Dein Computer hat zwei Adressen im Internet: eine permanente physikalische Adresse oder MAC-Adresse (Media Access Control) und eine logische IP-Adresse (Internet Protocol). Aber wie können Netzwerke verschiedene IPs einer einzigen MAC-Adresse zuordnen, wenn viele Computer ständig ihre IP-Adressen ändern?
Hier kommt ARP ins Spiel, offiziell bekannt als Address Resolution Protocol.
Die Aufgabe von ARP ist es, zwischen der MAC-Adresse eines Computers und der IP-Adresse(n) zu übersetzen – eine ziemlich nützliche Funktion für jedes Netzwerk. Trotz seiner Nützlichkeit birgt ARP jedoch auch einige Sicherheitsrisiken, darunter solche, die potenziell sensible Daten abfangen können.
Aber wie funktioniert das alles?
In diesem Artikel werden wir ARP definieren, es mit ähnlichen Netzwerkprotokollen vergleichen, seine verschiedenen Arten und Anwendungsfälle untersuchen und die Risiken beim Einsatz in deinem Netzwerk aufzeigen. Lies weiter, um mehr über dieses gängige – und manchmal riskante – Netzwerkprotokoll zu erfahren.
Was ist ARP?
Das Address Resolution Protocol (ARP) ist eine gängige Methode für Netzwerke, um die IP-Adresse eines Computers in seine physikalische Adresse umzuwandeln (oder aufzulösen).
Da sich diese beiden Adressen in Länge und Format unterscheiden, ist ARP wichtig, damit Computer und andere Geräte über ein Netzwerk kommunizieren können. Um wirklich zu verstehen, warum das so wichtig ist, wollen wir diese beiden Adresstypen kurz auffrischen und erklären, wie sie mit unseren täglichen Netzwerkmodellen zusammenhängen.
IP- und MAC-Adressen
Dein Computer, dein Smartphone und andere verbundene Geräte haben zwei Adressen im Internet: eine IP-Adresse und eine MAC-Adresse.
Aber warum gibt es zwei verschiedene Adressen für ein Gerät?
Stell dir einen Moment lang vor, dein Computer sei ein Wohnmobil. Wenn das Wohnmobil die Fertigungsstraße verlässt, hat es vielleicht eine Seriennummer (oder eine andere eindeutige Kennung), die es von allen anderen Wohnmobilen unterscheidet. Mit anderen Worten: Das Wohnmobil kann anhand seiner Seriennummer identifiziert werden.
Nehmen wir an, du stellst das Wohnmobil in deiner Nachbarschaft ab. Je nachdem, auf welchem Grundstück du es geparkt hast, erhält das Wohnmobil eine Adresse – sagen wir „27 Kinsta Lane“ Wenn dein Wohnmobil auf demselben Grundstück geparkt ist, bleibt seine Adresse 27 Kinsta Lane. Du kannst es aber auch einfach die Straße hinunterfahren und ihm eine neue Adresse geben, zum Beispiel „93 Kinsta Lane“.
Wenn du dein Wohnmobil abstellst, hat es zwei Identifikationsmerkmale: die Seriennummer und die Straßenadresse. Die Straßenadresse sagt jedem, wo sich das Wohnmobil im Vergleich zum Rest der Welt befindet, während die Seriennummer das Wohnmobil von anderen Wohnmobilen auf demselben Grundstück unterscheidet.
Die IP- und MAC-Adressen deines Computers dienen genau demselben Zweck, nur dass die Nachbarschaft aus unserem Beispiel jetzt ein lokales Netzwerk ist.
In diesem Fall ist die MAC-Adresse deines Computers seine eindeutige physische Kennung in einem Netzwerk – ähnlich wie die Seriennummer deines Wohnmobils seine eindeutige physische Kennung ist. Aus diesem Grund wird die MAC-Adresse oft auch als physikalische Adresse oder Hardware-Adresse bezeichnet. Wie eine Seriennummer kannst du auch die MAC-Adresse deines Computers nicht ändern.
