DHCP Spoofing
DHCP Spoofing tip je napada u kojem napadač postavi vlastiti DHCP poslužitelj i šalje lažne DHCP odgovore uređajima unutar neke mreže. Jedan je od nedostataka DHCP protokola činjenica što se ne koristi nikakva autentifikacija pri slanju i prihvaćanju zahtjeva za dodjelom IP adresa. Dakle, potencijalno bilo koji uređaj dodijeliti IP adresu nekome tko ju je zatražio. To znači da napadač može IP adresu svog računala dodijeliti kao slobodnu i preusmjeriti korisnikov promet na svoje računalo.
DHCP funkcionira tako da klijent pošalje zahtjev za dodjelom IP adrese svim dostupnim poslužiteljima. Ako se više poslužitelja javi, klijent reagira samo na prvi odgovor. Nakon toga uspostavi se komunikacija. Bitno je naglasiti da sam protokol ne zahtijeva nikakvu autentifikaciju poslužitelja prije uspostave komunikacije. Upravo je iz tog razloga moguće provesti DHCP Spoofing.
Na slici ispod prikazan je cijeli proces:
Prvo korisnik (Normal user) pošalje zahtjev DHCP poslužitelju za IP adresom. Nakon toga se preplave sva sučelja u mreži zato da čim prije netko reagira na zahtjev. To znači da se zahtjev pošalje legitimnom, ali i lažnom (engl. rogue) DHCP poslužitelju. Ako napadač odgovori najbrže, sva komunikacija teče preko njegovog poslužitelja. Iako će i legitimni poslužitelj poslati ponudu za IP adresom, ona će biti ignorirana. Klijent će uspostaviti komunikaciju s napadačevim poslužiteljem i neće primijetiti nikakvu razliku u odnosu na komunikaciju s legitimnim poslužiteljem. Napadač sad može provesti man-in-the-middle napad tako što postavi svoju adresu za adresu zadanih vrata (engl. default gateway). To mu omogućuje presretanje prometa između svih uređaja koji su spojeni na tu mrežu.
Zaštita
Nekoliko je načina za zaštitu od ovog napada. Jedan je da se informacije o IP adresu ručno konfiguriraju na svim krajnjim točkama mreže. U većim mrežama je ovo gotovo nemoguće ostvariti. Drugi način je implementirati značajku DHCP snooping na mrežne priključke. To je sigurnosna značajka koja radi na drugom sloju OSI modela (sloj podatkovne veze). On se nalazi neposredno ispod sloja na kojem operira sam DHCP (mrežni, treći sloj). Važno je da je provjera u sloju ispod jer se na taj način osigura da se zahtjev ni ne šalje u daljnje slojeve ako ne prođe provjeru. DHCP snooping održava tablicu (engl. DHCP snooping binding table) koja sadrži informacije o svim sučeljima na preklopniku (engl. switch). Sadrži informacije o MAC i IP adresama kojima se može vjerovati te još neke dodatne informacije. Ta se tablica kasnije koristi za validaciju svih zahtjeva koji pristižu.
Priključci (engl. ports) se dijele na one kojima se vjeruje (engl. trusted) i one kojima ne (engl. unstrusted). Trusted ports su koji su povezani na usmjernike, poslužitelje i ostale uređaje za upravljanje mrežom. Oni jedini mogu primati Offer i Acknowledgement poruke. Ako se one pošalju nekom drugom priključku, zahtjev se odbija. Untrusted ports su oni na koje se spajaju korisnički uređaji.
Djeluje neintuitivno što se svi korisnici, legitimni i zlonamjerni, povezuju na untrusted ports. No, u ovom slučaju nije problem ako se napadač nađe kao korisnik u mreži. Naime, ako napadač ima ulogu klijenta, ne može presretati ili utjecati na komunikaciju drugih klijenata. To može samo ako se predstavi kao poslužitelj. Zato je važno provjeravati zahtjeve uređaja koji su zaduženi za dodjelu IP adresa kako bi se osiguralo da nitko nije preusmjerio promet na svoje računalo. Dakle, za ostvarenje DHCP Spoofinga nije važno tko je korisnik, već je samo važno tko upravlja dodjelom IP adresa.