ARP-spoofing

Степан Ильин aka Step

Xakep, номер #068, стр. 068-060-5

Как защититься от "нюхача"

Между обнаружением в LAN'е снифера и действиями, нацеленными на его устранение, может пройти немало времени. Поэтому любому пользователю локалки определенно стоит подумать о защите против "нюхачей". Бороться с ними, конечно, сложно, но в принципе можно. В первую очередь, не стоит забывать об одном очень важном бабушкином совете - всегда предохраняйся. Замена небезопасных протоколов надежными шифрованными аналогами станет серьезным барьером для сниферов. Поверь: далеко не все утилиты обладают схожими с ettercap'ом возможностями и умеют вылавливать пароли, идущие по криптованным протоколам.

Разумеется, заменить все небезопасные протоколы более продвинутыми на сегодняшний день нереально. Поэтому резонно задуматься о шифровании всего сетевого трафика на третьем уровне, например, с помощью IPSec (www.ietf.org/html.charters/ipsec-charter.html). Прога осуществляет шифрование данных на лету, после чего отправляет их в сеть. Один мой знакомый (кстати, достаточно технически подкованный) робко предположил, что такая степень защиты пригодится разве что террористам и хакерам. Чудак-человек. Любая конфиденциальная информация представляет интерес для злоумышленников, будь ты обычный юзер или помощник президента.

Что касается борьбы с ARP-спуфингом, то здесь все пока держится на альтруистических началах. Например, для Linux'а с установленным 2.4.x ядром существует специальный патч arp_antidote. Он изменяет реализацию протокола ARP так, что провести атаку ARP Poison становится невозможно. Подробнее о нем можно прочитать здесь - www.securitylab.ru/33493.html.

WWW

Методы обнаружения пакетных сниферов

www.void.ru/content/1131

Самый лучший и информативный FAQ по сниферам:

www.robertgraham.com/pubs/sniffing-faq.html

Еще один неплохой FAQ:

www.opennet.ru/docs/FAQ/security/sniffers.html

Мануал по ARP Cache poisoning:

www.cigitallabs.com/resources/papers/download/arppoison.pdf