ARP-Spoofing.

ARP-Spoofing – auch ARP-Poisoning genannt – nutzt eine Designentscheidung aus, die seit RFC 826 (1982) in ARP steckt: Das Protokoll ist zustandslos und ohne Authentifizierung, sodass jeder Host einer unaufgeforderten („gratuitous") ARP-Antwort vertraut und seinen Cache überschreibt. Der Angreifer fälscht eine Antwort, in der er sich als Inhaber einer Ziel-IP – meist des Standardgateways – ausgibt, und das Opfer aktualisiert stillschweigend seine ARP-Tabelle. Für ein vollständiges MITM vergiftet der Angreifer beide Richtungen (Opfer→Gateway und Gateway→Opfer) und aktiviert IP-Forwarding, sodass der Verkehr transparent über ihn läuft, während beide Enden normale Konnektivität sehen.

Einmal im Pfad kann er Klartext mitschneiden, Sitzungen über gestohlene Cookies kapern, SSL-Stripping (sslstrip von Moxie Marlinspike, 2009) zum HTTPS-Downgrade ausführen, Antworten verändern oder Pakete gezielt verwerfen. Es ist die klassische LAN-Primitive, automatisiert durch arpspoof (dsniff), Ettercap, Bettercap und das historische Cain & Abel. IPv6 hat eine analoge Schwäche in Neighbor Discovery (NDP-Spoofing).

Schutz: Dynamic ARP Inspection (DAI) prüft ARP-Pakete gegen die DHCP-Snooping-Bindungstabelle und verwirft Abweichungen; statische ARP-Einträge fixieren kritische Hosts; arpwatch meldet MAC/IP-Änderungen; Port Security und 802.1X begrenzen unautorisierte Geräte; und Ende-zu-Ende-Verschlüsselung mit HSTS entwertet abgefangenen Verkehr.

flowchart LR
  A[Angreifer] -->|"gratuitous ARP: ich bin das Gateway"| V[Opfer]
  A -->|"gratuitous ARP: ich bin das Opfer"| G[Gateway/Router]
  V -->|Verkehr ins Internet| A
  A -->|weitergeleitet| G
  G -->|Antwort| A
  A -->|weitergeleitet| V
  A -.->|Sniffing / SSL-Strip / Manipulation| A