ARP
Όταν ο φορητός υπολογιστής σας στέλνει ένα πακέτο στο δρομολογητή, η IP του δρομολογητή δεν είναι αρκετή — το Ethernet χρειάζεται μια διεύθυνση MAC. Το Πρωτόκολλο Επίλυσης Διεύθυνσης καλύπτει αυτό το κενό, ρωτώντας "ποιος έχει αυτήν την IP;" και να πάρει πίσω ένα MAC. Βρίσκεται σε IPv4 από το 1982 και δεν έχει έλεγχο ταυτότητας, γεγονός που το καθιστά το θεμέλιο αμέτρητων επιθέσεων τοπικού δικτύου.
Το πλήρες κείμενο του άρθρου παρέχεται στα Αγγλικά παρακάτω.
ARP (Πρωτόκολλο Ανάλυσης Διευθύνσεων) Το , RFC 826, είναι το πρωτόκολλο που αντιστοιχίζει τις διευθύνσεις IPv4 σε διευθύνσεις MAC σε ένα τοπικό δίκτυο. Κάθε φορά που η συσκευή σας χρειάζεται να στείλει ένα πακέτο σε μια IP με την οποία δεν έχει μιλήσει ποτέ πριν, το ARP εκτελείται πρώτο. Η αντιστοίχιση αποθηκεύεται προσωρινά στην κρυφή μνήμη, μετά λήγει και ζητείται ξανά. Ο φορητός υπολογιστής εκπέμπει "Ποιος έχει 192.168.1.1; Πείτε το 192.168.1.10" σε όλες τις συσκευές στο LAN (μετάδοση MAC FF:FF:FF:FF:FF:FF). AA:BB:CC:DD:EE:FF."
του δρομολογητή Για επόμενα πακέτα στην ίδια IP, χρησιμοποιείται η προσωρινή καταχώρηση. δεν απαιτείται επαναληπτική ανταλλαγή ARP.
Τι υπάρχει στην προσωρινή μνήμη ARP
Σε Linux: ip neigh. Σε macOS: arp -a. Σε Windows: arp -a. Η έξοδος δείχνει κάθε γνωστή IP, το MAC της και την κατάσταση της προσωρινής μνήμης. Οι συμμετοχές λήγουν (συνήθως μετά από λίγα λεπτά αδράνειας) και ανανεώνονται όταν χρειάζεται. Οι στατικές καταχωρήσεις ARP μπορούν επίσης να προστεθούν χειροκίνητα για ειδικές περιπτώσεις. Η πλαστογράφηση
ARP Το
ARP δεν έχει έλεγχο ταυτότητας — οποιαδήποτε απάντηση γίνεται αποδεκτή, ακόμη και αυτόκλητη. Το ARP spoofing (ή "Δηλητηρίαση ARP") εκμεταλλεύεται αυτό: Ο
- Attacker στο ίδιο LAN στέλνει ένα αυτόκλητο "χωρίς ARP" ανακοινώνοντας ότι "192.168.1.1.1.1 MAC."
- Κάθε άλλη συσκευή ενημερώνει την κρυφή μνήμη ARP της και αρχίζει να στέλνει κίνηση που προορίζεται για τον δρομολογητή στον εισβολέα. διακοπή.
Αυτό ήταν καταστροφικό. Σήμερα, το HTTPS προστατεύει το περιεχόμενο της περισσότερης επισκεψιμότητας από τον εισβολέα, αλλά τα μεταδεδομένα (ποιους ιστότοπους επισκέπτεστε, πότε), καθώς και τυχόν πρωτόκολλα απλού κειμένου (DNS, απλό HTTP, ορισμένα παλαιού τύπου API συσκευών SMTP, IoT) εξακολουθούν να είναι αναγνώσιμα. σημάδια:
- Πολλές διευθύνσεις IP στην προσωρινή μνήμη ARP αντιστοίχιση στο ίδιο MAC
- Το MAC του δρομολογητή αλλάζει ξαφνικά
- Ασυνήθιστη άσκοπη κυκλοφορία ARP ορατή σε συλλήψεις πακέτων6XXXPLZ6 όπως Οθόνη
arpwatchγια αλλαγές και ειδοποίηση. Τα περισσότερα οικιακά δίκτυα δεν διαθέτουν παρακολούθηση. Η πλαστογράφηση ARP στο οικιακό Wi-Fi θα μπορούσε να μείνει απαρατήρητη επ' αόριστον.Άμυνα από επιθέσεις ARP
- Δυναμική επιθεώρηση ARP (DAI) σε διαχειριζόμενους διακόπτες — πέφτει με αξιοπιστία σε ένα πακέτο ARPMAC Παρακολούθηση βάσης δεδομένων DHCP).
- Στατικές καταχωρίσεις ARP για κρίσιμες IP (ο δρομολογητής, οι διακομιστές κλειδιών) — κλειδώνει την αντιστοίχιση ώστε να αγνοούνται οι ψευδείς απαντήσεις. Λειτουργικά αδέξιος? χρησιμοποιείται κυρίως σε κρίσιμες για την ασφάλεια ρυθμίσεις.