Die IP-Adresse deines Computers hingegen ist seine „Straßenadresse“ im Netzwerk. Wenn sich ein Computer mit einem Netzwerk verbindet, wird ihm eine IP-Adresse zugewiesen, so wie ein Wohnmobil eine Straßenadresse erhält, sobald es auf einem Parkplatz steht.
Wenn der Computer jedoch die Verbindung zum Netzwerk trennt, verliert er seine IP-Adresse, genauso wie ein Wohnmobil, wenn es von einem Parkplatz entfernt wird, seine Straßenadresse verliert. Wenn du die Verbindung zum Netzwerk wieder aufnimmst, ist es dasselbe, als würdest du das Wohnmobil an einem anderen Ort parken, wo der Computer eine neue IP-Adresse erhält, genauso wie das Wohnmobil eine neue Straßenadresse erhalten würde.
Natürlich sind IP- und MAC-Adressen immer noch etwas ganz anderes als Straßenadressen und Seriennummern.
Während ein Postbeamter die Post an ein Wohnmobil zustellen kann, ohne dessen Seriennummer zu kennen, benötigt das Internet-Äquivalent – das Internetprotokoll oder IP – beide Adressen, um Post oder Pakete an den richtigen Computer zu liefern.
Kurz gesagt: MAC- und IP-Adressen identifizieren Geräte in einem Netzwerk auf unterschiedliche Weise. Hier sind einige der Hauptunterschiede zwischen den beiden:
- Unterschiedliche Schichten adressieren. MAC- und IP-Adressen arbeiten auf verschiedenen Ebenen des OSI-Modells (Open Systems Interconnection), das die verschiedenen Stufen beschreibt, die Daten bei der Übertragung zwischen Computern durchlaufen. Wir wollen hier nicht zu sehr ins Detail gehen, aber MAC-Adressen arbeiten auf der Datenverbindungsschicht (oder Schicht 2), die elektrische Signale, die über eine Leitung gesendet werden, direkt in logische Daten umwandelt. IP-Adressen arbeiten eine Schicht höher auf der Netzwerkschicht (oder Schicht 3), die für die Adressierung und das Routing im Netzwerk zuständig ist – fast so, als würde man eine Adresse auf einen Briefumschlag schreiben.
- Lokaler vs. globaler Geltungsbereich. MAC-Adressen werden verwendet, um verschiedene Geräte auf „lokaler“ Ebene zu identifizieren, z. B. verschiedene Computer, die sich ein Netzwerk in einem Bürogebäude teilen. IP-Adressen funktionieren globaler und steuern, wie Geräte im Internet einander finden und miteinander kommunizieren.
- Unterschiedliche Adressformate. Da MAC- und IP-Adressen auf verschiedenen Ebenen arbeiten und unterschiedliche Aufgaben erfüllen, haben sie auch unterschiedliche Formate. Eine MAC-Adresse hat ein seriennummernähnliches Format mit 12 Ziffern, die in Paaren gruppiert und durch Bindestriche oder Doppelpunkte getrennt sind (00:00:00:00:00:00), während eine typische IPv4-Adresse eine 32-Bit-Adresse ist (Bit bedeutet binäre Ziffer), die in vier Dezimalzahlen gruppiert ist (000.000.000.0000). Auch wenn du die Details nicht kennen musst, solltest du wissen, dass die Zuordnung dieser beiden Adressformate die Hauptfunktion von ARP ist.
- MAC-Adressen sind dauerhaft. MAC-Adressen werden einem Gerät vom Hersteller zugewiesen, sobald es gebaut ist. Diese Adresse ist im Wesentlichen in die Netzwerkhardware des Geräts „eingebettet“ und damit dauerhaft und unveränderbar – genau wie die Seriennummer unseres Wohnmobils. IP-Adressen sind temporär und werden zugewiesen, sobald sich das Gerät mit einem Netzwerk verbindet. Daher können Geräte im Laufe ihres Lebens eine beliebige Anzahl verschiedener IP-Adressen annehmen.
