Каждый пакет, передаваемый через интернет, содержит IP-адрес источника — адрес, на который должны приходить ответы. IP-спуфинг означает подделку этого поля, чтобы пакет выглядел так, будто он пришёл из другого места.
Как это работает
Сам протокол IP не проверяет адрес источника. Программа с низкоуровневым доступом к сети может вписать в пакет любой адрес. Получающий сервер не может по одному только пакету понять, что адрес поддельный, и отправляет ответ на подделанный адрес, а не злоумышленнику.
Именно эта последняя деталь ограничивает возможности спуфинга.
Для чего спуфинг можно и нельзя использовать
Его можно использовать для:
- DDoS-атак с усилением (amplification): злоумышленники отправляют небольшие запросы на публичные серверы (например, открытые DNS-резолверы или NTP-серверы), указывая в качестве источника адрес жертвы. Серверы отправляют жертве гораздо более крупные ответы и перегружают её. Подробнее — в статье что такое DDoS-атака.
- SYN-флуда: отправки огромного количества запросов на соединение со случайных поддельных адресов, чтобы исчерпать ресурсы сервера.
- Обхода простых фильтров по IP в сетях, которые доверяют определённым адресам без дополнительных проверок.
Его нельзя использовать для:
- Посещения сайтов с поддельным IP. Веб-трафику нужно двустороннее TCP-соединение; ответы уходят на поддельный адрес, поэтому соединение так и не устанавливается.
- Сокрытия своего IP от сайта, которым вы хотите пользоваться. Для этого применяют VPN или прокси-сервер, у которых есть настоящие адреса.
Как сети защищаются от спуфинга
- Фильтрация входящего трафика (BCP 38): провайдеры отбрасывают пакеты, покидающие их сеть с адресами источника, которые ей не принадлежат. Это повсеместно рекомендуется, но внедрено далеко не везде.
- Проверка обратного пути (uRPF) на маршрутизаторах.
- TCP-рукопожатие и криптографическая аутентификация (TLS, VPN, SSH) делают поддельные пакеты бесполезными для реальных сеансов.
- Закрытие открытых резолверов и усилителей лишает атаки с усилением необходимых инструментов.
IP-спуфинг и другие виды «спуфинга»
- Спуфинг электронной почты подделывает отправителя письма. Подробнее — в статье что такое спуфинг электронной почты.
- GPS-спуфинг подделывает местоположение устройства.
- Подмена номера (Caller ID spoofing) подделывает номер, который отображается при звонке.
Часто задаваемые вопросы
Может ли кто-то подделать мой IP-адрес?
Его могут вписать в поддельные пакеты — например, чтобы создать впечатление, будто с вашего адреса кого-то атаковали. Журналы провайдеров обычно показывают настоящий источник.
Можно ли найти настоящий источник поддельных пакетов?
По самому пакету — нет. Провайдеры могут отследить трафик в своих сетях с помощью журналов и данных о потоках.
Является ли IP-спуфинг незаконным?
Использование его для атак или мошенничества незаконно в большинстве стран. Исследователи применяют его в контролируемых тестах.