ARP-väärennös

ARP-väärennös tarkoittaa tavallisesti sitä, että laitteelle lähetetään ARP-vastaus, jota se ei ole pyytänyt. ARP-vastauksesta ilmenee, mikä MAC-osoite tietyllä IP-osoitteella on. Mikäli väärennetyn ARP-vastauksen saanut laite haluaa kommunikoida tälle IP-osoitteelle, liittää se lähetettävään pakettiin vastaanottajaksi ARP-väärennösviestissä olleen MAC-osoitteen. Tällöin liikenne ohjautuu haluttaessa laitteelle, josta liikennettä voidaan kuunnella tai muokata, ennen kuin alun perin haluttu vastaanottaja saa paketit.

Mikäli ARP-vastauksiin asetetaan olemattomia tai ristiriitaisia MAC-osoitteita, ei virheelliset vastaukset tallentanut laite pysty kommunikoimaan IP-osoitteisiin, joita ARP-väärennökset koskevat.

Kehittyneempi tapa tehdä ARP-väärennös on kuunnella ARP-kyselyitä. Tällöin väärentäjä vastaa ARP-kyselyyn haluamallaan MAC-osoitteella. Myös IP-osoitteen oikeasti omistava laite vastaa pyyntöön, jolloin ARP-kysyjä voi saada kaksi tai useampia vastauksia. Laitteen ominaisuuksista riippuu, tallennetaanko ARP-tauluun ensimmäiseksi vastaanotetun vai viimeisimmän ARP-vastauksen ilmoittama MAC-osoite.

Herkin kohta ARP-väärennökselle ethernetverkossa on oletusyhdyskäytävän (default-gateway) MAC-osoite. Mikäli oletusyhdyskäytävän MAC-osoite laitteen ARP-taulussa ei vastaa oikeaa, voidaan kaikki muihin verkkoihin menevä liikenne väärentää ja/tai salakuunnella.

Havaitseminen ja suojautuminen

Verkossa laiteominaisuuksista riippuen kytkimet, palomuuri tai reititin voidaan asettaa havainnoimaan ARP-väärennöksiltä vaikuttavia muutoksia. Oletusyhdyskäytävän MAC-osoite voidaan kiinteästi määrittää porttiin, jossa se fyysisesti sijaitsee. Mikäli sama MAC-osoite havaitaan muualla, voidaan portti sulkea automaattisesti ja raportoida tapahtuma eteenpäin. Ilman automaattista havainnointia voidaan kytkimen MAC-tauluja selaamalla selvittää, missä portissa tietty MAC-osoite sijaitsee.

Tietokoneissa ARP-väärennökseltä voi suojautua uudehkolla palomuurilla. Yksinkertaisimmillaan palomuurin tapa torjua ARP-väärennökset on yhteyksien tilojen valvominen. Mikäli ARP-kyselyä tiettyä IP-osoitetta varten ei ole tehty, ei myöskään ARP-vastausta oteta vastaan.

Esimerkiksi päivittämätön Windows XP tallettaa kaikki sille kohdennetut ARP-vastaukset muistiinsa, jolloin sen liikenteen kuuntelu on helppoa. Uusimmissa verkkokorteissa voidaan ARP-huijauksia torjua jopa ajuritasolla.

Väärentyneet ARP-osoitteet käytännössä

Tilanteessa, jossa verkossa on tai on ollut kaksi samalle IP-osoitteelle konfiguroitua laitetta, ilmenee ARP-väärennöksen tapaisia ongelmia. Mikäli sama IP-osoite on edelleen usealla laitteella, voidaan se havaita Linux-käyttöjärjestelmissä arping-komennolla. Mikäli arping-komento saa useita vastauksia, nähdään vastaajien MAC-osoitteet ja ylimääriänen IP-osoite voidaan paikallistaa.

Palomuureja syytetään usein viallisiksi verkko-ongelmista, varsinkin jos ongelmat ratkeavat palomuurin sammuttamisella. Palomuuri voi kuitenkin toimia oikein. Mikäli verkkopalvelun (virtualipalvelintekniikat) tai palvelimen (fyysinen verkkokortti) IP-osoite on vaihtunut, se ei ehkä enää vastaa palomuurin sille muistamaa MAC-osoitetta. Tällöin liikenteen läpipäästäminen merkitsisi ARP-väärennöksen sallimista.