten:
    Källa IP-adress: Gatewayens IP (ex. 192.168.1.1)
    Källa MAC-adress: Angriparens MAC (ex. 00:11:22:33:44:55)
    Destination IP-adress: Klientens IP (ex. 192.168.1.2)
    Destination MAC-adress: Klientens MAC

  - Till gatewayen:
    Källa IP-adress: Klientens IP (ex. 192.168.1.2)
    Källa MAC-adress: Angriparens MAC (ex. 00:11:22:33:44:55)
    Destination IP-adress: Gatewayens IP (ex. 192.168.1.1)
    Destination MAC-adress: Gatewayens MAC

3. ARP-cacheuppdatering: Efter att de falska ARP-meddelandena tagits emot, uppdaterar både klienten och gatewayen sina ARP-cacher. Nu tror klienten att angriparens MAC-adress tillhör gatewayens IP-adress och vice versa.

4. Man-In-The-Middle (MITM): Med felaktiga ARP-tabeller skickar nu både klienten och gatewayen all trafik till angriparens MAC-adress. Angriparen kan då agera som en mellanhand (MITM), fånga upp, läsa, och eventuellt modifiera all trafik innan den skickas vidare till rätt mottagare.

5. Avsluta attacken: När angriparen har uppnått sina mål, kan attacken avslutas genom att sluta skicka falska ARP-meddelanden. ARP-cacherna kommer så småningom att rensas och uppdateras med korrekta adresser när legitima ARP-förfrågningar och svar skickas i nätverket.

Exempel på en ARP-spoofing-attack

Föreställ dig ett scenario där en angripare vill avlyssna trafiken mellan en användares dator (IP 192.168.1.2) och nätverkets gateway (IP 192.168.1.1).

1. Identifiering av mål: Angriparen identifierar IP-adresserna för både användarens dator och gatewayen.

2. Skicka falska ARP-meddelanden: Angriparen skickar följande två falska ARP-meddelanden periodiskt för att hålla ARP-tabellerna förgiftade:

  - Till användarens dator:
    Källa IP-adress: 192.168.1.1
    Källa MAC-adress: 00:11:22:33:44:55 (angriparens MAC)
    Destination IP-adress: 192.168.1.2
    Destination MAC-adress: Användarens MAC

  - Till gatewayen:
    Källa IP-adress: 192.168.1.2
    Källa MAC-adress: 00:11:22:33:44:55 (angriparens MAC)
    Destination IP-adress: 192.168.1.1
    Destination MAC-adress: Gatewayens MAC

3. MITM: All trafik mellan användarens dator och gatewayen passerar nu genom angriparens dator. Angriparen kan då:

  - Avlyssna trafik, inklusive känslig information som lösenord och personliga meddelanden.
  - Modifiera trafiken, till exempel genom att infoga skadlig kod i data som skickas till användarens dator.
  - Stoppa trafiken, vilket kan resultera i avbrott av nätverkstjänster för användaren.

4. Avsluta attacken: När angriparen är klar kan de sluta skicka falska ARP-meddelanden, och ARP-tabellerna kommer så småningom att återgå till sina korrekta tillstånd när legitima ARP-förfrågningar och svar skickas.

Skydd mot ARP-spoofing

Det finns flera metoder för att skydda nätverk mot ARP-spoofing-attacker:

• Användning av statiska ARP-tabeller där det är möjligt, vilket förhindrar ändringar i ARP-cache.
• Implementering av säkerhetsprotokoll som Dynamic ARP Inspection (DAI), som validerar ARP-meddelanden innan de tillåts uppdatera ARP-cache.
• Övervakning av nätverkstrafik för att upptäcka och reagera på ovanliga ARP-meddelanden.

ARP-cacheförgiftning

ARP-cacheförgiftning är en form av ARP-spoofing där angriparen manipulerar ARP-cache för att felaktigt associera sin MAC-adress med IP-adressen till en legitim enhet. Detta kan leda till attacker som Man-In-The-Middle (MITM).

Säkerhetsåtgärder

Det finns flera metoder för att förbättra säkerheten i ett nätverk mot ARP-relaterade attacker:

• Användning av statiska ARP-tabeller
• Implementering av Dynamic ARP Inspection (DAI)
• Övervakning av nätverkstrafik för att upptäcka ovanliga ARP-meddelanden

Konfiguration och Verktyg

Konfigurera statiska ARP-poster

I många operativsystem kan administratörer manuellt lägga till statiska ARP-poster. Detta kan vara särskilt användbart i mindre nätverk eller nätverk med specifika säkerhetskrav.

1. Exempel på hur man lägger till en statisk ARP-post i Linux

sudo arp -s 192.168.1.10 00:11:22:33:44:55

Verktyg för ARP-hantering

Det finns flera verktyg tillgängliga för att hantera och övervaka ARP-trafik i ett nätverk:

• arp: Ett kommandoradsverktyg som finns i de flesta operativsystem för att visa och manipulera ARP-cache.
• arpwatch: Ett verktyg som övervakar Ethernet- och IP-adressbindningar.
• Wireshark: Ett kraftfullt nätverksanalysverktyg som kan användas för att analysera ARP-trafik.

Slutsats

ARP är ett grundläggande protokoll för nätverkskommunikation, och dess korrekta funktion är avgörande för att säkerställa effektiv och säker dataöverföring. Genom att förstå ARP och implementera lämpliga säkerhetsåtgärder kan nätverksadministratörer minimera riskerna för ARP-relaterade attacker och upprätthålla robust nätverkssäkerhet.

Referenser

• Stevens, W. Richard. "TCP/IP Illustrated, Volume 1: The Protocols." Addison-Wesley, 1994.
• Comer, Douglas E. "Internetworking with TCP/IP Volume One." Pearson, 2013.
• Tanenbaum, Andrew S., and David J. Wetherall. "Computer Networks." Prentice Hall, 2010.
• [ARP Spoofing and MITM Attack](https://www.securityfocus.com/infocus/1815)
• [ARP - Address Resolution Protocol](https://www.cisco.com/c/en/us/tech/ip/arp.html)

Se mer

Manunal sidan för ARP i Linux.