Suplantación de ARP

El protocolo ARP es el encargado de traducir direcciones IP de 32 bits, a las correspondientes direcciones hardware, generalmente de 48 bits en dispositivos Ethernet. Cuando un ordenador necesita resolver una dirección IP en una dirección MAC, lo que hace es efectuar una petición ARP (arp-reque s t) a la dirección de difusión de dicho segmento de red, FF : FF : FF : FF : FF : FF, solicitando que el equipo que tiene esta IP responda con su dirección MAC.
La figura anterior refleja cómo una máquina A, con IP 192 .168. 0. 1 y MAC 0A: 0A: 0A: 0A: OA: hOA solicita?por difusión qué dirección MAC está asociada a la IP 192 . – 168. 0.2. La máquina B, con IP 192. 168. 0.2 y MAC 0B : 0B : 0B : 0B : 0B : 0B de
ARPREPLY
bería ser la única que respondiera a la petición.
Con el objetivo de reducir el tráfico en la red, cada respuesta de ARP (arp-reply) que llega a la tarjeta de red es almacenada en una tabla caché, aunque la máquina no haya realizado la correspondiente petición. Así pues, toda respuesta de ARP que llega a la máquina es almacenada en la tabla de ARP de esta máquina. Este factor es el que se utilizará para realizar el ataque de suplantación de ARP*.
El objetivo de un ataque de suplantación de ARP es poder capturar tráfico ajeno sin necesidad de poner en modo promiscuo la interfaz de red. Envenenando la tabla de ARP de los equipos involucrados en la comunicación que se quiere capturar se puede conseguir que el conmutador les haga llegar los paquetes. Si el engaño es posible, cuando las dos máquinas empiecen la comunicación enviarán sus paquetes hacia la máquina donde está el sniffer. Éste, para no descubrir el engaño, se encargará de encaminar el tráfico que ha interceptado.Si la máquina C responde al arp-request antes que el servidor principal, su arpreplay será sobreescrito por el de la máquina verdadera. Por otra parte, si fuera al contrario (figura b), sería el arp-reply verdadero el que ser´?a eliminado por el de la máquina C (produciéndose en este caso el envenenamiento de ARP).