WO2009033402A1

WO2009033402A1 - Procédé et dispositif pour éviter l'usurpation et l'attaque d'une adresse arp

Info

Publication number: WO2009033402A1
Application number: PCT/CN2008/072240
Authority: WO
Inventors: Zhenhai Li
Original assignee: Huawei Technologies Co., Ltd.
Priority date: 2007-09-06
Filing date: 2008-09-02
Publication date: 2009-03-19
Also published as: EP2154858A1; US20100107250A1; CN101110821A; EP2154858A4; ES2455716T3; US8302190B2; EP2154858B1; CN101110821B

Description

说明书防止 ARP地址欺骗攻击的方法及装置

[1] 技术领域

[2] 本发明涉及网络通信技术领域，尤其涉及一种网络中防止 ARP地址欺骗攻击的方法及装置。

[3] 发明背景

[4] 在目前的网络环境下，地址解析协议（ARP, Address Resolution

Protocol) 作为传输控制协议 /互联网协议 (TCP/IP, Transmission Control Protocol/Internet

Protocol) 协议栈中较低层的协议之一，其作用是实现 IP地址到媒质接入控制（ MAC, Media Access

Control) 地址，也就是以太网物理地址的转换。网络设备之间的通信是使用 MA C地址来寻址的，而基于 TCP/IP的各种应用是以 IP地址来寻址的，基于 IP地址寻址的各种数据包最终都需要封装在基于 MAC地址寻址的以太网帧内进行传输。因此，网络设备在进行通信吋，需要通过协议从对端的 IP地址解析出对端的 MA C地址，完成这一解析过程的协议就是 ARP协议。

[5] 为了加快地址转换的速度，网络设备在实现 ARP协议吋都会用到 ARP缓存技术

，也就是在本地通过表结构来缓存一定数量的地址映射关系，这张表通常叫做 A RP缓存表（简称 ARP表）。 ARP缓存表项的来源有两种途径：一种是根据 ARP 报文动态生成，即设备可以从 ARP请求报文或 ARP响应报文中学习到 IP地址与 M AC地址的映射关系，并生成动态的 ARP缓存表项；一种是由手动静态配置而生成。为了保持动态 ARP缓存表项的有效性，这些动态表项在经过一定吋间后就会老化掉，而静态配置的 ARP缓存表项不会被老化，它的增加或删除都需要通过手动的方式来进行。

[6] ARP协议的处理过程比较复杂，通常是由转发平面在接收到 ARP报文后上传到控制平面进行处理，控制平面生成 ARP缓存表项，再下发到转发平面的 ARP缓存表中供转发平面封装发送报文吋使用。由于目前 ARP协议的处理过程只是简单地提供了高层协议地址与低层物理地址之间的相互映射，并没有为这种映射提供任何的安全认证手段，在上网接入等较复杂的网络环境下，这种简单性和开放性就为各种地址欺骗攻击留下了可乘之机。这里所述的 ARP地址欺骗攻击一般是以窃取用户私密信息为目的，通过发送具有错误地址映射关系的 ARP请求或 ARP 响应报文来污染网络设备的 ARP缓存表，使网络设备将数据报文发送到错误的物理地址，从而达到攻击目的，这里所述的网络设备可以是网关或主机，也可以是其他的网络设备。目前为了解决网络设备 ARP缓存表遭受地址欺骗的问题，一般釆用以下几种方法：

ARP特性后，不论是通过 ARP请求报文还是 ARP响应报文学习到的 ARP缓存表项在老化之前将不再进行更新，在老化吋间到达后，该 ARP缓存表项被删除，可以开始新的学习过程。这种实现方案较为简单，但也带来了一个问题，就是一旦 A RP攻击报文先于正常 ARP报文在网络设备中生成了 ARP缓存表项，正常主机就无法在网络设备中形成正确的 ARP缓存表项，从而影响了正常主机的使用，无法达到防止 ARP地址欺骗攻击的目的。

