ARP.

Das Address Resolution Protocol ist in RFC 826 (1982) definiert und arbeitet an der Grenze zwischen Sicherungs- und Netzwerkschicht. Will ein Host ein IPv4-Paket an ein Ziel im selben Subnetz senden, sendet er einen ARP-Request per Broadcast ("Wer hat 192.168.1.1?"), und der Inhaber antwortet mit seiner MAC-Adresse. Die Zuordnung wird für spätere Frames in der ARP-Tabelle gecacht.

flowchart TD
  H[Host A will 192.168.1.1] -->|"Broadcast: Wer hat .1?"| LAN[(Broadcast-Domain)]
  LAN --> GW[Gateway .1]
  LAN --> ATK[Angreifer]
  GW -->|"Antwort: .1 ist aa:bb:cc"| H
  ATK -->|"Gratuitous-Reply: .1 ist meine MAC"| H
  H -.->|Cache vergiftet| ATK
  ATK -->|weiterleiten / mitlesen| GW

ARP kennt keine Authentifizierung, sodass jeder Host im Segment antworten oder unaufgeforderte Gratuitous-Antworten senden kann. Dies ermöglicht ARP-Spoofing bzw. ARP-Poisoning, bei dem Datenverkehr zum Mitlesen oder Manipulieren über einen Angreifer umgeleitet wird – das klassische On-Path-Primitiv (Man-in-the-Middle), automatisiert durch Werkzeuge wie arpspoof (aus dsniff), Ettercap und Bettercap. Da Antworten Cache-Einträge ohne jede Prüfung überschreiben, genügen wenige Pakete pro Sekunde, um den Hijack aufrechtzuerhalten. Verteidigungsmaßnahmen auf Managed Switches umfassen Dynamic ARP Inspection (DAI), die Antworten gegen die DHCP-Snooping-Bindungstabelle validiert, dazu statische ARP-Einträge für kritische Hosts, Port-Security und das Segmentieren von Vertrauensgrenzen mit VLANs. IPv6 verzichtet zugunsten von Neighbor Discovery (ICMPv6, RFC 4861) auf ARP; dessen SEND-Erweiterung (RFC 3971) ergänzt kryptografisch generierte Adressen, um derselben Spoofing-Klasse zu widerstehen.