انتحال عنوان IP

في مجال شبكات الحاسوب ، يُعرف انتحال عنوان IP أو انتحال IP بأنه إنشاء حزم بروتوكول الإنترنت (IP) بعنوان IP مصدر مزيف ، وذلك بهدف انتحال شخصية نظام حاسوبي آخر. ^{[ 1 ]}

يُعدّ بروتوكول الإنترنت (IP) البروتوكول الأساسي لإرسال البيانات عبر الإنترنت والعديد من شبكات الحاسوب الأخرى . وينص هذا البروتوكول على أن كل حزمة بيانات IP يجب أن تحتوي على ترويسة تتضمن (من بين أمور أخرى) عنوان IP الخاص بمرسل الحزمة. عادةً ما يكون عنوان IP المصدر هو العنوان الذي أُرسلت منه الحزمة، ولكن يمكن تغيير عنوان المرسل في الترويسة بحيث يبدو للمستلم أن الحزمة قادمة من مصدر آخر. ^{[ 2 ]}

يتطلب البروتوكول من جهاز الكمبيوتر المتلقي إرسال رد إلى عنوان IP المصدر؛ لذلك، يتم استخدام التزييف بشكل أساسي عندما يستطيع المرسل توقع استجابة الشبكة أو لا يهتم بالاستجابة.

لا يوفر عنوان IP المصدر سوى معلومات محدودة عن المرسل. قد يوفر معلومات عامة عن المنطقة والمدينة والبلدة التي أُرسلت منها الحزمة. ولا يوفر معلومات عن هوية المرسل أو جهاز الكمبيوتر المستخدم.

يمكن للمتسللين عبر الشبكة استخدام انتحال عناوين IP، الذي يتضمن استخدام عنوان IP موثوق، للتغلب على إجراءات أمان الشبكة، مثل المصادقة القائمة على عناوين IP. يكون هذا النوع من الهجمات أكثر فعالية في حال وجود علاقات ثقة بين الأجهزة. على سبيل المثال، من الشائع في بعض شبكات الشركات أن تثق الأنظمة الداخلية ببعضها البعض، بحيث يمكن للمستخدمين تسجيل الدخول دون اسم مستخدم أو كلمة مرور، شريطة أن يتصلوا من جهاز آخر على الشبكة الداخلية، الأمر الذي يتطلب منهم تسجيل الدخول مسبقًا. من خلال انتحال اتصال من جهاز موثوق، قد يتمكن المهاجم على نفس الشبكة من الوصول إلى الجهاز المستهدف دون مصادقة.

يُستخدم انتحال عناوين IP بكثرة في هجمات حجب الخدمة ^{[ 3 ]} ، حيث يهدف المهاجم إلى إغراق الهدف بكمية هائلة من البيانات، دون أن يكترث لتلقي ردود على حزم الهجوم. يصعب تصفية الحزم ذات عناوين IP المنتحلة، إذ يبدو أن كل حزمة منها تأتي من عنوان مختلف، مما يخفي المصدر الحقيقي للهجوم. عادةً ما تختار هجمات حجب الخدمة التي تستخدم الانتحال عناوين عشوائيًا من كامل نطاق عناوين IP، مع أن آليات الانتحال الأكثر تطورًا قد تتجنب العناوين غير القابلة للتوجيه أو الأجزاء غير المستخدمة من نطاق عناوين IP. أدى انتشار شبكات الروبوتات الكبيرة إلى تقليل أهمية الانتحال في هجمات حجب الخدمة، لكن المهاجمين عادةً ما يمتلكون أداة الانتحال، إذا رغبوا في استخدامها، لذا قد تواجه وسائل الدفاع ضد هجمات حجب الخدمة التي تعتمد على صحة عنوان IP المصدر في حزم الهجوم صعوبةً في التعامل مع الحزم المنتحلة.

في هجمات الحرمان من الخدمة الموزعة (DDoS)، قد يُقرر المهاجم تزييف عنوان IP المصدر إلى عناوين مُولّدة عشوائيًا، بحيث لا يستطيع جهاز الضحية التمييز بين الحزم المُزيّفة والحزم المشروعة. وبالتالي، تُرسل الردود إلى عناوين عشوائية لا تصل إلى أي وجهة مُحددة. تُسمى هذه الحزم التي لا تصل إلى أي مكان بالحزم المُرتدة ، وتوجد أنظمة رصد شبكية تُراقب الحزم المُرتدة لقياس الكثافة الإحصائية لهجمات DDoS على الإنترنت بمرور الوقت. ^{[ 4 ]}