- Physisch vs. logisch. Aus diesem Grund wird eine MAC-Adresse auch als physikalische Adresse oder Hardware-Adresse bezeichnet, während IP-Adressen manchmal (aber nicht so häufig) als logische Adressen bezeichnet werden.
- Sie werden zu unterschiedlichen Zeiten zugewiesen. Wie bereits erwähnt, werden MAC-Adressen einmalig zum Zeitpunkt der Herstellung zugewiesen. IP-Adressen können danach beliebig oft zugewiesen werden, und zwar so oft, wie sich das Gerät mit einem Netzwerk verbindet.
Wo kommt also ARP ins Spiel?
Da jeder Computer beide Adressen hat, muss es eine Möglichkeit geben, die eine mit der anderen zu verknüpfen, damit die Pakete an die richtige Stelle weitergeleitet werden. Das bringt uns zur Kernfunktion von ARP: die Verknüpfung der MAC-Adresse eines Geräts mit seiner sich ständig ändernden IP-Adresse und umgekehrt.
Schauen wir uns genauer an, wie das genau funktioniert.
Wie funktioniert ARP?
Nachdem wir nun die Frage „Was ist ARP?“ beantwortet haben, wollen wir verstehen, wie es funktioniert. ARP führt eine aktuelle Liste von MAC-Adressen und den dazugehörigen IP-Adressen. Diese Liste wird in der Regel von einem Gateway oder Router verwaltet – im Grunde von jedem Netzwerk-Switch, der für die Verwaltung des Datenflusses zwischen Netzwerken und Geräten zuständig ist.
Um das zu verstehen, sehen wir uns das folgende Diagramm an.
Hier versucht der „HOST“-Computer auf der linken Seite, etwas an den Computer auf der rechten Seite mit der IP-Adresse 34.40.21.20 zu senden. Um erfolgreich Daten an diesen Computer zu senden, benötigt der HOST-Computer dessen IP-Adresse und MAC-Adresse.
Glücklicherweise hat der HOST-Computer bereits die IP-Adresse des Computers. Jetzt braucht er nur noch die MAC-Adresse des Computers, und da kommt ARP ins Spiel.
Mit dem Netzwerk verbundene Geräte und Switches (in diesem Fall ein Router) führen in ihren Betriebssystemen eine Liste mit bekannten IP-zu-MAC-Adressübersetzungen. Diese Liste wird als ARP-Cache oder ARP-Tabelle bezeichnet und muss ständig aktualisiert werden, um mit den sich ständig ändernden IP-Adressen Schritt zu halten.
Wenn ein Computer etwas an eine bestimmte IP-Adresse senden möchte, prüft er zuerst seinen ARP-Cache, um zu sehen, ob er eine passende MAC-Adresse hat. Ist dies nicht der Fall, sendet er Anforderungspakete für die MAC-Adresse aus.
Veranschaulichen wir diesen Prozess anhand der beiden Computer im Diagramm:
- Der HOST-Computer überprüft seinen ARP-Cache, um zu sehen, ob er die MAC-Adresse 34.40.21.20 bereits kennt. Wenn ja, hat er alles, was er braucht, und sendet die Nachricht.
- Der HOST-Computer sendet eine Anfrage nach der MAC-Adresse von 34.40.21.20.
- Der Router empfängt die Anfrage nach Netzwerkadressen vom HOST-Computer und versucht mit ARP, die MAC-Adresse zu finden.
- ARP versucht, den bestehenden ARP-Cache des Routers zu referenzieren, und wenn die MAC-Adresse nicht gefunden werden kann, sendet er eine Anfrage an 34.40.21.20.
- 34.40.21.20 sendet ihre MAC-Adresse (A5:22:98:5C:24:93) zurück an den Router.
- Der Router aktualisiert seinen ARP-Cache und sendet die MAC-Adresse von 34.40.21.20 zurück an den HOST-Computer, womit die Anfrage abgeschlossen ist.
- Der HOST-Computer sendet etwas an 34.40.21.20.
