Почему беспроводной маршрутизатор не может обнаружить спуфинг ARP?
Это очень начальный вопрос. Мы знаем, что протокол ARP совсем не безопасен. Компьютеры и маршрутизаторы (/switchs) доверяют ARP-ответам и обновляют свои ARP-кэши (насколько я знаю). Итак, почему беспроводные маршрутизаторы не могут обнаружить спуфинг ARP, если им нужно только проверить, что два или более интерфейсов в их кеше MAC имеют одинаковый MAC-адрес?
Я что-то упустил?
2 ответа
Прежде всего потому, что это не очень простой ответ для предотвращения. Если в беспроводной маршрутизатор не записано дополнительное программное обеспечение безопасности, маршрутизатор не сможет проверить, кто вы, как вы говорите. Он просто должен принимать пакеты, которые он видит, и что машина - это то, кем она является.
Основным способом предотвращения подмены arp является контроль доступа к сети. Маршрутизатор A получает учетную запись с именем пользователя / паролем для компьютера A. Когда компьютер A пытается подключиться, он должен указать это имя пользователя / пароль. Таким образом, маршрутизатор теперь знает, что MAC-адрес компьютера A авторизован по имени пользователя / паролю, а компьютер A знает, что маршрутизатор A Mac аутентифицирован. Приходит хакерский компьютер B, пытается подделать arp, но маршрутизатор A не получает токен аутентификации от хакерского компьютера A, поэтому рассматривает его как недопустимый пакет и сбрасывает обновление arp. То же самое происходит с машиной A, она получает обновление arp от машины Hacker B, но пакет не проходит проверку подлинности, поэтому он отбрасывается.
Без этой аутентификации стандартный маршрутизатор не сможет узнать, что машина А на самом деле является машиной А, а не хакером.
Теперь все эти дополнительные аутентификации для каждого пакета требуют дополнительной мощности процессора. Чтобы маршрутизатор мог справиться с этим, он должен иметь лучший процессор и больше памяти, что делает его более дорогим и менее вероятным для выбора, когда люди смотрят только на цену.
Часто в беспроводных маршрутизаторах порты локальной сети и беспроводное радио используют одни и те же таблицы и логически объединяются в один интерфейс. (т.е. маршрутизатор действует больше как концентратор при маршрутизации трафика между локальной сетью и беспроводной сетью.)
Что касается внешнего интерфейса (WAN), это, как правило, интерфейс "точка-точка" (одна линия соединяется с другим маршрутизатором). Поэтому на другой стороне этого интерфейса есть только один IP/Mac, что касается беспроводного маршрутизатора.
Кроме того, вполне возможно, что один MAC-адрес имеет несколько IP-адресов, и для настроек балансировки нагрузки также возможно, что один IP-адрес используется несколькими компьютерами.