DHCP.

動的ホスト構成プロトコル(Dynamic Host Configuration Protocol)は、IPv4 では RFC 2131、IPv6(DHCPv6)では RFC 8415 で規定され、IP アドレスの割り当てと、サブネットマスク、デフォルトゲートウェイ、DNS サーバ、NTP サーバ、PXE ブートオプションといったネットワークパラメータの配布を自動化します。典型的なやり取りは DORA(Discover、Offer、Request、Acknowledge)で、UDP ポート 67(サーバ)と 68(クライアント)上で行われます。

sequenceDiagram
  participant C as クライアント
  participant S as DHCP サーバ
  participant R as ローグサーバ
  C->>S: DHCPDISCOVER（ブロードキャスト）
  R-->>C: DHCPOFFER（ローグ、より高速）
  S->>C: DHCPOFFER（正規）
  C->>R: DHCPREQUEST（最初の/ローグの応答を受諾）
  R-->>C: DHCPACK + 攻撃者の DNS/ゲートウェイ
  Note over C,R: 被害者は攻撃者経由でルーティングするようになる

元のプロトコルには認証がないため、2 種類の攻撃が主流です。ローグ DHCP 攻撃では、悪意あるサーバが正規のサーバと競って DISCOVER メッセージに応答し、攻撃者が制御するゲートウェイや DNS の値を配布して、オンパスでの傍受を可能にします。DHCP スターベーションでは、Yersinia のようなツールが偽装した MAC アドレスで DISCOVER をあふれさせてアドレスプールを枯渇させ、多くの場合ローグサーバの下準備とします。RFC 3118 はメッセージ認証を定義しましたが、実質的にほとんど導入されていません。実用的な緩和策はスイッチ上にあります。DHCP スヌーピング は信頼できるアップリンクポートを指定し、正規の IP/MAC/ポートの組からなるバインディングテーブルを構築します。このテーブルは続いて Dynamic ARP Inspection と IP Source Guard に供給されます。これらを、ポートあたりの MAC アドレス数を制限するポートセキュリティや、802.1X ベースのアクセス制御と組み合わせます。