ARP 스푸핑: 원리·MITM·탐지

핵심 정리

ARP 스푸핑은 근거리 통신망(LAN)에서 주소 결정 프로토콜(ARP) 메시지를 이용해 상대방의 데이터 패킷을 중간에서 가로채는 중간자 공격 기법이다. 공격의 핵심은 IP 주소와 MAC 주소의 대응 관계를 거짓으로 바꾸는 데 있다. ARP 스푸핑은 IP 주소에 대응하는 MAC 주소를 공격자의 MAC 주소로 속이는 공격이다.

ARP는 IP 주소를 MAC 주소로 변환하는 프로토콜이다. 호스트와 라우터는 변환 과정에서 확인한 IP 주소와 MAC 주소의 매핑 정보를 ARP 캐시 테이블에 보관한다. 캐시 테이블의 값이 거짓으로 바뀌면 호스트는 통신 상대를 잘못 찾게 된다. ARP 스푸핑은 캐시 테이블을 공격자의 MAC 주소로 갱신시켜 스니핑이 일어나게 할 수 있다.

ARP 스푸핑은 MAC 주소를 속여 LAN 안의 통신 흐름을 왜곡하는 공격이다. 공격 대상 컴퓨터와 서버 사이의 트래픽을 공격자의 컴퓨터로 우회시키면 패스워드 정보 등 원하는 정보를 얻을 수 있다. 이 공격은 먼저 통신 흐름이 공격자를 거치게 만든 뒤, 통신 내용을 엿보고 빼낸다.

ARP가 데이터 링크 상의 프로토콜이므로 이 공격은 근거리에서만 쓸 수 있다. ARP 정보는 보낸 사람을 검증할 수단이 없어, 같은 네트워크의 사용자가 변조된 정보를 보내면 이를 받은 사용자는 잘못된 MAC 주소로 패킷을 보낸다. 특별한 이상 증상이 쉽게 나타나지 않으므로, 별도의 도구를 쓰지 않으면 공격을 당하고 있는지 확인하기 어렵다.

자세히

가짜 ARP 응답과 경로 전환

가짜 ARP 응답은 공격 실행 단계의 핵심이다. 공격자는 가짜 ARP 응답으로 IP 주소에 대응하는 MAC 주소를 속여 패킷을 가로챈다. MAC 주소를 위조해 통신 경로를 자신에게 돌리는 공격이 ARP 스푸핑이다.

공격자에게 경로가 돌아가면 공격 대상 컴퓨터와 서버 사이의 트래픽이 모두 공격자의 컴퓨터를 거치게 된다. 이때 공격의 결과는 패킷 가로채기로 나타난다. 공격이 성립하려면 공격자가 공격 대상과 같은 근거리 통신망 안에 있어야 하므로, 이 공격은 근거리에서만 쓸 수 있다.

ARP 패킷과 브로드캐스트·유니캐스트

ARP 패킷에는 발신자와 대상의 물리 주소와 논리 주소가 포함된다. 이 패킷은 데이터링크 계층 프레임에 캡슐화되어 전송된다.

ARP 요청은 브로드캐스트로 전달되고 ARP 응답은 유니캐스트로 전달된다. 요청은 모든 호스트에 전달되므로 같은 네트워크 안의 호스트들이 그 내용을 볼 수 있다. 응답은 요청한 호스트를 향하므로 두 전달 방식의 차이를 구분해야 한다.

중간자(MITM) 공격과 MITB

중간자(MITM) 공격은 두 컴퓨터가 통신하는 중간에 위치하는 공격 기법이다. 통신 당사자 사이에 끼어들어 공개키를 바꿔치기하고 메시지를 중계하거나 조작하는 공격도 중간자 공격이다. 중간자 공격은 통신 사이에 끼어들어 내용을 가로채거나 변조한다. 공격자는 통신 중간에서 양쪽의 패킷을 받아 중계하거나 바꿀 수 있으므로, 가로채기와 변조가 이 공격의 특징이다.

ARP 스푸핑은 근거리 통신망에서 ARP 메시지를 이용해 통신 중간에 끼어드는 방식이므로 중간자 공격의 한 기법이다. 따라서 중간자 공격이라는 넓은 범주 안에 ARP 스푸핑이 포함된다. 두 개념을 같은 것으로 보면 안 되는 까닭은 ARP 스푸핑은 근거리에서만 쓸 수 있다는 한계가 있기 때문이다.

ARP 캐시 테이블과 스니핑

위조된 ARP 메시지로 호스트의 ARP 캐시를 조작해 트래픽을 우회시키는 방식은 스위칭 환경의 스니핑 기법이다. 캐시에 저장된 대응 정보가 거짓이면 호스트는 잘못된 MAC 주소로 패킷을 보낸다. 스니핑은 다른 사람의 패킷을 엿보는 행위이고, 캐시 조작은 패킷이 공격자를 거치게 만드는 수단이므로 두 개념의 역할은 다르다.