Спуфинг — вид кибератаки¶
Спуфинг (от англ. spoofing — подделка, имитация) — вид атаки, при которой злоумышленник подделывает источник или идентификатор данных с целью обмана получателя, системы или пользователя. Общая суть спуфинга — выдать себя за другого: другого пользователя, устройство, сервер, программу или сервис. Спуфинг применяется как самостоятельная техника, так и в составе более сложных атак, например фишинга или перехвата соединения.
¶Основные разновидности
Спуфинг охватывает широкий спектр протоколов и каналов связи. Наиболее распространённые виды:
| Вид спуфинга | Что подделывается | Цель атаки |
|---|---|---|
| IP-спуфинг | IP-адрес отправителя пакета | Обход фильтров, маскировка, DoS-атаки |
| DNS-спуфинг | Ответы DNS-сервера | Перенаправление на поддельный сайт |
| ARP-спуфинг | MAC-адреса в локальной сети | Перехват трафика (man-in-the-middle) |
| Email-спуфинг | Заголовки письма (From, Return-Path) | Фишинг, рассылка спама |
| MAC-спуфинг | MAC-адрес сетевого устройства | Обход фильтрации, несанкционированный доступ |
| URL-спуфинг | Адреса и отображение ссылок | Фишинг, кража учётных данных |
| Caller ID спуфинг | Номер телефона звонящего | Мошенничество, телефонное обманывание |
| Bluetooth-спуфинг | Идентификаторы Bluetooth-устройств | Перехват подключений, кража данных |
| SMS-спуфинг | Идентификатор отправителя SMS | Фишинг, мошенничество |
¶IP-спуфинг
При IP-спуфинге злоумышленник формирует сетевые пакеты с поддельным полем «источник», подставляя вместо собственного IP-адреса адрес другой машины. Техника используется, например, в DDoS-атаках с использованием SYN-флуда: пакеты с поддельным адресом жертвы отправляются серверу, который направляет подтверждения несуществующим адресам, перегружая канал или систему. IP-спуфинг также применяется для обхода систем аутентификации, основанных на доверии к IP-адресу клиента, — например, в старых версиях протокола rsh или при доступе к сервисам, ограничивающим доступ по списку адресов.
¶DNS-спуфинг
DNS-спуфинг (DNS-отравление) предполагает подмену результатов разрешения доменных имён. Атакующий подделывает ответ DNS-сервера, заставляя систему жертвы обратиться к IP-адресу поддельного сервера вместо легитимного. Это позволяет создать убедительную копию сайта банка, почтового сервиса или корпоративного портала и перехватить введённые пользователем учётные данные. Спуфинг DNS возможен как на уровне локальной сети (через ARP-подмену), так и через компрометацию кэша DNS-резолвера (DNS cache poisoning).
¶ARP-спуфинг
Протокол ARP используется в локальных сетях для сопоставления IP-адресов с MAC-адресами и не предусматривает механизмов проверки подлинности сообщений. Злоумышленник отправляет поддельные ARP-пакеты, связывая свой MAC-адрес с IP-адресом шлюза или другого узла. В результате весь трафик жертвы проходит через устройство атакующего, что позволяет перехватывать и модифицировать данные, включая пароли и содержимое незашифрованных соединений. ARP-спуфинг — основа атак типа «человек посередине» (man-in-the-middle).
¶Email-спуфинг
Почтовые протоколы (SMTP) изначально не содержат обязательной проверки подлинности отправителя. Злоумышленник может подставить в заголовках письма любое имя и адрес, включая адрес генерального директора или известного сервиса. Email-спуфинг широко применяется в целевых фишинговых рассылках (spear phishing), когда письмо якобы отправлено доверенным лицом. Для борьбы с этим применяются механизмы SPF, DKIM и DMARC, которые позволяют владельцу домена указать, какие серверы уполномочены отправлять почту от его имени, и подписать письма криптографическим ключом.
¶Caller ID спуфинг
В телефонии спуфинг номера позволяет подделать отображаемый идентификатор звонящего. Мошенники представляются сотрудниками банков, налоговых служб или технической поддержки, используя доверие к отображаемому номеру. В России подобные схемы получили широкое распространение: злоумышленники используют номера, совпадающие с официальными номерами банков, чтобы вымогать у граждан финансовые данные или переводы. Операторы связи и банки развивают системы определения поддельных номеров, однако полностью исключить спуфинг технически невозможно.
¶Методы защиты
Основные способы противодействия спуфингу:
- Криптографическая аутентификация — TLS/SSL для веб-соединений, SPF/DKIM/DMARC для почты, подписанные DNS-записи (DNSSEC).
- Фильтрация сетевого трафика — контроль корректности IP-адресов на границах сети (uRPF), ограничение ARP-трафика (Dynamic ARP Inspection), изоляция VLAN.
- Многофакторная аутентификация — снижает ущерб от кражи учётных данных даже при успешном спуфинге.
- Обучение пользователей — проверка адресов отправителей, доменов в ссылках, номеров звонящих.
- Мониторинг и обнаружение аномалий — системы обнаружения вторжений (IDS/IPS) фиксируют подозрительные пакеты с несогласованными адресами.
¶Правовой аспект
В Российской Федерации спуфинг как самостоятельный состав не выделен, однако действия, связанные с ним, квалифицируются по другим статьям Уголовного кодекса: ст. 272 (неправомерный доступ к компьютерной информации), ст. 273 (создание, использование и распространение вредоносных программ), ст. 159 (мошенничество) и ст. 138 (нарушение тайны переписки). Использование поддельных номеров при телефонном мошенничестве квалифицируется как мошенничество, а передача заведомо ложных данных оператору связи — по нормам о злоупотреблении полномочиями в сфере телекоммуникаций.
¶История
Термин «спуфинг» в контексте компьютерной безопасности получил распространение в конце 1990-х годов, хотя сами атаки существовали ранее. IP-спуфинг описан в работах по сетевой безопасности 1980-х годов, ARP-спуфинг стал известен после публикаций о несовершенстве протокола ARP в начале 1990-х. В 2008 году исследователи Рокерс и Войдас продемонстрировали масштабные атаки на протокол BGP (BGP hijacking), показав возможность перехвата интернет-трафика целых регионов путём подделки маршрутизационных сообщений.