ARP 스푸핑

• 로컬에서 통신하고 있는 서버와 클라이언트의 MAC 주소를 공격자의 MAC 주소로 속인다.
• 주로 스니핑에 이용된다.

공격 환경

• 같은 대역에 있을 경우에만 가능하다.
• 주소를 속이기 위해 공격 대상 호스트에 대한 정보 수집이 필요하다.
• 모든 패킷을 허용하는 Promiscuous Mode가 설정되어야 한다.

과정

• 공격자는 다른 호스트 MAC 주소를 자신의 MAC 주소로 위조한 ARP Reply를 망에 지속적으로 브로드캐스트한다.
• 희생자는 ARP Reply 메시지를 받고 자신의 ARP Cache Table에 있는 해당 IP의 MAC 주소를 공격자의 MAC 주소로 바꾼다.
• 희생자는 원래 다른 호스트에 전송해야 할 메시지를 공격자에게 전송하게 된다.
• 두 호스트 사이의 통신을 모두 가로채려면 양쪽을 함께 속인다. 공격자의 MAC 주소가 AA, 시스템1·시스템2 가 통신한다면
  • 시스템1 에게는 시스템2 의 MAC 주소가 AA 라고 알린다
  • 시스템2 에게는 시스템1 의 MAC 주소가 AA 라고 알린다
  • 두 시스템이 서로에게 보내는 프레임이 모두 공격자에게 오고, 공격자는 이를 엿본 뒤 원래 목적지로 넘겨(IP 포워딩) 들키지 않게 한다

확인

• ARP Table을 보았을 때 다른 IP에 대한 같은 MAC 주소가 보이면 ARP 스푸핑을 의심할 수 있다.

인터페이스: 192.168.0.2 --- 0x2
  인터넷 주소           물리적 주소           유형
  192.168.0.1           00-36-6c-6c-2c-00     동적
  192.168.0.44          01-00-00-00-00-02     동적
  192.168.0.31          01-00-00-00-00-02     동적

대응

• ARP Cache Table을 정적(Static)으로 구성한다.

# arp -s [IP주소] [MAC 주소]

• SSL 방식을 적용하여 중요 정보는 암호화 통신한다.
• 포트가 수용할 수 있는 MAC 주소의 개수를 지정한다.
• ARP 요청·응답으로 캐시가 갱신되지 않게 막는 것이 핵심이다. ARP 에는 인증이 없어 아무 호스트나 모든 ARP 요청에 자기 MAC 주소로 답해 그 IP 주소의 주인 행세를 할 수 있기 때문이다
• 스위치의 동적 ARP 검사(DAI, Dynamic ARP Inspection)는 포트로 들어온 ARP 패킷의 IP·MAC 짝을 DHCP 스누핑 표와 비교해 맞지 않으면 버린다
• ARP 스푸핑은 같은 브로드캐스트 영역 안에서만 가능하므로, 인가받지 않은 외부 PC 가 로컬망에 붙지 못하게 하는 접속 통제(NAC, 포트 보안)도 대응이 된다
• 자기 MAC 주소를 주기적으로 바꾸는 것은 대응이 아니다. 공격자는 피해자의 IP 주소에 자기 MAC 주소를 짝지은 위조 응답을 보내므로, 정상 호스트의 MAC 주소가 무엇으로 바뀌든 위조는 계속 통한다. 오히려 정적 ARP 표를 쓰는 환경에서는 표를 다시 맞춰야 하는 부담만 생긴다

IP 스푸핑과의 비교

구분	IP 스푸핑	ARP 스푸핑
위조 대상	IP 주소	MAC 주소
공격 장비	라우터	스위치
ISO 계층	3계층	2계층
공격 범위	외부 인터넷	내부 인트라넷