Das ist zwar nur ein einfaches Beispiel, aber es sollte dir einen Eindruck von der Kernfunktion von ARP vermitteln.
Eine weitere Kernfunktion von ARP ist die Verwaltung (und Löschung) von IP-zu-MAC-Übersetzungen im ARP-Cache. Den ARP-Cache relativ leer zu halten, ist nicht nur notwendig, um die neuesten Informationen zu erhalten, sondern hilft auch dabei, ungenaue oder ungenutzte Adressen zu beseitigen. Wie wir später sehen werden, ist das Löschen von Übersetzungen auch notwendig, um zu verhindern, dass IP-Adressen in die falschen Hände geraten.
Einträge in einem ARP-Cache können entweder dynamisch oder statisch sein. Dynamische Einträge werden auf die bereits beschriebene Art und Weise automatisch ausgefüllt. Benutzer können aber auch manuell statische Einträge festlegen, die sie dauerhaft behalten wollen. Das ist nützlich für dauerhafte Netzwerkgeräte mit festen (d.h. statischen) IP-Adressen.
ARP vs. DHCP vs. DNS: Was ist der Unterschied?
Wenn du dich auch nur ein bisschen mit Netzwerken auskennst, hast du wahrscheinlich schon vom Dynamic Host Configuration Protocol (DHCP) und/oder dem Domain Name System (DNS) gehört. Wenn ja, fragst du dich vielleicht auch, wie sich ARP in Netzwerken von diesen ähnlichen Protokollen unterscheidet.
- DHCP vs. ARP: ARP existiert vor allem deshalb, weil IP-Adressen in einem Netzwerk ständig geändert und neu zugewiesen werden. DHCP ist für diese ständige Veränderung verantwortlich, da es das Protokoll ist, das eine dynamische IP-Adresse für Hosts konfiguriert – daher der Name Dynamic Host Configuration Protocol. DHCP hilft auch dabei, Konflikte zu vermeiden, z. B. wenn mehreren Computern die gleiche IP-Adresse zugewiesen wird.
- DNS vs. ARP: Während ARP IP- und MAC-Adressen zuordnet, ordnet DNS IP-Adressen und Domänennamen (wie „kinsta.com“) zu. Alle Websites sind auf Webhosting angewiesen, um ihre Webseiten, Bilder und alles andere, was sie ausmacht, zu hosten. Wie jedes andere Netzwerkgerät haben auch Webhosting-Server eine IP-Adresse. Dank DNS musst du jedoch nicht die IP-Adresse eines Hosts eingeben, um eine Website aufzurufen. Stattdessen gibst du einfach eine URL wie „www.example.com“ ein, und der DNS-Server sucht die passende IP-Adresse heraus, damit dein Webbrowser die Webseiten des Webhosters abrufen und bereitstellen kann.
Verwendungszwecke und Arten von ARP
Auch wenn ARP wie ein großer, monolithischer Prozess aussieht, kann es auf viele verschiedene Arten implementiert werden.
Bei der Erklärung, was ARP ist, gibt es vier spezielle Typen: Proxy ARP, Gratuitous ARP, Reverse ARP (RARP) und Inverse ARP (IARP). Jeder dieser Typen bietet unterschiedliche Anwendungsfälle und in einigen Fällen auch deutliche Vor- und Nachteile.
Was ist Proxy-ARP?
Bei einem Proxy-ARP bearbeitet ein ARP-konfigurierter Switch (z. B. ein Router) ARP-Anfragen (d. h. Anfragen nach MAC-Adressen) von Geräten/Hosts außerhalb seines direkten Netzwerks. Der Switch sendet seine eigene MAC-Adresse als Antwort und fungiert so als „Stellvertreter“ für jeden Host in seinem Netzwerk.
Um das zu verdeutlichen, sehen wir uns das obige Diagramm genauer an. Hier bedient der grüne Router in der Mitte zwei verschiedene lokale Netzwerke: 10.0.0.0/24 und 10.0.4.0/24.
