ARP poisoning Gli attacchi arrivano dalla tua connessione di Casa

Quando si parla di Internet e si parla di pagine WEB e di connessione al proprio gestore di telefonia con connessione alla rete, è necessario parlare di sicurezza..

Solo nel mese di Aprile 2010 un computer con Sistema Operativo aggiornato e, un buon sistema Antivirus aggiornato ha ricevuto almeno 500 attacchi dalla propria linea di connessione direttamente dalla rete del proprio gestore di telefonia, da un intermediario invisibile.. ma reale.. una persona che intercede e ruba informazioni sensibili con una tecnica chiamata Man in the middle.

Se l’utente fosse opportunamente protetto, non può sottrarsi agli attacchi, ma tuttavia ne può limitare i danni, in quanto verranno opportunamente rilevati e bloccati, dal proprio PC, se tale computer fosse frequentemente aggiornato con un buon sistema di Auto-Protezione e, si associano abitudini accurate nel utilizzare i propri PC...

Qualora si stia facendo un utilizzo che non richiede Internet ad esempio, suggeriamo anche lo spegnimento fisico del proprio HUB dove è collegato il PC.. o della propria AIRPort se si dovesse utilizzare una rete senza fili.

Gli Attacchi chiamati MITM o MIM
Questi attacchi arrivano dalla propria rete di connessione Lan (salvo che non si abbia una linea dedicata per connettersi a internet con una gestione accurata delle porte di connessione, tutti fanno parte di reti Lan gestite dai vari operatori di telefonia, dalle corporate cittadine). Si sta parlando del gestore con la quale si è stipulato il contratto di connessione, che a suo malgrado fa da ponte per questi attacchi ARP. «Questa tecnica di hacking, consente ad un attacker, in una switched lan, di concretizzare un attacco di tipo man in the middle verso tutte le macchine che si trovano nello stesso segmento di rete». Quindi siamo tutti sotto tiro e costantemente bombardati da diversi Attacker.

Infatti vengono sfruttate alcune vulnerabilità legate all’attuale rete di connessione Lan di Casa e, vengono rubati tutti i dati trasmessi dalle vittime fino al compimento del danno.
è buona norma evitare di fornire in chiaro, password, codici personali e bancari, in quanto verranno usate dall’Attacker per compiere il furto.

Man in the middle
In crittografia, l’attacco dell’uomo in mezzo, meglio conosciuto come man in the middle attack, MITM o MIM è un attacco nel quale l’attaccante è in grado di leggere, inserire o modificare a piacere, messaggi tra due parti senza che nessuna delle due sia in grado di sapere se il collegamento sia stato compromesso. L’attaccante deve essere in grado di osservare e intercettare il transito dei messaggi tra le due vittime.

Un vero mediatore nascosto che fa credere alle due vittime che stanno dialogando di essere in una regolare conversazione. Ma nel contempo vengono filtrati tutti i dati delle vittime e poi viene sferrato l’attacco verso i dati sensibili, una volta che si è in possesso delle opportune chiavi di accesso al conto corrente, al profilo del proprio account privato delle email e del social network alla quale si è iscritti o ai servizi online della quale si fa uso.

IL DANNO è FATTO..
è opportuno mantenere i lucchetti chiusi, un buon sistema di tipo Guardian «Auto-Protection» attivo, per scongiurare il furto di dati sensibili, che verrebbero utilizzati per danneggiare i propri averi e gli averi di coloro che frequentiamo virtualmente.

Un uso intelligente delle password è già un buon sistema per aumentare la sicurezza personale. L’utilizzo di password in modalità criptata e nascosta è indispensabile per limitare i danni.

Mantenere i lucchetti del vostro porta chiavi sempre chiuso aiuta a mantenere attiva la sicurezza dei vostri dati sensibili.

Questo attacco si basa su una debolezza intrinseca nel protocollo ARP: mancanza di un meccanismo di autenticazione.

ARP poisoning
In ambito informatico, l’ARP poisoning (detto anche ARP spoofing) è una tecnica di hacking che consente ad un attacker, in una switched lan, di concretizzare un attacco di tipo man in the middle verso tutte le macchine che si trovano nello stesso segmento di rete.

L’ARP poisoning è oggi la principale tecnica di attacco alle lan commutate. Consiste nell’inviare intenzionalmente e in modo forzato risposte ARP contenenti dati inesatti o, meglio, non corrispondenti a quelli reali.

In questo modo la tabella ARP (ARP entry cache) di un host conterrà dati alterati (da qui i termini poisoning, letteralmente avvelenamento e spoofing, raggiro). Molto spesso lo scopo di questo tipo di attacco è quello di redirigere, in una rete commutata, i pacchetti destinati ad un host verso un altro al fine di leggere il contenuto di questi per catturare le password che in alcuni protocolli viaggiano in chiaro.

L’utilizzo di IPv6, IPsec o di tabelle ARP statiche sono metodi che possono rivelarsi una difesa efficace contro attacchi di tipo ARP spoofing. Ovviamente è impensabile mantenere aggiornate le tabelle ARP di ogni host in una rete di grande dimensioni.

Altre soluzioni potrebbero essere:
ArpON “Arp handler inspectiON“ è una soluzione open source che rileva e blocca tutti gli attacchi Arp poisoning e spoofing attraverso due approci: Static ARP Inspection (SARPI) e Dynamic ARP Inspection (DARPI) su LAN switched/hubbed con o senza DHCP.

usare un software come arpwatch che esamina le attività di rete e ne evidenzia le discordanze o come OpenAAPD, un demone anti ARP poisoning per OpenBSD o ancora un intrusion detection system (IDS) come Snort.

usare il port security sugli switch ovvero fare in modo che per ciascuna porta del dispositivo possa esserci solo un MAC address.
SARP ovvero Secure ARP, un’estensione del protocollo ARP che si basa sulla crittografia asimmetrica, così da poter autenticare il mittente.
implementare 802.1x nella propria rete.
Avendone la possibilità (è necessario avere switch che supportano 802.1x e un server RADIUS), di sicuro la migliore soluzione è implementare 802.1x.


fonti LSNN / Wikipedia

nota dell’autrice
mentre sto scrivendo questo articolo ho subito altri due attacchi.. speriamo che si stancano.
tutti riconosciuti come attacchi ARP da non confondere con scansioni classiche eseguite da qualche sconosciuto che non ha ancora brutte intenzioni.