O spoofing de MAC pode fazer com que o DHCP fique sem endereços IP?

Question

Eu estava lendo esta página , quando me deparei com este aviso:

WARNING!: DHCP reservations generally rely on a MAC address to reserve a particular IP address assignment. If you randomize your MAC address you will break your reservation.

Suponha que tenhamos um servidor DHCP para alocar endereços IP em uma rede. Imagine que nós conectamos intencionalmente um dispositivo desonesto que está configurado para continuamente falsificar seu endereço MAC e depois reconectar à rede (solicitando um novo IP para o DHCP). Pelo que entendi, o DHCP reservará um IP para cada endereço MAC, portanto, se esse processo for feito rápido o suficiente, o DHCP ficará sem endereços IP, impedindo que novos dispositivos legítimos se conectem até que o tempo de concessão expire.

Embora isso pareça teoricamente possível, não tenho certeza se isso funcionaria na prática.

• O falsificação de MAC pode fazer o DHCP ficar sem endereços IP?

• Existe algum nome para tal ataque?

• Existe algum mecanismo de defesa para evitar esse tipo de ataque?

Answer 1

Sim, um dispositivo não autorizado na sua LAN Ethernet ou Wi-Fi pode aceitar todas as suas concessões de DHCP e até mesmo usar o ARP para fazer com que todos os endereços IP na rede (mesmo os que estão fora do pool DHCP) pareçam ocupados. Essa é apenas a ponta do iceberg. Os bandidos podem fazer todo tipo de coisas para causar problemas para os proprietários de LAN e outros usuários.

A premissa de uma LAN Ethernet ou Wi-Fi é que é um local seguro. Somente dispositivos confiáveis devem ter permissão para se conectar. Tentar executar uma LAN sem essa premissa é repleto de problemas assim que um usuário semi-mal-intencionado e semi-malicioso (ou um malware) aparece. Exigir autenticação 802.1X na sua LAN e permitir que apenas pessoas / dispositivos confiáveis se conectem.

Se você tiver que permitir dispositivos não autenticados / não confiáveis, mas quiser limitar os danos que os invasores podem causar, não os permita em uma LAN compartilhada. Coloque automaticamente os dispositivos não autenticados em quarentena em sua própria VLAN de dispositivo único e imponha uma filtragem de saída cuidadosa em cada VLAN, para que eles não causem problemas para outras pessoas. Pode haver mais problemas do que vale a pena, mas provavelmente existem produtos de classe empresarial que facilitam isso.

    

Answer 2

Você está interpretando mal o aviso. O termo reserva de endereço é uma maneira de alocar o mesmo endereço IP fixo toda vez que um dispositivo solicitar uma conexão do servidor DHCP.

Isso se baseia no reconhecimento do endereço MAC e na alocação do endereço predefinido de sua tabela. Tudo o que o aviso está dizendo é que, se você falsificar um endereço MAC diferente, o servidor DHCP não verá seu endereço real, portanto, ele não poderá fazer a correspondência com a entrada na tabela e obterá um endereço aleatório do pool.

Você está confundindo reserva de endereço com alocação de endereços . No último caso, o endereço não estará disponível para outros dispositivos de conexão até que o dispositivo com o endereço alocado desconecte, quando o endereço for liberado para o pool DHCP e se torne disponível novamente para outros dispositivos.

Existe um limite de tempo aplicado (o tempo de concessão) antes que um endereço alocado seja liberado, para que os problemas de rede temporários não resultem em endereços IP em constante alteração.