IP spoofing — falsificar endereço IP de origem em pacotes — permite atacantes esconder identidade e impersonar hosts confiáveis. Aqui estão quatro vetores de ataque principais que ele potencializa:
1. Amplificação e Reflexão DDoS (ex.: Smurf, NTP, DNS, Memcached)
- Mecanismo: Atacante envia requests a servidores vulneráveis (refletores) com IP vítima spoofado como origem.
- Resultado: Refletores inundam vítima com respostas grandes (fator amplificação 28x–50.000x).
- Smurf Clássico: ICMP Echo Request para endereço broadcast → todos hosts respondem à vítima.
- Modernos: NTP (monlist), DNS (ANY), Memcached (1,3 Tbps registrado).
- Impacto: Saturação banda, indisponibilidade serviço, dano colateral aos refletores.
2. Man-in-the-Middle (MitM) e Session Hijacking
- Mecanismo: Atacante spoofa IPs cliente/servidor para interceptar handshake TCP (predição sequence number) ou ARP/DNS spoofing em LAN.
- Resultado: Espiona tráfego não criptografado (HTTP, FTP, Telnet), injeta malware, rouba cookies de sessão, modifica transações.
- Mitigação: TLS 1.2/1.3 (criptografa + autentica), HSTS, certificate pinning, VPN.
3. Infraestrutura de Phishing e Engenharia Social
- Mecanismo: IPs spoofados hospedam páginas login falsas (banco, O365, VPN) ou enviam e-mails spoofados (via relays comprometidos) aparentando domínios confiáveis.
- Resultado: Roubo credenciais, entrega malware, business email compromise (BEC).
- Nota: Email spoofing usa bypass SPF/DKIM/DMARC, não IP spoofing bruto, mas IP spoofing ajuda hospedar sites phishing anonimamente.
4. Bypass de Controles de Acesso e Reconhecimento
- Exploração de Confiança: Muitos sistemas legados (rsh, rlogin, NFS, firewalls baseados em IP) permitem acesso baseado em IP origem. Spoofing concede entrada.
- Varredura Cega: Atacante spoofa IPs aleatórios para escanear alvo sem revelar próprio IP (respostas vão para IPs spoofados).
- Injeção TCP RST: Pacotes RST spoofados derrubam conexões (censura, disrupção).
Defesas
- Filtragem de Entrada (BCP 38): ISPs dropam pacotes com IPs origem fora do range atribuído ao cliente.
- Filtragem de Saída: Seu firewall dropa pacotes saída com origens não-internas.
- Autenticação Criptográfica: TLS, IPsec, chaves SSH — IP spoofado não completa handshake.
- TCP SYN Cookies: Mitiga SYN floods sem estado.
- RPKI / BGPsec: Previne hijacking de rotas (camada superior).
IP spoofing permanece ferramenta fundamental para anonimato e abuso de confiança. Filtragem camada rede + cripto camada aplicação é única defesa robusta.
