ARP スプーフィング.

ARP スプーフィング(ARP ポイズニング)は、RFC 826(1982 年)以来 ARP に組み込まれた設計上の判断を悪用します。すなわちこのプロトコルはステートレスで認証を持たないため、どのホストも要求していない「gratuitous(無償)」ARP 応答を信じてキャッシュを上書きします。攻撃者は対象 IP(多くはデフォルトゲートウェイ)を自分のものだと偽る応答を送り、被害ホストは黙って ARP テーブルを更新します。完全な MITM を行うには、攻撃者は両方向(被害者→ゲートウェイ、ゲートウェイ→被害者)を汚染し IP 転送を有効化するため、両端は正常な接続に見えたまま通信が透過的に攻撃者を経由します。

経路上に入れば、平文の盗聴、盗んだ Cookie によるセッションハイジャック、SSL ストリッピング(Moxie Marlinspike の sslstrip、2009 年)による HTTPS ダウングレード、応答の改竄、選択的なパケット破棄が可能です。これは arpspoof(dsniff)、Ettercap、Bettercap、古典的な Cain & Abel によって自動化される、典型的な LAN の攻撃プリミティブです。IPv6 も近隣探索(NDP スプーフィング)に同様の弱点を持ちます。

対策:Dynamic ARP Inspection(DAI)は ARP パケットを DHCP スヌーピングのバインディングテーブルと照合し不一致を破棄します。静的 ARP エントリで重要ホストを固定し、arpwatch は MAC/IP の変化を警告します。ポートセキュリティと 802.1X は不正端末を制限し、エンドツーエンド暗号化と HSTS は傍受された通信を無価値にします。

flowchart LR
  A[攻撃者] -->|"gratuitous ARP: 私はゲートウェイ"| V[被害者]
  A -->|"gratuitous ARP: 私は被害者"| G[ゲートウェイ/ルータ]
  V -->|インターネット向け通信| A
  A -->|転送| G
  G -->|応答| A
  A -->|転送| V
  A -.->|盗聴 / SSL ストリップ / 改竄| A