Newsgroup: it.comp.os.linux.debian
Titolo: [OT] Arp request flooding su linea adsl

Saluti a tutti.
Anche se non è un post specifico per debian, credo che possa interessare
molti degli utenti di questo gruppo.
Per le risposte, ho pubblicato lo stesso messaggio anche su 
it.comp.reti.ip-admin.
Grazie.
Mi connetto ad internet in maniera abbastanza comune:
Il mio computer è connesso ad un modem adsl
in modalità bridge sulla rete di telecom alice.
Quindi mi connetto ad internet tramite
un collegamento pppoe.
(questo è lo schemino della situazione, spero si capisca)
|Linux| eth0                |Modem | linea tel adsl T
|     | ------------------- |  in  |--------------->E
|BOX  | 10.0.0.x   10.0.0.y |Bridge| ,------------->L
|     |                   ,----------'              E
|     | ppp0              |                         C
|     | ------------------'                         O
        IP pubblico dinamico                        M
Oggi ho lasciato acceso il pc acceso, senza generare 
alcuna attività di rete, quando i led sul modem, sia 
quello dell'adsl che quello della lan hanno incominciato
a segnalare attività.
La cosa mi ha insospettito.
Ho verificato tramite netstat che non avevo connessioni di rete 
aperte da alcun programma, inoltre ho verificato tramite /proc/net/dev
che non era il mio pc a trasmettere dati.
Provando ad aprire alcune pagine, mi sono reso conto che la navigazione 
si era rallentata di molto.
Ancora più insospettito ho usato tcpdump per catturare il traffico di 
rete che 
giungeva all'interfaccia di rete del mio pc e salvarlo in un file.
Con mia sorpresa ho scoperto che l'eth0 del mio pc veniva inondata da
arp request ad una frequenza di 400/sec:
Who as 10.0.0.y? Tell 10.0.0.x
tutti pacchetti in broadcast identici, che giungevano da un mac address 
che 
non era ne quello dell'interfaccia eth0 del mio pc ne quello del modem.
Ho interrotto la connessione ppp, ma il fenomeno continuava a sussistere.
Ho spento e riacceso il modem, ma dopo essersi ri-sincronizzato col 
segnale adsl 
sono tornato ad essere ri-inondato di arp request alcuni secondi dopo.
Ho spento e riacceso il modem per una seconda volta, ma si è ripetuto lo 
stesso 
fenomeno, quindi l'ho tenuto spento per circa mezz'ora ed al suo riavvio 
il 
fenomeno non si è più ripresentato.
Le domande che mi pongo sono:
1) Sono stato vittima di un attacco o di un malfunzionamento 
di qualcosa della telecom?
2) Da dove arrivano i pacchetti arp request se il mac address di origine 
non è ne
del mio pc ne quello del modem e sono diretti in broadcast?
Ho letto qualcosa sulle reti, quel tanto che basta per sistemare i pc di 
casa mia, 
ma non sono un esperto. Ringrazio tutti coloro che mi aiuteranno a venire 
a capo 
della faccenda.
Grazie
-- 
-- 
http://normefia.altervista.org
 --

 del mio pc ne quello del modem e sono diretti in broadcast?
Sono pacchetti che vengono spediti da programmi appositi per riuscire a 
decriptare la password di rete. In genere succede con le reti wireless ma, se ho 
capito bene, tu non ne hai....
Consigli:
- cambia subito la tua password di accesso alla rete.
- non tenere mai acceso il modem se non lo usi.
- al minimo dubbio spegni subito e cambia di nuovo la password.
Ciao.
Zarro

 capito bene, tu non ne hai....
Ah non sapevo che gli ARP si propagassero su internet, soprattutto quelli
di subnet private...
Da quando accade ci�, di grazia ?
-- 
A: Because we read from top to bottom, left to right.
Q: Why should i start my reply below the quoted text?

 Il mio computer è connesso ad un modem adsl
Già che sei in tema sicurezza, accertati anche per quanto riguarda la 
vulnerabilità dei router con CPU di classe MIPS.
Ciao.

 Da quando accade ci�, di grazia ?
Da quando c'� in giro la famosa crew del localhost
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 Da quando c'� in giro la famosa crew del localhost
O da quando un imbecille che ho avuto la sventura di conoscere[1],
pare sia stato assunto in una ditta il cui nome comincia per "Teleco".
[1] No, voi no. E siete fortunati, o lo � lui, a seconda dei punti di vista.
Bye, G. 

Ok, penso di aver capito cosa è successo.
A quanto ho verificato, i frame arp si propagano fra i vari dispositivi 
adsl connessi (allo stesso dslam credo).
Allo scopo, mi è bastato chiedere chi avesse l'ip 192.168.1.1 (è un ip 
spesso usato di default da i dispositivi adsl) per ottenere quasi un 
centinaio di MAC in risposta.
#arping -c1 -I eth0 192.168.1.1
ARPING 192.168.1.1 from 192.168.1.2 eth0
Unicast reply from 192.168.1.1 [AA:BB:CC:DD:EE:FF]  0.982ms
Unicast reply from 192.168.1.1 [AA:BB:CC:DD:EE:FF]  34.832ms
Unicast reply from 192.168.1.1 [AA:BB:CC:DD:EE:FF]  37.765ms
Unicast reply from 192.168.1.1 [AA:BB:CC:DD:EE:FF]  38.211ms
...
...
Sent 1 probes (1 broadcast(s))
Received 87 response(s)
Quindi ho provato anche con 10.0.0.2 e ho trovato 
il MAC di chi mi aveva inondato di arp request. 
(Heheheheee)
Dunque, cosa credo sia successo?
Come ha suggerito Zarro, gli arp request vengono usati per far generare 
traffico durante i tentativi di cracking delle reti wireless.
Evidentemente da un'altra parte, qualcuno con i miei stessi indirizzi ip 
per PC e modem (10.0.0.2 e 10.0.0.1) ha usato malamente un programma di 
cracking contro il suo modem wireless. 
Dato che gli arp si propagano, il mio modem ha risposto: 10.0.0.1 sono io!
Il programma ha preso un MAC per un altro e ha incominciato ad inviare 
richieste.
Non credo ci siano grossi rischi di sicurezza, dato che il dslam  filtra 
i pacchetti ip fra i vari dispositivi adsl, quindi non c'è il pericolo 
che si possa sniffare il traffico. 
Inoltre, non credo si possa fare molto (da casa) se qualcuno ti inonda di 
traffico.
Certo, comprare un buon router adsl sarebbe la soluzione più sicura.
In questo modo la porta rj11 che si connette alla linea telefonica non 
dovrebbe aver alcun ip e quindi non dovrebbe rispondere agli arp.
Grazie



 vulnerabilità dei router con CPU di classe MIPS.
Ne ho sentito parlare.
Hai qualche link specifico sull'argomento?
Grazie