spoofing

IP Spoofing
Alberto Fernández López
(lume@lume.infonegocio.com)
Abel Crespo Vázquez
(abelcv@wanadoo.es)
Escuela Superior de Ingeniería Informática de Ourense (Universidad de Vigo)
Última revisión del documento: 1 de Junio de 2002.

Índice del documento

Pág.

1.
2.
3.
4.
5.

Índice
Breve historia del IP Spoofing
Introducción al IP Spoofing
Prevención del IP Spoofing
Ataquesque se apoyan en IP Spoofing
5.1. Ataques por denegación de servicios (DoS)
5.1.1. TCP Syn Flooding
5.1.2. Smurf
5.1.3. Land
5.2. Intrusiones en sistemas
5.2.1. Anexo: Secuestro de conexiones (Hijacking)
5.3. Web Spoofing
6. IP Spoofing desde el punto de vista jurídico
7. Referencias

1
2
3
6
9
9
9
11
13
14
22
23
30
33

1

Breve historia del IP Spoofing
En Abril de1989 un artículo titulado "Security Problems in the TCP/IP Protocol
Suite" de S.M. Bellovin de los laboratorios de AT&T Bell, fue el primero en identificar el
IP Spoofing como un riesgo real a las redes de computadoras. Bellovin describe cómo
Robert Morris, creador del infame Internet Worm, dedujo la forma en que TCP crea los
números de secuencia y falsificó una secuencia de paquetes TCP. Estepaquete TCP
incluía la dirección destino de su víctima y usando IP spoofing Morris fue capaz de
obtener acceso a root del sistema atacado sin un ID de usuario o contraseña.
Un concepto erróneo común es ese “IP spoofing” que puede usarse para
esconder la IP mientras navega por las Web, charla en el IRC, envía correo
electrónico, etc. Esto generalmente no es verdad. Falsificando la IP de origen,las
contestaciones van a ser dirigidas erradamente, con lo cual no se puede crear una
conexión normal. Sin embargo, el IP spoofing es una parte íntegra de muchos ataques
en la red que no necesitan ver las contestaciones (blind spoofing)

2

Introducción al IP Spoofing
El Internet Protocol (IP) (RFC791) mantiene dos y sólo dos funciones. Define un
datagrama que puede ser enviado a travésde Internet, y proporciona unos medios
para fragmentar datagramas en paquetes y reensamblar paquetes en el datagrama
original.
Cita del RFC791: “El Internet Protocol está específicamente limitado en alcance a
proporcionar las funciones necesarias para entregar un paquete de bits (un datagrama
de Internet) de una fuente a un destino sobre un sistema de redes interconectadas. No
hay ningúnmecanismo para aumentar la fiabilidad de datos end-to-end, control de
flujo, secuenciamiento, u otros servicios comúnmente encontrados en los protocolos
host-a-host. El protocolo de Internet puede sacar provecho de los servicios de sus
redes para proporcionar varios tipos y calidades de servicio.”

Descripción de un Datagrama IP
0

1

2

3

4

5

6

7

8

9

1
0

1
11
2

1
3

1
4

1
5

1
6

1
7

1
8

1
9

2
0

2
1

2
2

2
3

2
4

2
5

2
6

2
7

2
8

2
9

3
0

3
1

Version

IHL
Type of Service
Total Length
Identification
Flags
Fragment Offset
Time to Live
Protocol
Header Checksum
Source Address
Destination Address
Options
Padding
Data
Data
...
Data

Figura 1: Descripción de undatagrama IP (RFC791)

Nótese que en la 4 línea de la descripción se requiere la dirección de origen del
datagrama. En la forma más simple de una falsificación de dirección IP, el atacante
sólo necesita crear un paquete que contiene una dirección de origen falsa y enviarlo a
Internet escribiéndolo en el dispositivo utilizado para la comunicación con Internet.
Para el atacante no experto, hayuna herramienta llamada iptest, parte del paquete de
seguridad libre y públicamente disponible ipfilter que automáticamente crea paquetes
con el propósito de probar configuraciones de routers y otros elementos de seguridad.
La infraestructura de Internet consiste principalmente en un conjunto de
computadoras de entrada (gateways) y enrutadores de paquetes (routers). Estos
sistemas tienen...