- Τμηματοποίηση δικτύου — η διατήρηση των χρηστών σε διαφορετικά VLAN περιορίζει την ακτίνα έκρηξης των επιθέσεων ARP σε ένα μόνο VLAN. Το LAN δεν μπορεί να πλαστογραφήσει το ARP για να βγείτε από αυτό. Χρήσιμο σε εχθρικά δίκτυα (Wi-Fi ξενοδοχείων, συνέδρια).
ARP και IPv6: Το Neighbor Discovery
IPv6 δεν χρησιμοποιεί ARP. Το αντίστοιχο είναι το Neighbor Discovery Protocol (NDP), που ορίζεται στο RFC 4861. Χρησιμοποιεί μηνύματα ICMPv6 αντί για ξεχωριστό πρωτόκολλο και παρέχει την ίδια λειτουργία: "ποιος έχει αυτήν τη διεύθυνση IPv6;" με απάντηση MAC. Το
NDP έχει το ίδιο πρόβλημα ελέγχου ταυτότητας με το ARP — οποιαδήποτε απάντηση γίνεται αποδεκτή. Στα μέτρα μετριασμού περιλαμβάνονται το SEND (Secure Neighbor Discovery, RFC 3971, που αναπτύσσεται σπάνια) και το RA Guard / DHCPv6 Guard στους διακόπτες. τμήμα. Σε ένα εταιρικό δίκτυο, αυτό περιλαμβάνει εκτυπωτές, διακομιστές αρχείων, την πύλη, πιθανώς μερικούς φορητούς υπολογιστές συναδέλφων. Στο οικιακό Wi-Fi, στις συσκευές σας και στο δρομολογητή. Οι πληροφορίες είναι τοπικές — ποτέ δεν είναι ορατές πέρα από το LAN — αλλά χρήσιμες για την κατανόηση του τι υπάρχει γύρω σας.
Συχνές ερωτήσεις
- Η πλαστογράφηση ARP εξακολουθεί να αποτελεί πραγματική απειλή το 2026;
- Σε ανοιχτά δίκτυα (καφετέριες, ξενοδοχεία), ναι. Σε εταιρικά δίκτυα με κατασκοπεία DAI και DHCP, κυρίως όχι. Η ευρεία υιοθέτηση του HTTPS μειώνει δραματικά τον αντίκτυπο — ένας εισβολέας στη μέση της επισκεψιμότητάς σας εξακολουθεί να έχει πρόβλημα να το αποκρυπτογραφήσει. Ένα VPN καθιστά τις τοπικές επιθέσεις ARP ουσιαστικά αδύναμες.
- Μπορώ να απενεργοποιήσω το ARP;
- Όχι σε Ethernet/Wi-Fi — Το IPv4 εξαρτάται ουσιαστικά από αυτό. Μπορείτε να καρφιτσώσετε στατικές καταχωρήσεις ARP για αξιόπιστες IP (ο δρομολογητής, οι διακομιστές σας) που καθιστούν τη μνήμη cache σταθερή. Μπορείτε επίσης να χρησιμοποιήσετε το IPv6, το οποίο χρησιμοποιεί NDP αντί για ARP.
- Γιατί ο πίνακας ARP μου εμφανίζει διαφορετικές συσκευές κάθε φορά;
- Οι συμμετοχές λήγουν μετά από λίγα λεπτά αδράνειας. Η επανατοποθέτηση γίνεται όταν επικοινωνείτε ξανά με μια συσκευή. Η λίστα μεγαλώνει κατά την ενεργό χρήση και συρρικνώνεται κατά τις περιόδους αδράνειας. Αυτό είναι φυσιολογικό.
- Μπορεί ένας εισβολέας εκτός του δικτύου μου να με εξαπατήσει ARP;
- Όχι. Το ARP λειτουργεί μόνο σε ένα μόνο τοπικό τμήμα — οι εκπομπές δεν διασχίζουν δρομολογητές. Για να σας παραπλανήσει ARP, ο εισβολέας πρέπει να βρίσκεται στο ίδιο φυσικό ή ασύρματο δίκτυο με εσάς. Αυτός είναι ο λόγος για τον οποίο το εχθρικό Wi-Fi και τα κοινόχρηστα LAN έχουν σημασία. Οι απομακρυσμένοι εισβολείς του Διαδικτύου δεν μπορούν να σας ARP.
- Χρειάζονται εργαλεία παρακολούθησης ARP στο σπίτι;
- Μάλλον όχι. Το οικιακό σας δίκτυο έχει λίγες συσκευές και προβλέψιμη συμπεριφορά. Η παρακολούθηση ARP είναι πιο σχετική στο γραφείο ή σε κοινόχρηστα περιβάλλοντα όπου η εμφάνιση νέων διευθύνσεων MAC αποτελεί σήμα ασφαλείας. Για τους περισσότερους οικιακούς χρήστες, ένα VPN σε μη αξιόπιστα δημόσια δίκτυα είναι η πιο πρακτική άμυνα.