Questão de Redes de Computadores — ARP e RARP — VUNESP 2023

ARP Spoofing: interceptação de tráfego na rede local

Gabarito: letra E. O ARP Spoofing (ou ARP Poisoning) é uma técnica de ataque em que o invasor envia mensagens ARP falsificadas na rede local, associando seu próprio endereço MAC ao endereço IP de outro dispositivo (como o roteador ou um host legítimo). Com isso, o tráfego destinado a esse IP passa a ser enviado para o atacante, que pode interceptá-lo, lê-lo ou modificá-lo antes de repassá-lo ao destino real — um ataque clássico de man-in-the-middle (homem no meio). A alternativa E descreve exatamente esse efeito: receber datagramas IP na rede local que estariam destinados a outro endereço IP.

O protocolo ARP (Address Resolution Protocol, RFC 826) é responsável por converter endereços IP em endereços MAC dentro de uma mesma rede local (LAN). Quando um host precisa se comunicar com outro, ele envia uma solicitação ARP em broadcast perguntando "quem tem o IP X?" e o dono do IP responde com seu MAC. O problema é que o ARP não possui mecanismo de autenticação: qualquer dispositivo pode enviar uma resposta ARP dizendo "eu sou o IP X", mesmo que não seja. É exatamente essa vulnerabilidade que o ARP Spoofing explora.

Na prática, o atacante envia respostas ARP falsificadas para a vítima (dizendo que o MAC do roteador é o dele) e para o roteador (dizendo que o MAC da vítima é o dele). Assim, todo o tráfego entre a vítima e o roteador passa pelo atacante, que pode capturar senhas, dados bancários, e-mails, etc. Esse ataque só funciona dentro da mesma rede local (mesmo domínio de broadcast), pois o ARP não é roteado entre redes diferentes.

A defesa contra esse ataque envolve técnicas como: tabelas ARP estáticas (configuração manual do mapeamento IP-MAC), uso de protocolos como o DAI (Dynamic ARP Inspection) em switches, que valida as respostas ARP com base em informações do DHCP Snooping, e criptografia de ponta a ponta (como TLS/HTTPS) para proteger os dados mesmo que sejam interceptados.

A pegadinha desta questão está em distinguir o que o ARP Spoofing realmente faz (manipular a associação IP-MAC para redirecionar tráfego) de outras técnicas como MAC Spoofing (alterar o próprio MAC) ou ataques de negação de serviço (DoS). O ARP Spoofing não altera endereços MAC de outros dispositivos nem endereços IP públicos — ele apenas engana a tabela ARP dos outros hosts para que eles associem o IP do alvo ao MAC do atacante.

Alternativa A — ❌ Incorreta

Esta alternativa descreve o MAC Spoofing, que é a alteração do endereço MAC da própria interface de rede pelo atacante. Embora o MAC Spoofing possa ser usado como parte de um ataque, ele não é a essência do ARP Spoofing. No ARP Spoofing, o atacante não precisa alterar seu próprio MAC; ele apenas envia mensagens ARP falsas associando seu MAC (que pode ser o original) ao IP de outro dispositivo. A confusão aqui é entre "alterar o próprio MAC" (MAC Spoofing) e "enganar a tabela ARP dos outros" (ARP Spoofing).

Alternativa B — ❌ Incorreta

O ARP Spoofing não altera o endereço MAC da interface de rede de outros dispositivos. O endereço MAC é gravado de fábrica na placa de rede e, embora possa ser alterado via software em cada máquina, o atacante não tem controle remoto para modificar o MAC de terceiros. O que o ARP Spoofing faz é corromper a tabela ARP (cache) dos outros dispositivos, fazendo-os acreditar que um IP pertence ao MAC do atacante. A tabela ARP é um cache local em cada host, não o MAC da interface em si.

Alternativa C — ❌ Incorreta

Sobrecarregar um servidor na Internet com um grande número de requisições simultâneas é um ataque de negação de serviço (DoS/DDoS), não ARP Spoofing. O ARP Spoofing atua na camada de enlace, dentro da rede local, e não tem relação com sobrecarga de servidores remotos. Essa alternativa mistura conceitos de ataques completamente diferentes.

Alternativa D — ❌ Incorreta

Alterar o próprio endereço IPv4 para qualquer outro IPv4 público da Internet é uma técnica conhecida como IP Spoofing, que consiste em falsificar o endereço IP de origem em pacotes IP. Isso é diferente do ARP Spoofing, que manipula a resolução IP-MAC na rede local. Além disso, o IP Spoofing não é uma técnica específica do ARP e não é o que o enunciado descreve.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta é a descrição correta do ARP Spoofing. Ao enviar respostas ARP falsificadas, o atacante faz com que os outros dispositivos da rede local associem o IP do alvo (por exemplo, o IP do roteador) ao MAC do atacante. Assim, os datagramas IP que seriam enviados ao alvo legítimo são entregues ao atacante, que pode interceptá-los. O termo-chave é "receber datagramas IP na rede local que estariam destinados a outro endereço IP" — exatamente o efeito do envenenamento da tabela ARP.

Gabarito: letra E