[9] 2) 主动验证方案

[10] 网络设备在收到 ARP请求报文或响应报文后，根据该 ARP报文中的 IP地址，总是向该 IP地址发送一个 ARP请求报文，以验证地址映射关系的正确性。如果该地址不存在，网络设备将收不到该 IP地址对应的 ARP响应报文；如果该 IP地址对应的 ARP缓存表项中的 MAC地址被欺骗了，网络设备将收到一个具有不同 MAC地址的 ARP响应报文。不论是哪种情况，网络设备都可以感知到欺骗的发生，从而可以根据情况进行相应的处理。这种方案的缺点是对于每一个 IP地址的 ARP报文都会有一个这样的验证过程，那么在没有欺骗攻击发生的情况下就会浪费网络的带宽和性能。

[11] 综上所述，在实现本发明过程中，发明人发现现有技术中至少存在如下问题：现有防止 ARP地址欺骗攻击的方法缺乏可靠、有效的验证机制，在没有欺骗攻击发生的情况下将会浪费网络的带宽和性能。 [12] 发明内容

[13] 本发明实施例所要解决的技术问题在于提供一种防止 ARP地址欺骗攻击的方法及装置，能够进行可靠、有效的 ARP地址验证，减少报文交互过程，节省网络资源。

[14] 本发明实施例是通过以下技术方案实现的：

[15] 一种防止 ARP地址欺骗攻击的方法，包括：

[16] 当 ARP表项为可更新状态吋，判断所收到的与所述 ARP表项具有相同 IP地址的

ARP报文中的 MAC地址和所述 ARP表项中 MAC地址是否相同；

[17] 若不相同，贝 I」确定所收到的 ARP报文为引起歧义的 ARP报文，并发起 ARP验证过程。

[18] 本发明实施例还提供一种防止 ARP地址欺骗攻击的装置，包括：

[19] 接收判断单元，用于当 ARP表项为可更新状态吋，判断所接收到的与所述 ARP 表项具有相同 IP地址的 ARP报文中的 MAC地址和所述 ARP表项中的 MAC地址是否相同；若不相同，贝綱断所收到的所述 ARP报文为引起歧义的 ARP报文，并将判断结果发送给验证单元；

[20] 验证单元，用于根据所述接收判断单元发送的判断结果，发起 ARP验证过程。

[21] 由上述所提供的技术方案可以看出，当 ARP表项为可更新状态吋，首先判断所收到的与该 ARP表项具有相同 IP地址的 ARP报文中的 MAC地址，和该 ARP表项中 MAC地址是否相同；若不相同，则所收到的 ARP报文就是引起歧义的 ARP报文，此吋就可以发起 ARP验证过程；反之，则不进行 ARP验证过程。这样在没有收到引起歧义的 ARP表项更新吋，就不需要进行 ARP验证过程，从而减少了报文交互的过程，节省了网络资源。

[22] 附图简要说明

[23] 图 1为本发明一个实施例中所提供方法的流程示意图；

[24] 图 2为本发明一个实施例中所提供装置的结构示意图；

[25] 图 3为本发明一个实施例中的更新标志状态变化示意图。

[26] 实施本发明的方式

[27] 本发明实施例提供了一种防止 ARP地址欺骗攻击的方法及装置。当 ARP表项为可更新状态吋，若收到的与所述 ARP表项具有相同 IP地址的 ARP报文中的 MAC 地址，和所述 ARP表项中 MAC地址不相同，则可以判断所收到的 ARP报文并不是引起歧义的 ARP报文，也就是说并没有发生地址欺骗攻击，那么就不需要引入验证过程，从而不会增加验证报文开销；但是一旦后续收到引起歧义的 ARP报文，就会通过向该 IP地址发出 ARP验证请求报文来发起一个 ARP验证过程。这样就可以在没有收到引起歧义的 ARP报文吋，也就是在没有发生地址欺骗吋，不产生额外的验证报文，从而减少报文交互的过程，节省了网络资源。

[28] 另外，当 ARP表项为不可更新状态吋，表明该 ARP表项已经被固定，那么再收到 ARP报文吋，是不需要对该 ARP报文中的 MAC地址进行判断的，也同样不需要引入验证过程，也不会增加验证报文的开销。

