Chương II : An tồn mơ hình OSI
2.1 Các nguy cơ mất an tồn trong mơ hình OSI
2.1.2 Tầng liên kết dữ liệu
Tầng liên kết dữ liệu là tầng, “truyền và nhận các gói tin tin cậy các gói tin thơng qua một mạng vật lý cùng dạng". ARP là một chuẩn cho giao thức phân giải địa chỉ (Address Resolutions Protocol). Card giao diện mạng (NIC) cung cấp khả năng cho phép các máy tính có thể giao tiếp với nhau. Vấn đề chính là việc tìm ra đúng máy cần liên lạc. Mỗi máy có một địa chỉ MAC, địa chỉ MAC được sử dụng bởi ARP.
ARP chuyển đổi địa chỉ IP sang địa chỉ mạng vật lý tương ứng, đó chính là địa chỉ MAC. Lợi dụng điều này kẻ tấn công (attacker) đầu độc ARP Cache để giả mạo địa chỉ IP của một máy khác trên mạng và giao tiếp với các máy nạn nhân một cách bình thường nhằm thực hiện ý đồ của mình.
Phương pháp tấn cơng ARP Spoof: Giả sử ta có mạng Lan như mơ hình dưới gồm các host: Kẻ tấn công là máy hacker dùng để tấn công ARP attack IP: 10.0.0.11 Mac:0000:0000:0111 HostA IP:10.0.0.09 MAC:0000:0000:0109 HostB IP:10.0.0.08
MAC:0000:0000:0108
Victim: là máy bị tấn công ARP attack IP:10.0.0.10
MAC:0000:0000:0110
Kẻ tấn công muốn thực hiện ARP attack đối với máy Victim. Kẻ tấn cơng muốn mọi gói tin HostA truyền tới máy Victim đều có thể chụp lại được để xem trộm. Làm thế nào để Attacker có thể hiện được điều đó? Đầu tiên, HostA muốn gởi dữ liệu cho Victim. HostA cần phải biết địa chỉ MAC của Victim để liên lạc. HostA sẽ gửi broadcast ARP Request tới tất cả các máy trong cùng mạng Lan để hỏi xem IP 10.0.0.10 (IP của Victim) có địa chỉ MAC là bao nhiêu. HostB, Attacker, Victim đều nhận được gói tin ARP Request, nhưng chỉ có Victim là gửi lại gói tin ARP Reply lại cho HostA. ARP Reply chứa thông tin về IP của Victim, MAC Victim, MAC HostA
Sau khi nhận được gói tin ARP Reply từ Victim, HostA đã biết được địa chỉ MAC của Victim. HostA bắt đầu thực hiện liên lạc, truyền dữ liệu tới Victim.
HostB, kẻ tấn công không thể xem nội dung dữ liệu được truyền giữa 2 máy HostA và Victim. Kẻ tấn công muốn xem dữ liệu truyền giữa HostA và Victim bằng cách sử dụng kiểu tấn công ARP Spoof. Kẻ tấn công thực hiện gửi liên tục ARP Reply chứa thông tin về IP Victim, MAC Attacker, MAC HostA. Ở đây, thay vì là MAC Victim, kẻ tấn công đã đổi thành địa chỉ MAC của mình.
HostA nhận được ARP Reply và nghĩ là IP Victim 10.0.0.10 sẽ có địa chỉ MAC là 0000:0000:0111 (MAC của kẻ tấn công). HostA lưu thông tin này vào bảng ARP Cache. Bây giờ mọi thông tin, dữ liệu HostA gửi tới 10.0.0.10 (Victim), kẻ tấn cơng đều có thể nhận được, kẻ tấn cơng có thể xem tịan bộ nội dung. HostA gửi cho Victim, Attacker cịn có thể kiểm sóat tịan bộ q trình liên lạc giữa HostA và Victim thông qua ARP Attack. Attacker thường xuyên gửi các gói tin ARP Reply chứa địa chỉ IP của HostA và Victim nhưng có địa chỉ MAC là của Attacker.
HostA nhận được gói tin này thì cứ nghĩ Victim sẽ có địa chỉ MAC là 0000:0000:011 (MAC của Attacker). Victim nhận đươc gói tin này thì cứ nghĩ HostA sẽ có địa chỉ MAC là 0000:0000:0111 (MAC của Attacker).
Mọi thông tin trao đổi giữa HostA và Victim, Attacker đều có thể nhận được. Như vậy là Attacker có thể biết được nội dung trao đổi giữa HostA và Victim.
Sau khi bị tấn công ARP attack, sẽ rất nguy hiểm cho người dùng vì mọi thông tin trao đổi của họ đều bị lộ, nhất là những thơng tin đó là quan trọng, cần phải giữ bí mật.
Ngồi nguy cơ tấn cơng giả mạo địa chỉ MAC, đầu độc ARP Cache, còn các nguy cơ tấn cơng khác như spanning tree làm cho các gói dữ liệu truyền đi trong vịng lặp vơ hạn tại tầng liên kết dữ liệu này. Đối với các thiết bị wireless, tầng liên kết dữ liệu cho phép các thiết bị khác có thể truy cập tài nguyên máy và mạng miễn phí nếu các cá nhân hay tổ chức khơng có biện pháp xác thực và mã hóa mạnh. Mạng VLAN đối mặt với nhiều nguy cơ mất an tồn khi các máy khác có thể kết nối với các host trong VLAN một cách dễ dàng.