لا يُعدّ استخدام حزم بيانات ذات عنوان IP مصدر مزيف دليلاً قاطعاً على وجود نية خبيثة. فعلى سبيل المثال، في اختبارات أداء المواقع الإلكترونية، قد يتم إنشاء مئات أو حتى آلاف من "المستخدمين الافتراضيين" ^{[ 6 ]} ، حيث يقوم كل منهم بتنفيذ برنامج اختبار على الموقع الإلكتروني قيد الاختبار، وذلك لمحاكاة ما سيحدث عند تشغيل النظام فعلياً وتسجيل دخول عدد كبير من المستخدمين في وقت واحد. ^{[ 7 ] [ 8 ]}

بما أن كل مستخدم سيكون لديه عادةً عنوان IP خاص به، فإن منتجات الاختبار التجارية (مثل HP LoadRunner و WebLOAD وغيرها) يمكنها استخدام انتحال IP، مما يسمح لكل مستخدم بالحصول على "عنوان إرجاع" خاص به أيضًا.

يُستخدم انتحال عناوين IP أيضًا في بعض عمليات موازنة الأحمال على جانب الخادم. يسمح هذا لموازن الأحمال بتوزيع حركة البيانات الواردة، دون الحاجة إلى أن يكون في مسار العودة من الخوادم إلى العميل. يوفر هذا قفزة شبكية عبر المحولات وموازن الأحمال، بالإضافة إلى تقليل حمل معالجة الرسائل الصادرة على موازن الأحمال. عادةً ما تحتوي المخرجات على عدد أكبر من الحزم والبايتات، لذا فإن التوفير كبير. ^{[ 9 ] [ 10 ]}

تُعدّ خدمات الشبكة التي تعتمد على عنوان IP المصدر فقط للتحقق من هوية العملاء عرضةً للاختراق. ومن الأمثلة التاريخية على ذلك مجموعة أوامر Berkeley r ( rlogin و rsh و rcp )، والتي تم التخلي عنها إلى حد كبير لصالح SSH . ^{[ 11 ]} ولا تزال بعض تطبيقات استدعاء الإجراءات عن بُعد ، وأي تطبيق يعتمد على قوائم التحكم في الوصول المستندة إلى عناوين IP دون مصادقة تشفيرية، عرضةً لهذا النوع من الاختراق.

يُعدّ ترشيح الحزم أحد أساليب الدفاع ضد هجمات انتحال عناوين IP . ويتمّ تطبيق ترشيح الدخول ، المُوحّد وفقًا لمعيار BCP 38 ( RFC 2827 )، عند بوابة الشبكة، حيث يتمّ حظر الحزم الواردة التي يكون عنوان مصدرها داخل الشبكة. ^{[ 12 ]} يمنع هذا الإجراء المهاجمين الخارجيين من انتحال عنوان جهاز داخلي. ومن الناحية المثالية، ينبغي أن تُطبّق البوابة أيضًا ترشيح الخروج على الحزم الصادرة، أي حظر الحزم القادمة من داخل الشبكة والتي يكون عنوان مصدرها خارج الشبكة. وهذا يمنع المهاجمين داخل الشبكة، الذين يُطبّقون الترشيح، من شنّ هجمات انتحال عناوين IP ضدّ الأجهزة الخارجية. ويُعدّ نظام كشف التسلل (IDS) أحد الاستخدامات الشائعة لترشيح الحزم، حيث يُستخدم لتأمين بيئات تبادل البيانات عبر الشبكة، بالإضافة إلى استخدام أنظمة كشف التسلل المُعتمدة على المضيف. ^{[ 13 ]} 

كما يوصى بتصميم بروتوكولات وخدمات الشبكة بحيث لا تعتمد على عنوان IP المصدر للمصادقة.

يقيس مشروع CAIDA Spoofer مدى انتشار الشبكات التي تفشل في تطبيق التحقق من صحة عنوان المصدر عن طريق دعوة متطوعين لتشغيل عميل يحاول إرسال حزم بيانات مزيفة من شبكتهم . ^{[ 14 ]}

يُستخدم مصطلح "التزييف" أحيانًا للإشارة إلى تزوير ترويسة البريد الإلكتروني ، أي إدخال معلومات خاطئة أو مضللة في ترويسات رسائل البريد الإلكتروني أو ترويسات الأخبار . تُستخدم الترويسات المزيفة لتضليل المُستلم أو تطبيقات الشبكة بشأن مصدر الرسالة. هذه تقنية شائعة يستخدمها مرسلو الرسائل المزعجة ، الذين يرغبون في إخفاء مصدر رسائلهم لتجنب تتبعهم.

• تصفية الخروج
• تصفية الدخول
• انتحال عنوان MAC
• ترجمة عنوان الشبكة
• إعادة توجيه المسار العكسي
• جهاز التوجيه (الحوسبة)
• عنوان URL مزيف

• مشروع ANA Spoofer: حالة انتحال عناوين IP واختبار العميل
• RFC 6528 ، الدفاع ضد هجمات أرقام التسلسل، فبراير 2012