4 Pericolose Conseguenze dell'IP Spoofing
L'IP spoofing—falsificare l'indirizzo IP sorgente nei pacchetti—consente agli attaccanti di nascondere l'identità e impersonare host attendibili. Ecco quattro vettori di attacco principali che alimenta:
1. DDoS per Amplificazione e Riflessione (es. Smurf, NTP, DNS, Memcached)
- Meccanismo: L'attaccante invia richieste a server vulnerabili (riflettori) con IP vittima falsificato come sorgente.
- Risultato: I riflettori inondano la vittima con risposte grandi (fattore di amplificazione 28x–50.000x).
- Smurf classico: ICMP Echo Request a indirizzo broadcast → tutti gli host rispondono alla vittima.
- Moderni: NTP (monlist), DNS (ANY), Memcached (1,3 Tbps registrato).
- Impatto: Saturazione banda, interruzione servizio, danni collaterali ai riflettori.
2. Man-in-the-Middle (MitM) e Session Hijacking
- Meccanismo: L'attaccante falsifica IP client/server per intercettare handshake TCP (predizione numero di sequenza) o spoofing ARP/DNS su LAN.
- Risultato: Ascolta traffico non criptato (HTTP, FTP, Telnet), inietta malware, ruba cookie di sessione, modifica transazioni.
- Mitigazione: TLS 1.2/1.3 (cripta + autentica), HSTS, certificate pinning, VPN.
3. Phishing e Infrastruttura di Ingegneria Sociale
- Meccanismo: IP falsificati ospitano pagine di login false (banca, O365, VPN) o inviano email falsificate (tramite relay compromessi) apparentemente da domini attendibili.
- Risultato: Furto credenziali, consegna malware, compromesso email aziendale (BEC).
- Nota: Lo spoofing email usa il bypass SPF/DKIM/DMARC, non spoofing IP grezzo, ma l'IP spoofing aiuta a ospitare siti di phishing anonimamente.
4. Bypass Controlli di Accesso e Ricognizione
- Sfruttamento Fiducia: Molti sistemi legacy (rsh, rlogin, NFS, firewall basati su IP) consentono accesso basato su IP sorgente. Lo spoofing concede ingresso.
- Scansione Cieca: L'attaccante falsifica IP casuali per scansionare il target senza rivelare il proprio IP (sebbene le risposte vadano agli IP falsificati).
- Iniezione TCP RST: Pacchetti RST falsificati abbattono connessioni (censura, interruzione).
Difese
- Filtraggio Ingresso (BCP 38): Gli ISP scartano pacchetti con IP sorgente non nell'intervallo assegnato al cliente.
- Filtraggio Egress: Il tuo firewall scarta pacchetti in uscita con sorgenti non interne.
- Autenticazione Crittografica: TLS, IPsec, chiavi SSH—IP falsificato non può completare handshake.
- TCP SYN Cookies: Mitiga SYN flood senza stato.
- RPKI / BGPsec: Previene dirottamento rotte (livello superiore).
L'IP spoofing rimane uno strumento fondamentale per anonimato e abuso di fiducia. Filtraggio a livello di rete + crittografia a livello applicativo è l'unica difesa robusta.