Jedes Paket, das über das Internet verschickt wird, trägt eine Absender-IP-Adresse, also die Adresse, an die Antworten gehen sollen. IP-Spoofing bedeutet, dieses Feld zu fälschen, damit ein Paket scheinbar von woanders kommt.
So funktioniert es
IP selbst prüft die Absenderadresse nicht. Ein Programm mit Low-Level-Netzwerkzugriff kann jede beliebige Adresse in ein Paket schreiben. Der empfangende Server kann allein am Paket nicht erkennen, dass die Adresse gefälscht ist, und schickt seine Antwort an die gefälschte Adresse, nicht an den Angreifer.
Genau dieses Detail begrenzt, was Spoofing leisten kann.
Wofür Spoofing taugt und wofür nicht
Es kann genutzt werden für:
- DDoS-Verstärkung (Amplification): Angreifer schicken kleine Anfragen an öffentliche Server (zum Beispiel offene DNS-Resolver oder NTP-Server) und tragen die Adresse des Opfers als Absender ein. Die Server schicken viel größere Antworten an das Opfer und überfluten es. Siehe Was ist ein DDoS-Angriff?.
- SYN-Floods: Riesige Mengen an Verbindungsanfragen von zufälligen gefälschten Adressen, um einen Server zu überlasten.
- Umgehen einfacher IP-basierter Filter in Netzwerken, die bestimmten Adressen ohne weitere Prüfung vertrauen.
Es kann nicht genutzt werden für:
- Surfen mit einer gefälschten IP. Web-Traffic braucht eine TCP-Verbindung in beide Richtungen; Antworten gehen an die gefälschte Adresse, also kommt die Verbindung nie zustande.
- Deine IP vor einer Website zu verbergen, die du nutzen willst. Dafür nutzt man ein VPN oder einen Proxy, die echte Adressen haben.
Wie Netzwerke es verhindern
- Ingress-Filterung (BCP 38): Anbieter verwerfen Pakete, die ihr Netz mit Absenderadressen verlassen, die nicht zu diesem Netz gehören. Weithin empfohlen, aber nicht überall umgesetzt.
- Reverse-Path-Prüfungen (uRPF) auf Routern.
- TCP-Handshakes und kryptografische Authentifizierung (TLS, VPNs, SSH) machen gefälschte Pakete für echte Sitzungen nutzlos.
- Das Schließen offener Resolver und Verstärker nimmt Amplification-Angriffen ihre Werkzeuge.
IP-Spoofing vs. anderes „Spoofing“
- E-Mail-Spoofing fälscht den Absender einer E-Mail. Siehe Was ist E-Mail-Spoofing?.
- GPS-Spoofing fälscht den Standort eines Geräts.
- Caller-ID-Spoofing fälscht die bei einem Anruf angezeigte Nummer.
Häufige Fragen
Kann jemand meine IP-Adresse spoofen?
Man kann sie in gefälschte Pakete schreiben, zum Beispiel damit es so aussieht, als hätte deine Adresse jemanden angegriffen. Die Logs der Anbieter zeigen meist den tatsächlichen Ursprung.
Kann ich die echte Quelle gespoofter Pakete herausfinden?
Nicht aus dem Paket selbst. Anbieter können den Traffic mit Logs und Flow-Daten durch ihre Netze zurückverfolgen.
Ist IP-Spoofing illegal?
Es für Angriffe oder Betrug einzusetzen, ist in den meisten Ländern illegal. Forschende nutzen es in kontrollierten Tests.