Nehmen wir an, Host B möchte eine Nachricht an Host D senden. Das wäre kein Problem, wenn Host D im selben lokalen Netzwerk wäre (wie Host A), aber leider befindet er sich in einem anderen Netzwerk. Daher befindet sich Host B in einer kniffligen Situation: Wie kann er die MAC-Adresse von Host D herausfinden?
Zum Glück kommt der Router zu Hilfe. Wenn Host B eine ARP-Anfrage an den Router sendet, schaltet sich dieser ein und gibt seine eigene MAC-Adresse als Antwort. Mit der MAC-Adresse des Routers sendet Host B seine Nachricht an den Router, der nun buchstäblich als „Proxy“ für Host B fungiert. Der Router sendet dann die Nachricht von Host B an Host D, den vorgesehenen Empfänger.
Wie du dir sicher vorstellen kannst, ist Proxy-ARP in Computernetzwerken weit verbreitet und wird z. B. für VPN-Verbindungen und Firewalls verwendet.
Allerdings hat Proxy-ARP auch einige Nachteile, die meist auf eine falsche Konfiguration zurückzuführen sind. Ein solcher Nachteil ist das erhöhte Risiko, dass Nachrichten an die falschen Stellen gesendet werden, da Geräte außerhalb des Netzwerks möglicherweise nicht wissen, dass sie falsch konfiguriert sind, wenn sie nur mit einem Proxy-ARP arbeiten. Proxy-ARPs können auch als Vektoren für Denial-of-Service (DoS)-Angriffe dienen, auf die wir später noch näher eingehen werden.
Was ist ein Gratuitous ARP?
Ein Gratuitous ARP ist eine ARP-Antwort, die nicht vorher angefordert wurde. Mit anderen Worten: Gratuitous ARP sendet unaufgefordert ARP-Antworten und sendet seine IP-zu-MAC-Übersetzung an alle Hosts/Geräte im Netzwerk. Das ist fast so, als würde jemand eine „Massen-E-Mail“ verschicken, um allen mitzuteilen, dass er seine Kontaktinformationen aktualisiert hat.
Gratuitous ARP hat mehrere nützliche Anwendungen. Zum einen ist es wichtig, um ARP-Caches und Zuordnungen zu aktualisieren, insbesondere wenn ein neues Gerät oder ein neuer Knotenpunkt dem Netzwerk beitritt. Im Falle eines neuen Geräts vermeidet Gratuitous ARP das Senden und Beantworten einzelner ARP-Anfragen an jedes andere Gerät im lokalen Netzwerk.
Die Sicherstellung von Redundanz ist ein weiterer wichtiger Einsatzbereich von Gratuitous ARP. In einigen redundanten Netzwerken werden zum Beispiel zwei oder mehr Router mit derselben IP-Adresse eingesetzt. Wenn einer dieser Router ausfällt, sendet der „überlebende“ Router ein Gratuitous ARP, um dem Netzwerk mitzuteilen, wohin es Nachrichten senden soll.
Was ist Reverse ARP (RARP)?
Reverse ARP (RARP) macht genau das, was sein Name vermuten lässt. Er sendet eine IP-Adresse anstelle einer MAC-Adresse.
Aber warum macht man das überhaupt? Sind die IP-Adressen den Hosts in einem Netzwerk nicht bereits bekannt?
Nicht immer. So unwahrscheinlich es auch erscheinen mag, manche Hosts kennen nicht einmal ihre eigenen IP-Adressen. Das liegt oft daran, dass ein Host einfach nicht genug Speicherplatz hat, um seine IP-Informationen zu speichern, so dass eine RARP-Anfrage für die Kommunikation notwendig ist. Denke daran, dass nur MAC-Adressen dauerhaft zugewiesen werden – und deshalb wissen die Hosts möglicherweise nichts anderes als ihre MAC-Adresse!
Was ist Inverse ARP (IARP oder InARP)?
Wie RARP sendet auch inverses ARP (abgekürzt als IARP oder InARP) IP-Adressen anstelle von MAC-Adressen. Im Gegensatz zu RARP funktioniert inverses ARP jedoch genauso wie das herkömmliche ARP, nur dass es MAC-Adressen in IP-Adressen und nicht IP-Adressen in MAC-Adressen umwandelt.