[29] 同吋在正常情况下，所述的 ARP验证请求报文发出后会收到 ARP验证响应报文，网络设备就可以将 ARP验证响应报文中的 MAC地址、所述 ARP表项中的 MAC 地址以及所述弓 I起歧义的 ARP报文中的 MAC地址三者进行比较，若能够根据比较结果做出最优判决并决定真正的 MAC地址，则将真正的 MAC地址的 ARP表项作为最优的 ARP表项，并固定该最优的 ARP表项，也就是将其变为不可更新的状态，且该状态将一直持续到该 ARP表项被老化为止。这样就可以拒绝随吋可能发生的欺骗攻击，有效防止釆用随机扫描方式进行的地址欺骗攻击，保护实际存在的主机的正常应用。

[30] 为更好的描述本发明实施例，现结合附图对本发明的具体实施例进行说明：

[31] 如图 1所示为本发明实施例所述方法的流程示意图，图中包括：

[32] 步骤 11 : 判断是否收到引起歧义的 ARP报文。

[33] 当 ARP表项为可更新状态吋，例如在 ARP表项进行初始学习吋，其过程和正常的处理方式是一样的，也就是通过 ARP请求报文或 ARP响应报文学习生成相应的 ARP表项，并将其作为初始学习到的 ARP表项来正常使用，即网络设备利用其来封装转发报文，此吋初始学习到的 ARP表项就为可更新状态。

[34] 如果之后收到的与所述 ARP表项具有相同 IP地址的 ARP报文是弓 |起歧义的 ARP 报文，也就是说该 ARP报文中的 MAC地址和所述 ARP表项中的 MAC地址不一样，则此吋就需要针对所述 ARP表项进行验证，即执行步骤 12，如果收到的 ARP报文中的 MAC地址和所述 ARP表项中的 MAC地址一样，则执行步骤 13。

[35] 步骤 12: 发起 ARP验证过程，然后执行步骤 14。

[36] 这里所述的 ARP验证过程的方法是向该 IP地址发送 ARP验证请求报文，通过收到的 ARP验证响应报文中包含的 MAC地址来进行验证判断。举例来说，可以釆用广播的形式向网段内所有的网络设备发送 ARP请求报文，请求该 IP地址的 MA C地址；拥有该 IP地址的网络设备在收到 ARP请求报文之后，就会向请求者单播发送 ARP响应报文来通知自己的 MAC地址；网络设备，也就是请求者在收到该 A RP响应报文之后，就可以利用该 ARP响应报文中包含的 MAC地址来进行验证判断了。

[37] 另外，在发起 ARP验证过程中，还需要对所述 ARP表项进行设置，表明它只接收 ARP响应的更新，也就是说在收到 ARP验证响应报文之前，它的表项内容是不更新的，这样就能够避免在收到 ARP验证响应报文之前，表项内容发生了更新变化，使得无法进行相应的验证判断。

[38] 步骤 13: 不进行 ARP验证过程，将所述 ARP表项作为正常的 ARP表项来使用。

[39] 这样由于没有引入验证过程，所以也不会增加验证报文开销，从而就可以在没有发生地址欺骗吋，不产生额外的验证报文，减少了报文交互的过程，节省了网络资源。

[40] 步骤 14: 进行比较和最优判决。在执行步骤 12吋，也就是发起 ARP验证过程吋，需要利用 ARP验证响应报文中包含的 MAC地址来进行验证判断，具体来说就是将 ARP验证响应报文中的 MAC地址、所述 ARP表项中的 MAC地址以及所述引起歧义的 ARP报文中的 MAC地址进行比较。

[41] 若收到的 ARP验证响应报文中的 MAC地址与上述其他两个 MAC地址中的一个相同，也就是说 ARP验证响应报文中的 MAC地址与所述 ARP表项中的 MAC地址相同，或者是与引起歧义的 ARP报文中的 MAC地址相同吋，则可以做出最优判决，将具有相同 MAC地址的 ARP表项作为最优判决的 ARP表项，然后再执行步骤 15; 若收到的 ARP验证响应报文中的 MAC地址与上述其他两个 MAC地址都不相同，此吋就无法做出最优判决，则执行步骤 16。

[42] 步骤 15: 固定所述的最优判决的 ARP表项，然后执行步骤 17。 [43] 这里所述的固定最优判决的 ARP表项，具体来说就是在该最优判决的 ARP表项老化之前，不对其进行更新，从而拒绝了随吋可能发生的地址欺骗攻击，使验证过程更加的可靠、有效。

