هر بسته‌ای که در اینترنت ارسال می‌شود یک آدرس IP مبدأ دارد؛ آدرسی که پاسخ‌ها باید به آن بروند. جعل IP (IP spoofing) یعنی جعل این فیلد تا بسته طوری به نظر برسد که از جای دیگری آمده است.
چگونه کار می‌کند
خود پروتکل IP آدرس مبدأ را بررسی نمی‌کند. برنامه‌ای با دسترسی سطح پایین به شبکه میتواند هر آدرسی را در یک بسته بنویسد. سرور گیرنده نمی‌تواند فقط از روی بسته تشخیص دهد که آدرس جعلی است و پاسخ خود را به آدرس جعلی می‌فرستد، نه به مهاجم.
همین نکتهٔ آخر کارهایی را که با جعل IP می‌توان انجام داد محدود می‌کند.
جعل IP برای چه کارهایی قابل استفاده است و برای چه کارهایی نه
برای این کارها قابل استفاده است:
- تقویت DDoS (DDoS amplification): مهاجمان درخواست‌های کوچکی با آدرس قربانی به‌عنوان مبدأ به سرورهای عمومی (مثلاً DNS resolverهای باز یا سرورهای NTP) می‌فرستند. سرورها پاسخ‌های بسیار بزرگ‌تری به قربانی می‌فرستند و او را غرق می‌کنند. حملهٔ DDoS چیست را ببینید.
- SYN flood: ارسال تعداد بسیار زیادی درخواست اتصال از آدرس‌های جعلی تصادفی برای از پا درآوردن سرور.
- دور زدن فیلترهای سادهٔ مبتنی بر IP در شبکه‌هایی که بدون بررسی بیشتر به آدرس‌های خاصی اعتماد می‌کنند.
برای این کارها قابل استفاده نیست:
- وب‌گردی با IP جعلی. ترافیک وب به یک اتصال TCP دوطرفه نیاز دارد؛ پاسخ‌ها به آدرس جعلی می‌روند، بنابراین اتصال هرگز کامل نمی‌شود.
- پنهان کردن IP خود از وب‌سایتی که می‌خواهید از آن استفاده کنید. برای این کار، افراد از VPN یا پراکسی استفاده می‌کنند که آدرس‌های واقعی دارند.
شبکه‌ها چگونه از آن جلوگیری می‌کنند
- فیلترینگ ورودی (Ingress filtering، BCP 38): ارائهدهندگان بسته‌هایی را که با آدرس مبدأ متعلق به شبکهٔ دیگری از شبکه‌شان خارج می‌شوند کنار می‌گذارند. این روش بسیار توصیه می‌شود اما همه‌جا پیاده‌سازی نشده است.
- بررسی مسیر معکوس (uRPF) روی روترها.
- TCP handshake و احراز هویت رمزنگاری‌شده (TLS، VPNها، SSH) بستههای جعلی را برای نشست‌های واقعی بی‌فایده می‌کنند.
- بستن resolverها و تقویت‌کننده‌های باز ابزارهای مورد نیاز حملات تقویتی را از بین می‌برد.
جعل IP در برابر سایر انواع «جعل»
- جعل ایمیل فرستندهٔ ایمیل را جعل می‌کند. جعل ایمیل چیست را ببینید.
- جعل GPS موقعیت یک دستگاه را جعل می‌کند.
- جعل Caller ID شماره‌ای را که در تماس نمایش داده می‌شود جعل می‌کند.
سوالات متداول
آیا کسی میتواند آدرس IP من را جعل کند؟
میتواند آن را در بستههای جعلی قرار دهد، مثلاً برای اینکه به نظر برسد آدرس شما به کسی حمله کرده است. لاگهای ارائهدهندگان معمولاً مبدأ واقعی را نشان میدهند.
آیا میتوانم منبع واقعی بستههای جعلی را پیدا کنم؟
نه از روی خود بسته. ارائهدهندگان میتوانند با لاگها و دادههای جریان (flow data) ترافیک را در شبکههای خود ردیابی کنند.
آیا جعل IP غیرقانونی است؟
استفاده از آن برای حمله یا کلاهبرداری در بیشتر کشورها غیرقانونی است. پژوهشگران از آن در آزمایش‌های کنترل‌شده استفاده می‌کنند.