Атаки на пути передачи данных

«Проблема не в том, что кто-то читает ваши пакеты в пути. Проблема в том, что весь путь можно подменить, заставив трафик проходить через компьютер злоумышленника, и он сам становится шлюзом, маршрутизатором или даже конечным сервером. Защита канального и сетевого уровней, это основа, которую часто упускают, сосредотачиваясь только на HTTPS и VPN.»

Суть и опасность On-Path атак

Атака «человек посередине» (On-Path, ранее часто называемая MITM — Man-in-the-Middle), это ситуация, когда атакующий скрытно встраивается в канал связи между двумя легитимными узлами. Главная опасность заключается не только в пассивном перехвате, но и в активном влиянии на передаваемые данные. Цели атакующего делятся на два ключевых вектора:

• Пассивный перехват (Eavesdropping): кража учетных данных, финансовой информации, персональных данных или промышленных секретов без изменения трафика.
• Активная манипуляция: модификация, подмена или удаление данных в реальном времени, что может привести к компрометации целостности информации, изменению транзакций или внедрению вредоносного кода.

Реализация таких атак возможна на разных уровнях сетевого стека, от канального (Layer 2) до прикладного (Layer 7).

ARP-спуфинг: основа перехвата в локальной сети

Как работает уязвимость

Отравление ARP-кэша (ARP Spoofing) — фундаментальная атака на канальном уровне, эксплуатирующая отсутствие аутентификации в протоколе ARP. ARP-запросы и ответы отправляются в широковещательном режиме, и операционные системы по умолчанию доверяют любым полученным ARP-ответам, обновляя свою кэш-таблицу соответствия IP и MAC-адресов.

Атакующий в одной подсети с жертвой может:

1. Постоянно отправлять жертве поддельные ARP-ответы, утверждая, что MAC-адрес атакующего соответствует IP-адресу шлюза по умолчанию.
2. Аналогично, отправить шлюзу поддельный ARP-ответ, связывающий IP жертвы с MAC-адресом атакующего.
3. В результате весь двусторонний трафик между жертвой и внешней сетью начинает проходить через узел злоумышленника, который может настроить его дальнейшую пересылку (чтобы связь не прерывалась).

Практический сценарий

В сети с адресацией 192.168.1.0/24:

• Рабочая станция: IP 192.168.1.100, шлюз — 192.168.1.1
• Атакующий: IP 192.168.1.200

Атакующий с помощью инструментов (например, `arpspoof`) начинает транслировать в сеть ARP-ответы: «IP 192.168.1.1 имеет MAC-адрес AA:BB:CC:DD:EE:FF (MAC атакующего)». Кэш рабочей станции отравляется, и весь её внешний трафик уходит не на маршрутизатор, а на компьютер злоумышленника.

MAC-спуфинг и атаки на коммутацию

Подмена MAC-адреса, это изменение физического адреса сетевого интерфейса на адрес другого доверенного устройства. В виртуальных средах это делается тривиально через настройки гипервизора. В физических — требует прав администратора в ОС или специализированного ПО.

Цели спуфинга MAC выходят за рамки простого перехвата:

• Обход примитивных систем контроля доступа, построенных на фильтрации по MAC-адресам (устаревшие решения Wi-Fi, портовая безопасность).
• Сокрытие реального источника атаки в сетевых логах.
• Попытка переполнения таблицы MAC-адресов коммутатора (MAC Flooding) для перевода его в режим хаба с последующим перехватом всего трафика сегмента.

Манипуляции на уровне коммутаторов: атаки на STP и VLAN

Компрометация Spanning Tree Protocol

Протокол STP автоматически строит бесцикловую топологию в сети коммутаторов, выбирая корневой мост на основе приоритета в BPDU-фреймах. Атакующий, подключив свой коммутатор, может отправлять BPDU с наивысшим приоритетом (например, 0), заставляя легитимные коммутаторы избрать его устройство корневым. Весь межсегментный трафик потечет через скомпрометированный узел.

Защита инфраструктуры Layer 2

Мера защиты	Суть и назначение
BPDU Guard	Немедленно переводит access-порт в состояние err-disable при получении любого BPDU. Защищает от подключения неавторизованных коммутаторов.
Root Guard	Запрещает порту становиться корневым. Если на таком порту приходит BPDU с лучшим приоритетом, порт блокируется только для определённых VLAN, сохраняя доступ для других.
DHCP Snooping	Формирует таблицу доверенных соответствий IP-MAC на основе DHCP-транзакций. Является основой для DAI и IP Source Guard.
IP Source Guard	Фильтрует трафик на основе таблицы DHCP Snooping, разрешая исходящие пакеты только с того IP-адреса, который был получен хостом по DHCP.
Port Security	Ограничивает количество уникальных MAC-адресов на порту и фиксирует допустимые адреса. Препятствует атакам на переполнение CAM-таблицы.

