Prima di cominciare la brevissima descrizione di questo tipo d’attacco informatico è doverosa una premessa: ciascuno switch contiene al suo interno una tabella (MAC address table: vedi
https://netj.blogfree.net/?t=4905139 ) la quale riporta gli indirizzi MAC associati a ciascuna delle sua porte fisiche (fig.1).
figura 1
Il nome di questo tipo di attacco ci dice tanto sulla su caratteristica principale. Flooding significa inondazione e infatti è questo quello che fa colui che attacca: inonda la tabella degli indirizzi MAC. Detto così non è ancora chiaro, infatti ci domandiamo che c’entri un inondamento, argomento più adeguato ad un disastro ambientale, con switch e più in generale le reti informatiche. Ebbene c’entra se si immagina una grande affluenza non di acqua, come nelle alluvioni, ma di indirizzi MAC. In un attacco di tipo MAC flooding l’aggressore (attacker) sfrutta due caratteristiche degli switch: per prima cosa la tabella degli indirizzi MAC è di dimensioni limitate, la seconda peculiarità è che se nello switch non è presente l’indirizzo MAC del destinatario, il dispositivo in questione invierà l’informazione (che a livello dello switch è detta frame) in flood (broadcast) a tutte le porte esclusa quella in cui è stata ricevuta la frame. Di seguito, in figura 2, è schematicamente illustrato come l’aggressore sfrutta a suo vantaggio queste caratteristiche degli switch che dal suo punto di vista vengono lette come punti deboli.
figyra 2
Come è possibile osservare dalla schematizzazione in figura 2, l’host dell’aggressore, ad esempio un PC, invia allo switch, attraverso la porta 3, frame con indirizzi MAC fasulli generati in modo random che possono essere sia di sorgente che di destinazione. Quando la tabella sarà colma di indirizzi MAC assegnati unicamente alla porta 3, che è quella a cui è collegato il malintenzionato, lo switch va in modalità di fail-open: invia la frame a tutte le porte esclusa quella in cui è stata ricevuta. Tra le porte che ricevono l’informazione, dunque, c’è anche la 3 e cioè quella a cui è collegato l’aggressore che, di conseguenza, leggerà la frame sebbene essa non fosse a lui destinata.
