DHCP Spoofing, cos’è e come proteggere la tua rete

Scopri cos’è il DHCP Spoofing, perché è pericoloso e quali misure adottare per proteggere la sicurezza della tua rete.

Lo spoofing è una minaccia che nel panorama informatico odierno sta diventando sempre più insidiosa. Nel nostro blog abbiamo trattato in maniera esaustiva diverse tipologie di attacchi spoofing e il modo con cui è possibile prevenirli.

1. Il DHCP e il processo DORA
2. Come viene perpetrato il DHCP Spoofing?
3. Strategie difensive contro il DHCP Spoofing

In questo articolo approfondiremo una specifica variante di spoofing che prende di mira il protocollo DHCP, ampiamente utilizzato nelle reti di qualsiasi dimensione. Si tratta del DHCP Spoofing, un attacco che può compromettere la sicurezza della rete. Vedremo nel dettaglio in cosa consiste, perché rappresenta un rischio significativo e quali misure adottare per proteggersi.

Il DHCP e il processo DORA

Il DHCP (Dynamic Host Configuration Protocol) è un protocollo utilizzato per assegnare dinamicamente un indirizzo IP ai client di una rete, insieme ad altri parametri di configurazione, come:

• Indirizzo DNS, necessario per la risoluzione dei nomi di dominio;
• Maschera di sottorete, per definire il range dell’indirizzamento IP locale;
• Gateway predefinito, che funge da punto di accesso alla rete esterna;

L’assegnazione di un indirizzo IP avviene attraverso un processo suddiviso in quattro fasi, noto come DORA (Discover, Offer, Request, Acknowledgment), che prevede lo scambio di specifici messaggi tra client e server DHCP:

1. DHCP Discover. Il client invia un messaggio di ricerca per individuare un server DHCP disponibile. In questa richiesta è incluso il suo indirizzo MAC, che permette al server di identificare il dispositivo.
2. DHCP Offer. Il server DHCP risponde offrendo un indirizzo IP scelto da un pool di indirizzi disponibili.
3. DHCP Request. Il client accetta l’offerta e invia un messaggio di richiesta per confermare l’uso dell’indirizzo IP proposto.
4. DHCP Acknowledgement (Ack). Il server conferma l’assegnazione dell’indirizzo IP e invia gli altri parametri di rete al client.

L’indirizzo IP assegnato non è permanente, ma ha una durata limitata, definita dal DHCP lease time. Alla scadenza di questo intervallo, il client deve richiedere il rinnovo per continuare a utilizzare lo stesso indirizzo IP, evitando così di doverne ottenere uno nuovo.

Come viene perpetrato il DHCP Spoofing?

Sebbene il DHCP consenta una configurazione veloce ed automatica degli host di rete, presenta alcune vulnerabilità serie. In primis, il protocollo non prevede alcuna forma di autenticazione, rendendo impossibile verificare l’identità delle parti coinvolte. Inoltre, lo scambio di messaggi tra client e server DHCP avviene interamente in broadcast. Ciò significa che qualsiasi dispositivo connesso alla rete può intercettare e, potenzialmente, manipolare le comunicazioni.

Queste debolezze possono essere sfruttate per condurre un attacco di DHCP Spoofing.

Meccanismo di attacco

Un cybercriminale inserisce nella rete un server DHCP malevolo, progettato per intercettare le richieste di configurazione inviate dai client. L’obiettivo è rispondere più rapidamente rispetto al server DHCP legittimo, ingannando i dispositivi affinché accettino parametri di rete alterati.

Una volta che i client stabiliscono la connessione con il server malevolo, l’attaccante può trasmettere configurazioni fraudolente per manipolare il traffico di rete. Questo scenario porta a un attacco di tipo Man-in-the-Middle (MitM), in cui il criminale ha il controllo sulle comunicazioni dei dispositivi compromessi e può eseguire azioni illecite, tra cui:

• Furto di dati sensibili, come credenziali di accesso;
• Reindirizzamento del traffico, potenzialmente verso siti di phishing e server C2 (Command & Control);

Per aumentare le probabilità di successo, gli attaccanti spesso combinano il DHCP spoofing con un altro attacco, noto come DHCP Starvation. Questo metodo prevede l’invio massivo di richieste DHCP con indirizzi MAC falsificati, causando l’assegnazione di tutti gli indirizzi IP disponibili. Il risultato è che il server DHCP legittimo esaurisce il proprio pool di indirizzi, impedendo ai nuovi client di ottenere una configurazione valida e forzandoli a connettersi al server malevolo dell’attaccante.

Strategie difensive contro il DHCP Spoofing

Alla luce di quanto visto finora, è evidente che il DHCP Spoofing rappresenta una minaccia seria per la sicurezza delle infrastrutture di rete. Per questo motivo, è fondamentale adottare misure di protezione efficaci per mitigarne i rischi.

Di seguito, alcune best practice consigliate:

Implementare il DHCP Snooping

Si tratta di una funzionalità di sicurezza che può essere abilitata sugli switch di rete per prevenire attacchi basati su DHCP. Questa tecnologia fa uso di una tabella di binding per memorizzare gli host legittimi e le loro configurazioni di rete. In questo modo, le richieste DHCP provenienti da dispositivi non autorizzati vengono bloccate, impedendo l’assegnazione di indirizzi IP fraudolenti.

Utilizzare impostazioni di port security

Le impostazioni di port security cconsentono di associare l’indirizzo MAC del server DHCP a una porta di switch specifica, limitando il numero di dispositivi che possono connettersi alla rete attraverso quella porta. Ciò aiuta a prevenire attacchi come il DHCP Starvation, poiché viene limitato l’uso di indirizzi MAC falsificati da parte degli attaccanti.

Adottare la segmentazione VLAN

L’uso di VLAN (Virtual Local Area Network) in combinazione con il DHCP Snooping consente di segmentare la rete e controllare più efficacemente le comunicazioni tra gli host. Separando i dispositivi in gruppi isolati, si riduce il rischio di attacchi laterali e si limita la superficie d’attacco disponibile per un eventuale aggressore.

Affidarsi a professionisti della cybersecurity

Per una protezione avanzata, è consigliabile rivolgersi a esperti del settore. Onorato Informatica offre soluzioni di network security pensate perle infrastrutture di rete di piccole e medie imprese, neutralizzando le minacce prima che possano compromettere i sistemi. Oltre ai servizi di sicurezza di rete, forniamo penetration test, fondamentali per individuare vulnerabilità all’interno delle infrastrutture aziendali e prevenire possibili attacchi informatici.
Gli attaccanti spesso nascondono le proprie infrastrutture con tecniche come il fast flux.
Una tecnica cugina è il DNS spoofing, che invece di falsificare il server DHCP manipola la risoluzione dei nomi di dominio.