Атаки на сетевом уровне и выше

Ложные маршрутизаторы и компрометация узлов

На уровне IP (Layer 3) атакующий может внедрить в сеть свой маршрутизатор, который через протоколы динамической маршрутизации (например, OSPF или RIPv2) объявит себя обладателем «лучших» маршрутов. Трафик для критичных сегментов будет перенаправлен через контролируемое устройство.

Более скрытный подход — компрометация конечного хоста жертвы с помощью троянца или руткита. Вредоносное ПО может:

• Внести изменения в системную таблицу маршрутизации (например, добавить хост-маршрут через шлюз атакующего для конкретного IP-адреса).
• Установить локальный прокси или драйвер для перехвата незашифрованного трафика до момента его шифрования TLS-библиотекой.

Инструмент SSLStrip и его наследники

Классический инструмент SSLStrip атакует не криптографию, а поведение пользователей и приложений. Его принцип:

1. Атакующий, уже находясь «на пути» (через ARP-спуфинг или компрометацию маршрута), перехватывает HTTP-запросы.
2. Когда жертва пытается перейти на HTTPS (например, через HSTS или ссылку), SSLStrip прозрачно подменяет соединение, поддерживая HTTPS-сессию с сервером от имени жертвы, но общаясь с самой жертвой по открытому HTTP.
3. Все сессионные cookie, пароли и данные передаются в открытом виде через узел атакующего.

Современные браузеры и распространение HSTS осложнили использование оригинального SSLStrip, однако идея живёт в более сложных атаках, таких как SSLStrip+ (с использованием DNS-спуфинга) или в перехвате трафика мобильных приложений, которые могут нестрого проверять сертификаты.

Атаки понижения уровня (Downgrade Attacks)

Эти атаки направлены на принудительный откат к уязвимым, но поддерживаемым для обратной совместимости протоколам или алгоритмам.

Пример: уязвимость POODLE

Padding Oracle On Downgraded Legacy Encryption (POODLE) была не ошибкой в реализации, а фундаментальной уязвимостью блочного шифрования в SSL 3.0. Атакующий мог:

1. Инициировать атаку понижения, заставив клиент и сервер использовать SSL 3.0 вместо TLS.
2. Эксплуатировать особенность работы CBC-режима и проверки заполнения (padding) в SSL 3.0 для пошаговой расшифровки передаваемых данных (например, cookie аутентификации).

Хотя уязвимость закрыта, она стала уроком: обратная совместимость, это риск. Актуальные атаки понижения уровня часто нацелены на TLS-рукопожатие, пытаясь заставить стороны использовать слабые наборы шифров.

Защита от Downgrade-атак

• Жёсткое отключение устаревшего ПО: Полный отказ от поддержки SSL 2.0/3.0, TLS 1.0 и 1.1 на серверах.
• Использование современных протоколов: Принудительное применение TLS 1.2 или, предпочтительно, TLS 1.3, в котором механизм рукопожатия защищён от понижения.
• HSTS (HTTP Strict Transport Security): Заголовок, при котором браузер автоматически переводит все соединения с доменом на HTTPS, исключая возможность HTTP-атаки.

Комплексный подход к защите пути передачи

Единой технологии для блокировки всех On-Path атак не существует. Требуется многоуровневая защита, формирующая Defense-in-Depth.

Уровень	Угроза	Контрмера
Канальный (L2)	ARP/MAC Spoofing, STP-атаки, VLAN Hopping	DAI, DHCP Snooping, BPDU Guard/Root Guard, отключение DTP, правильная настройка native VLAN.
Сетевой (L3)	Подмена IP, ICMP-редиректы, ложные маршруты	IP Source Guard, фильтрация ICMP-редиректов, аутентификация в протоколах маршрутизации (например, OSPF с MD5/SHA), контроль таблиц маршрутизации.
Транспортный/Прикладной (L4-L7)	Downgrade-атаки, перехват сессий	TLS 1.2/1.3, HSTS, корректная валидация сертификатов на стороне клиента, использование Certificate Pinning в критичных приложениях.
Организационный	Несанкционированный доступ к физической инфраструктуре	802.1X для аутентификации устройств и пользователей, физическая безопасность коммутационных шкафов, политика «неиспользуемые порты — отключены».

Защита от атак на пути передачи данных, это не настройка одного параметра, а постоянный процесс аудита конфигурации сетевого оборудования, контроля его целостности и понимания, что даже при использовании «неперехватываемого» VPN туннеля, его конечные точки могут быть скомпрометированы через уязвимости на канальном уровне.