リンク層セキュリティ

データリンク層は、宛先ハードウェアの物理的なメディアアクセスコントロール（MAC）アドレスに基づいてデータパケットにアドレスを指定します。ネットワーク内のスイッチは、スイッチのポートを特定のMACアドレスにマッピングするコンテンツアドレステーブル（CAM）を保持しています。これらのテーブルにより、スイッチはパケットを意図した物理アドレスにのみ安全に配信できます。通信するシステムのみを接続するためにスイッチを使用することで、すべてのトラフィックをすべてのポートにブロードキャストするネットワークハブよりもはるかに高いセキュリティが実現します。 ^{[ 3 ]}盗聴者がすべてのネットワークトラフィックを傍受して監視することが可能になります。CAMテーブル枯渇攻撃は、基本的にスイッチをハブに変えます。^{[ 4 ]}攻撃者は、テーブルの固定メモリ割り当てがいっぱいになるまで、新しいMAC-to-ポートマッピングでCAMテーブルを溢れさせます。この時点で、スイッチはMAC-to-ポートマッピングに基づいてトラフィックを配信する方法がわからなくなり、すべてのポートにトラフィックをブロードキャストするようになります。攻撃者は、パスワード、電子メール、インスタントメッセージなど、スイッチを通過するすべてのネットワークトラフィックを傍受して監視できるようになります。^{[ 5 ]}

CAMテーブルオーバーフロー攻撃は、スイッチのポートセキュリティを設定することで軽減できます。このオプションでは、特定のスイッチポートのMACアドレスを指定するか、スイッチポートが学習できるMACアドレスの数を指定できます。ポートで無効なMACアドレスが検出されると、スイッチは問題のあるMACアドレスをブロックするか、ポートをシャットダウンすることができます。^{[ 6 ]}

データリンク層では、ネットワーク層によって割り当てられた論理IP アドレスが物理MAC アドレスに変換されます。信頼性の高いデータ通信を確保するため、ネットワーク内のすべてのスイッチは、論理 (IP) アドレスから物理 (MAC) アドレスへのマッピングの最新のテーブルを維持する必要があります。クライアントまたはスイッチが受信したデータパケットの IP から MAC へのマッピングが不明な場合、最も近いスイッチにアドレス解決プロトコル ( ARP ) メッセージを送信し、特定の IP アドレスに関連付けられた MAC アドレスを要求します。これが完了すると、クライアントまたはスイッチはテーブルを更新して新しいマッピングを反映させます。ARP スプーフィング攻撃では、攻撃者は攻撃対象のマシンの IP アドレスと自身の MAC アドレスをブロードキャストします。すると、すべての近隣スイッチがマッピング テーブルを更新し、攻撃対象システムの IP アドレス宛てのデータを攻撃者の MAC アドレスに送信し始めます。^{[ 4 ]} このような攻撃は、一般的に「中間者攻撃」と呼ばれます。

ARPスプーフィングに対する防御策は、一般的にARP応答の認証または相互チェックに依存しています。認証されていないARP応答はブロックされます。これらの技術は、動的IPアドレスと静的IPアドレスの両方が認証されるように、動的ホスト構成プロトコル（DHCP）サーバーと統合される場合があります。この機能は、個々のホストに実装することも、イーサネットスイッチやその他のネットワーク機器に統合することもできます。^{[ 7 ]}

IPアドレスを持たないクライアントシステムがネットワークに接続すると、常駐のDHCPサーバーにIPアドレスを要求します。DHCPサーバーはIPアドレスを予約し（他のユーザーが同じアドレスを要求できないようにするため）、そのIPアドレスと、アドレスの有効期間を示すリース情報とともに、クライアントシステムにIPアドレスを送信します。通常、この時点から、クライアントシステムはDHCPサーバーにIPアドレスの確認応答を送信し、DHCPサーバーは確認応答を返します。

DHCP飢餓攻撃では、攻撃者はDHCPサーバーからIPアドレスとリース期間を受け取った後、確認応答を返しません。代わりに、攻撃者はDHCPサーバーのアドレス空間内のすべてのアドレスが予約（枯渇）されるまで、IPアドレス要求をDHCPサーバーに大量に送信します。この時点で、ネットワークに参加しようとするホストはすべてアクセスを拒否され、サービス拒否が発生します。その後、攻撃者は不正なDHCPサーバーをセットアップして、クライアントが誤ったネットワーク設定を受け取り、結果として攻撃者のマシンにデータを送信するようにします。^{[ 8 ]}

この種の攻撃を軽減する方法の1つは、多くのイーサネットスイッチで利用可能なIPソースガード機能を使用することです。IPガードは、最初はDHCPパケット以外のすべてのトラフィックをブロックします。クライアントがDHCPサーバーから有効なIPアドレスを受信すると、IPアドレスとスイッチポートの関係がアクセス制御リスト（ACL）にバインドされます。ACLは、バインドに設定されたIPアドレスのみにトラフィックを制限します。^{[ 9 ]}

無線ネットワークでは、多くのホストまたはノードが共通の媒体を共有しています。ノード A と B が両方ともオフィス環境で通信する無線ラップトップコンピュータである場合、物理的に離れているため、無線アクセスポイントを介して通信する必要があります。しかし、パケットの衝突を避けるために、一度に送信できるデバイスは 1 つだけです。送信する前に、ノード A は Ready to Send (RTS) 信号を送信します。アクセスポイントは、他のトラフィックを受信して​​いない場合、Clear to Send (CTS) 信号をネットワーク上にブロードキャストします。その後、ノード A は送信を開始しますが、ノード B は当面の間、データの送信を保留する必要があります。ノード A と直接通信することはできませんが、つまりノード A は隠蔽されているため、アクセスポイントとの通信に基づいて待機する必要があります。攻撃者は、ネットワークに CTS メッセージを大量に送信することで、この機能を悪用できます。すると、すべてのノードは、隠蔽されたノードが送信しようとしていると想定し、自身の送信を保留するため、サービス拒否が発生します。^{[ 10 ]}

隠れノード攻撃を防ぐには、NetEqualizerなどのネットワークツールが必要です。^{[ 10 ]}このようなツールはアクセスポイントのトラフィックを監視し、トラフィックのベースラインレベルを作成します。CTS/RTS信号の急増は隠れノード攻撃の結果であるとみなされ、その後ブロックされます。

無線ネットワークに接続するクライアントは、まずアクセスポイント（AP）で認証を行い、その後そのアクセスポイントに関連付けられます。クライアントがネットワークから離れるときは、認証解除（deauth）メッセージを送信してアクセスポイントとの関連付けを解除します。攻撃者は、クライアントのIPアドレスに関連付けられたアクセスポイントにdeauthメッセージを送信することで、ユーザーをオフラインにし、継続的な再認証を要求することができ、攻撃者は再認証ハンドシェイクに関する貴重な情報を得ることができます。^{[ 11 ]}

この攻撃を軽減するために、アクセスポイントは、認証解除または関連付け解除要求の効果を遅延させるように設定できます（たとえば、そのような要求を5～10秒間キューイングするなど）。これにより、アクセスポイントはクライアントからの後続のパケットを観測する機会を得ます。認証解除または関連付け解除要求がキューイングされた後にデータパケットが到着した場合、正当なクライアントはそのような順序でパケットを生成することはないため、その要求は破棄されます。^{[ 12 ]}