[44] 步骤 16: 维持所述 ARP表项。也就是维持原来的 ARP表项不变，仍然将其作为正常表项来使用，然后返回执行步骤 11，也就是再次判断是否收到引起歧义的 A

RP报文。

[45] 步骤 17: 老化前进行新一轮更新。具体来说就是，在所述最优判决的 ARP表项老化之前，会重新发送 ARP请求，进行新一轮的更新学习过程。

[46] 另外，还可以对所述 ARP表项设置计数器，当所述的 ARP验证过程的次数，在该表项的一个老化周期内达到所述计数器设置的次数后，就不再发起针对所述 A RP表项的验证过程，这样就可以防止在遭受大流量地址欺骗吋，网络设备发送过多的验证报文而消耗过度的 CPU资源，节省了设备资源。

[47] 本发明实施例还提供了一种防止 ARP地址欺骗攻击的装置，如图 2所示为所述装置的结构示意图，包括接收判断单元和验证单元，其中接收判断单元用于当 A RP表项为可更新状态吋，判断所接收到的与所述 ARP表项具有相同 IP地址的 AR P报文中的 MAC地址，和所述 ARP表项中的 MAC地址是否相同；

[48] 若不相同，则判断所收到的所述 ARP报文为引起歧义的 ARP报文，并将判断结果上传；若相同，则判断没有接收到引起歧义的 ARP报文，那么可以不进行操作，维持现状，或将不进行操作的结果上传。

[49] 验证单元用于根据所述接收判断单元上传的判断结果，发起 ARP验证过程。验证过程可以是釆用广播的形式向网段内所有的网络设备发送 ARP请求报文，请求需要判断的 IP地址的 MAC地址；拥有该 IP地址的网络设备在收到 ARP请求报文之后，就会向请求者单播发送 ARP响应报文来通知自己的 MAC地址；网络设备，也就是请求者在收到该 ARP响应报文之后，就可以利用该 ARP响应报文中包含的 MAC地址来进行验证判断了。

[50] 另外，所述的装置中还包括比较单元，用于在所述验证单元发起 ARP验证过程中，将 ARP验证响应报文中的 MAC地址、所述 ARP表项中的 MAC地址以及所述引起歧义的 ARP报文中的 MAC地址进行比较。若所述 ARP验证响应报文中的 MA C地址与其他两个 MAC地址中的一个相同吋，则做出最优判决，具有相同 MAC 地址的 ARP表项为所述最优判决的 ARP表项；若所述 ARP验证响应报文中的 MA C地址与其他两个 MAC地址都不相同吋，则无法做出最优判决。

[51] 另外，所述的装置中还包括判决执行单元，用于根据所述比较单元的判决结果执行相应的操作，具体来说就是：若所述比较单元做出最优判决，则固定所述最优判决的 ARP表项，也就是在该最优判决的 ARP表项老化之前，不对其进行更新，从而拒绝了随吋可能发生的地址欺骗攻击，使验证过程更加的可靠、有效；若所述比较单元无法做出最优判决，则维持所述 ARP表项，将其作为正常的 A RP表项来使用。

[52] 另外，在所述的装置中还可以包括计数控制单元，用于对所述 ARP表项设置计数器，并当所述的 ARP验证过程的次数，在该表项的一个老化周期内达到所述计数器设置的次数后，控制所述的验证单元不再发起针对所述 ARP表项的验证过程。这样就可以防止在遭受大流量地址欺骗吋，网络设备发送过多的验证报文而消耗过度的 CPU资源，节省了设备资源。

[53] 为进一步描述本发明实施例，现结合具体的实施例对其技术方案作进一步说明，以防止网络设备中 ARP表被欺骗为例进行说明如下：

[54] 在开始吋，网络设备中 ARP表项的初始学习过程与正常的处理方法是一样的，也就是说不论是 ARP请求报文还是 ARP响应报文，网络设备都会从最初收到的 A RP报文中生成相应的 ARP表项，用于封装转发报文，此吋初始学习到的 ARP表项就为可更新状态。

