IP-Spoofing.

Beim IP-Spoofing wird das 32-Bit- (IPv4) oder 128-Bit-Quelladressfeld (IPv6) im Paket-Header so umgeschrieben, dass es scheinbar von einer anderen Maschine stammt. Da das klassische Internet Datagramme allein anhand des Ziels weiterleitet und die Quelle nie überprüft, kann ein Host Pakete aussenden, die nahezu jeden beliebigen Ursprung vorgeben. Angreifer nutzen dies aus, um ACLs zu umgehen, die bestimmten Adressen vertrauen, den Ursprung von Scans zu verschleiern, blinde oder Off-Path-TCP-Angriffe durchzuführen und – am schädlichsten – Reflection-/Amplification-DDoS anzutreiben: Der Angreifer sendet kleine Anfragen an offene Reflektoren (DNS, NTP, memcached, CLDAP) mit der IP des Opfers als gefälschter Quelle, sodass jede große Antwort beim Opfer landet.

Die Technik liegt den größten je verzeichneten Floods zugrunde. Der Smurf-Angriff von 1997 fälschte die Adresse des Opfers in ICMP-Echo-Requests, die an Broadcast gesendet wurden, sodass ganze Subnetze antworteten. Im Februar 2018 wurde GitHub von einem memcached-Amplification-Flood mit rund 1,35 Tbps getroffen, der vollständig auf gefälschtem UDP an Port 11211 aufbaute; Tage später traf ein noch größerer einen US-Provider.

Die Abhilfe liegt größtenteils bei den Netzbetreibern, nicht beim Opfer. BCP 38 (RFC 2827) und die Ingress-Filterung nach BCP 84, Unicast Reverse Path Forwarding (uRPF) und Source Address Validation (SAVI) verwerfen gefälschte Pakete am Rand, bevor sie überhaupt austreten. Authentifizierte Transportprotokolle (TLS, IPsec) und die zufälligen Sequenznummern von TCP vereiteln die Identitätsfälschung weiter unten im Stack.

flowchart LR
  A[Angreifer] -->|Quelle = Opfer-IP| R[Offener Reflektor<br/>DNS / NTP / memcached]
  R -->|große Antwort an gefälschte Quelle| V[(Opfer)]
  subgraph Abwehr
    E[Edge-Router: BCP 38 / uRPF]
  end
  A -.gefälschtes Paket verworfen.-> E