IARP ist besonders nützlich, wenn sich die IP-Adressen ständig ändern (was wiederum DHCP zu verdanken ist). In diesem Fall könnte ein Host die MAC-Adresse eines anderen Hosts oder Routers kennen, dessen IP-Adresse sich inzwischen geändert hat. Da er nur die MAC-Adresse kennt, braucht er IARP, um die neue IP-Adresse zu erhalten und seine Nachricht zu senden.
Was ist ARP-Spoofing?
Beim ARP Spoofing, auch ARP Poisoning genannt, senden Hacker gefälschte ARP-Nachrichten an ein Zielnetzwerk und versuchen, ihre eigene MAC-Adresse mit einer legitimen IP-Adresse im Netzwerk zu verknüpfen.
Wenn dies gelingt, werden Nachrichten, die für den Computer mit der legitimen IP-Adresse bestimmt sind, stattdessen an den Hacker gesendet. Dadurch kann der Hacker verschiedene andere Arten von Cyberangriffen starten, darunter:
Man-in-the-Middle (MTM)
Bei einem Man-in-the-Middle (MTM)-Angriff „belauscht“ ein Hacker den Netzwerkverkehr und fängt so möglicherweise wertvolle Daten wie Passwörter, Bankdaten usw. ab. Bei ARP-Spoofing-Angriffen verwenden Hacker gefälschte ARP-Nachrichten, um den Netzwerkverkehr über ihre Computer umzuleiten und ihn oft an den beabsichtigten Empfänger weiterzuleiten, damit es so aussieht, als sei nichts passiert.
Session Hijacking
Beim Session Hijacking stiehlt ein Hacker die Sitzungs-ID eines Nutzers und übernimmt sie. Dabei handelt es sich um eine spezielle Art von Daten, die Nutzer/innen dazu berechtigen, bestimmte Aktionen auf Websites durchzuführen. Sitzungs-IDs werden von Websites oft in Form von Cookies verteilt und ermöglichen es den Nutzern, eingeloggt zu bleiben oder auf gespeicherte Warenkörbe zuzugreifen.
Indem sie den Datenverkehr durch ARP-Spoofing umleiten, können sich Hacker leicht Zugang zu den Sitzungs-IDs verschaffen und sich als Benutzer/in ausgeben. Das bedeutet, dass sie alles tun können, wozu der Nutzer berechtigt ist, z. B. auf eingeloggte Bankkonten zugreifen.
Denial-of-Service (DoS)
Ein Denial-of-Service (DoS)- oder Distributed-Denial-of-Service (DDoS)– Angriff kann eine von zwei Formen annehmen: Ein Hacker blockiert Nachrichten an einen Host oder ein Hacker überwältigt einen Host mit zu vielen Nachrichten. Letzteres ist häufiger der Fall.
In beiden Fällen ermöglicht das ARP-Spoofing den Hackern, Nachrichten entweder zu blockieren oder massenhaft zu übertragen. Indem er den regulären Netzwerkverkehr abfängt, kann der Hacker Nachrichten für die vorgesehenen Empfänger blockieren oder sie an ein einzelnes Ziel umleiten.
Zusammenfassung
Hier haben wir eine ausführliche Antwort auf „Was ist ARP?“ gegeben – eines der gängigsten und nützlichsten Protokolle in Computernetzwerken. Dank ARP können Computer und Netzwerkgeräte physikalische MAC-Adressen mit sich ständig ändernden IP-Adressen verknüpfen und so die einfache Kommunikation ermöglichen, die wir heute genießen.
Doch selbst das am besten gemeinte ARP kann zu Sicherheitslücken und Cyberangriffen führen. Mit Sicherheitsfunktionen wie dem DDoS-Schutz kann das Managed WordPress Hosting von Kinsta vor vielen Cyberangriffen schützen, die mit ARP-Spoofing verbunden sind.