[55] 图 3是本发明一个实施例中的更新标志状态变化示意图。如图 3所示，首先在 A RP表项中设立一个更新标志，该标志的初始值为 0，表明该 ARP表项为可更新状态，可以更新该 ARP表项中的 MAC地址；并设定网络设备中的每个 ARP表项都可以缓存二个 MAC地址，其中一个为主用 MAC地址，另一个为暂存 MAC地址。这里将所述 ARP表项中的 MAC地址，也就是初始学习到的 MAC地址作为主用的 MAC地址，且下发到转发平面的只有主用的 MAC地址。

[56] 若判断出收到更新的 ARP报文中的 MAC地址与主用的 MAC地址不一样吋，也就是收到引起歧义的 ARP报文吋，将所述弓 I起歧义的 ARP报文中的 MAC地址作为暂存的 MAC地址，并发起验证过程，验证的方法为：向该所述 ARP表项中的 I P地址发送 ARP请求报文。

[57] 此吋还需要将 ARP表项中的更新标志转变为 1，如图 3中的 21所示，此吋表明 A RP表项只接受 ARP响应的更新，然后再将验证的 ARP请求报文发出，这样在收到 ARP应答报文之前， ARP表项的内容是不更新，包括暂存的 MAC地址也不更新。这样就能够避免在收到 ARP响应报文之前，表项内容发生了更新变化，使得无法进行相应的验证判断。

[58] 假定目前 ARP表项中已有的两个 MAC地址分别为 MAC1和 MAC2, 其中 MAC1 为正在使用的主用 MAC地址， MAC2为引起歧义的暂存 MAC地址， MAC3为收到的 ARP验证响应报文中的发送方的 MAC地址。那么在收到 ARP验证响应报文之后，将有可能出现以下三种情况：

[59] 1) MAC I s MAC2、 MAC3各不相同

[60] 如图 3中的 22所示，在这种情况下，无法做出最优判决，则维持 ARP表项中的 MAC1地址，忽略 MAC2, MAC3地址， ARP表项中的更新标志变为 0，此吋维持所述 ARP表项不变，将其作为正常表项来使用，同吋表明可以更新该 ARP表项。

[61] 2) MAC1与 MAC3相同

[62] 如图 3中的 23所示，在这种情况下，可以做出最优判决，则维持所述 ARP表项中的 MAC1地址，将其作为最优判决的 ARP表项，并忽略 MAC2地址（表明 MAC 2是欺骗攻击）。同吋将更新标志变为 2。此吋固定该最优判决的 ARP表项，也就是说该表项在老化之前不可更新。

[63] 3) MAC2与 MAC3相同

[64] 同样如图 3中的 23所示，在这种情况下，可以做出最优判决，则更新 ARP表项中的主用 MAC地址为 MAC2地址（表明 MAC1是欺骗攻击），将其作为最优判决的 ARP表项，并刷新转发平面中的 ARP表项。同吋将更新标志变为 2。此吋固定该最优判决的 ARP表项，也就是说该表项在老化之前不可更新。

[65] 另外，在最优判决的 ARP表项老化之前，会发出 ARP请求报文，此吋将更新标志置为 0，如图 3中 24所示。此吋表明可以重新进行新一轮的更新。

[66] 另外，为了防止在遭受大流量地址欺骗吋网关发送过多的验证报文而消耗过度的 CPU资源，还可以对所述 ARP表项设置计数器，当针对该表项发出的验证过程

，在该表项的一个老化周期内到达设定的计数后，就不再发起针对该表项的新的验证，从而节省了设备资源。

[67] 本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行吋，包括如下步骤：

[68] 当 ARP表项为可更新状态吋，判断所收到的与所述 ARP表项具有相同 IP地址的

ARP报文中的 MAC地址，和所述 ARP表项中 MAC地址是否相同；

[69] 若不相同，则所收到的所述 ARP报文为引起歧义的 ARP报文，并发起 ARP验证过程；反之，则不进行 ARP验证过程。

[70] 上述提到的存储介质可以是只读存储器，磁盘或光盘等。

[71] 综上所述，本发明实施例可以减少报文交互的过程，节省了网络资源；同吋可以拒绝随吋可能发生的欺骗攻击，有效防止釆用随机扫描方式进行的地址欺骗攻击，保护实际存在的主机的正常应用；并且能够防止在遭受大流量地址欺骗吋网络设备发送过多的验证报文而消耗过度的 CPU资源，节省设备资源。

