58 - Útoky v počítačových sítích a ochrana před nimi (útoky na DHCP, ARP, tabulku CAM).
pondělí 21. května 2018
17:22
DHCP Spoofing
Normální komunikace u DHCP je:
DHCP Discover
Brodcast
Klient hledá DHCP server
DHCP Offer
DHCP server odpoví, že tady je, a nabídne mu konfiguraci
DHCP Request
Lease request
Klient požaduje přidělení konfigurace od serveru
DHCP Acknowledgement
DHCP dá najevo, že rozumí a přidělí mu to
Útočník se může vydávat za DHCP server a poslat DHCP Offer dřív než správný DHCP server
Klient potom bude považovat útočníkovi informace za správné a nastaví si podle nich konfiguraci
Komunikace potom půjde přes útočníka
DHCP snooping 
Obrana před spoofingem
Směrovač ví na kterém portu je DHCP server a Offery z ostatních portů zahazuje
Vytváří si databázi úspěšných DHCP transakcí
CAM overflow
Do CAM tabulky se ukládají údaje o mapování MAC adres na porty, aby switch věděl, kam má posílat data a nemusel každý paket broadcastovat (obr. 1)
CAM tabulka má omezenou kapacitu a tak útočník může poslat velké množství paketů, které naplní CAM tabulku (obr. 2)
Když je tabulka plná, tak switchi nezbyde nic jiného než ty pakety co nemá v tabulce broadcastovat (obr. 3)
Útočník potom může číst všechen provoz 
Útok funguje jen po dobu platnosti záznamů
Port security
Obrana proti CAM overflow
Povolené pouze předkonfigurované adresy MAC
Omezen počet adres MAC na port
ARP Spoofing
Každý PC má ARP tabulku, která obsahuje mapování IP na MAC adresy
Pokud nám dojde paket s určitou IP adresou do lokální sítě, tak se podíváme do ARP tabulky jaká tomu odpovídá MAC adresa a na tu to pošleme (obr. 1)
ARP
ARP Request: Dotaz na MAC adresu toho, kdo má danou IP adresu
ARP Reply: Odpověď od příslušného uzlu, který pošle svoji MAC adresu
Útočník může poslat ARP reply s cizí IP adresou a svojí MAC adresou (obr. 2)
Cíl si bude myslet, že to posílá správné stanici, ale ve skutečnosti to posílá útočníkovi 
MitM útok (obr. 3)
Dynamic ARP Inspection
Obrana před ARP spoofingem
Port security nezkoumá obsah – filtruje pouze na základě Ethernet hlavičky
Dynamic ARP Inspection testuje ARP pakety a povoluje pouze správné 
Notes