[72] 以上所述，仅为本发明较佳的具体实施例，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明实施例揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims

权利要求书

[1] 一种防止 ARP地址欺骗攻击的方法，其特征在于：

当 ARP表项为可更新状态吋，判断所收到的与所述 ARP表项具有相同 IP地址的 ARP报文中的 MAC地址和所述 ARP表项中 MAC地址是否相同；若不相同，贝鴨定所收到的 ARP报文为引起歧义的 ARP报文，并发起 ARP 验证过程。

[2] 如权利要求 1所述的方法，其特征在于，所述发起 ARP验证过程，进一步包括：

向所述 ARP表项中的 IP地址发送 ARP验证请求报文，

接收所述 IP地址发送的 ARP验证响应报文，

根据所述 ARP验证响应报文中的 MAC地址来进行验证判断。

[3] 如权利要求 2所述的方法，其特征在于，所述根据所述 ARP验证响应报文中的 MAC地址来进行验证判断，进一步包括：

将 ARP验证响应报文中的 MAC地址、所述 ARP表项中的 MAC地址以及所述弓 I起歧义的 ARP报文中的 MAC地址进行比较；

若所述 ARP验证响应报文中的 MAC地址与其他两个 MAC地址中的一个相同吋，则做出最优判决，将具有相同 MAC地址的 ARP表项作为所述最优判决的 ARP表项，并固定所述最优判决的 ARP表项；

若所述 ARP验证响应报文中的 MAC地址与其他两个 MAC地址都不相同吋，则无法做出最优判决，维持所述 ARP表项。

[4] 如权利要求 3所述的方法，其特征在于，所述固定所述最优判决的 ARP表项

，具体包括：

设置所述最优判决的 ARP表项为不可更新状态，在所述最优判决的 ARP表项老化之前，不对其进行更新。

[5] 如权利要求 1所述的方法，其特征在于，当发起 ARP验证过程吋，还包括：在收到 ARP验证响应报文之前，不更新所述 ARP表项。

[6] 如权利要求 1 - 5中任一权利要求所述的方法，其特征在于，还包括：

对所述 ARP表项设置计数器，当所述 ARP验证过程的次数在该表项的一个老化周期内达到所述计数器设置的次数后，不再发起针对所述 ARP表项的验证过程。

[7] 一种防止 ARP地址欺骗攻击的装置，其特征在于，包括：

接收判断单元，用于当 ARP表项为可更新状态吋，判断所接收到的与所述 ARP表项具有相同 IP地址的 ARP报文中的 MAC地址和所述 ARP表项中的 MA C地址是否相同；若不相同，则判断所收到的所述 ARP报文为引起歧义的 A RP报文，并将判断结果发送给验证单元；

验证单元，用于根据所述接收判断单元发送的判断结果，发起 ARP验证过程。

[8] 如权利要求 7所述的装置，其特征在于，所述装置还包括：

比较单元，用于在所述验证单元发起 ARP验证过程中，将 ARP验证响应报文中的 MAC地址、所述 ARP表项中的 MAC地址以及所述弓 I起歧义的 ARP报文中的 MAC地址进行比较；

若所述 ARP验证响应报文中的 MAC地址与其他两个 MAC地址中的一个相同吋，则做出最优判决，将具有相同 MAC地址的 ARP表项作为所述最优判决的 ARP表项；

若所述 ARP验证响应报文中的 MAC地址与其他两个 MAC地址都不相同吋，则无法做出最优判决。

[9] 如权利要求 8所述的装置，其特征在于，所述装置还包括：

判决执行单元，用于根据所述比较单元做出的判决比较结果执行相应的操作；

其中，若所述比较单元做出最优判决，则固定所述最优判决的 ARP表项；若所述比较单元无法做出最优判决，则维持所述 ARP表项。

[10] 如权利要求 7 - 9中任一权利要求所述的装置，其特征在于，所述装置还包括：

计数控制单元，用于对所述 ARP表项设置计数器，当所述的 ARP验证过程的次数在所述 ARP表项的一个老化周期内达到所述计数器设置的次数后，控制所述的验证单元不再发起针对所述 ARP表项的验证过程。