Fica a pergunta: num ambiente com switch, como fazer o tráfego dos outros passar por você para poder farejá-lo? A resposta é o ARP spoofing (também chamado ARP poisoning), a técnica que te posiciona no meio da comunicação entre duas máquinas — um ataque Man-in-the-Middle (MITM). Você viu o conceito e o código na aula Python para pentest II: forjando pacotes com Scapy (Scapy); agora entendemos o ataque completo e sua devastadora simplicidade, que decorre de uma falha estrutural do protocolo ARP. Laboratório isolado, sempre — este ataque interrompe comunicação real.

A fraqueza sem autenticação do ARP

Recapitule a fraqueza do ARP (aula Protocolos em ação: handshake TCP, DNS e inspeção real). O ARP resolve, dentro da rede local, qual endereço MAC corresponde a um IP — necessário porque as máquinas se comunicam por MAC na camada 2. O problema fatal: o ARP não tem autenticação. Quando uma máquina pergunta "quem tem o IP 192.168.1.1?", qualquer máquina na rede pode responder "sou eu!", e ninguém verifica se é verdade. Além disso, as máquinas atualizam sua tabela ARP com respostas que nem pediram (ARP é "sem estado" e confiante). Essa ingenuidade, herdada de uma internet mais simples, é a base do ataque.

Envenenar as tabelas das duas pontas

O ARP spoofing explora isso de forma direta. O atacante envia respostas ARP forjadas para "envenenar" as tabelas ARP das vítimas. O cenário clássico coloca o atacante entre uma vítima e o gateway (roteador): o atacante diz à vítima "o IP do gateway corresponde ao meu MAC" e diz ao gateway "o IP da vítima corresponde ao meu MAC". Agora, ambos enviam seu tráfego para o atacante, achando que estão falando com o destino legítimo. O atacante recebe todo o tráfego, e — para manter a comunicação funcionando e não ser percebido — o repassa ao destino real (habilitando o encaminhamento de pacotes). Resultado: a vítima navega normalmente, sem notar nada, enquanto todo o seu tráfego passa pelo atacante, que pode lê-lo, modificá-lo ou registrá-lo. É o man-in-the-middle: o atacante é o intermediário invisível.

As ferramentas que automatizam o Scapy

As ferramentas automatizam o que você fez na mão com Scapy. As clássicas:

# habilitar o encaminhamento de pacotes (para repassar o tráfego e não derrubar a conexão)
echo 1 > /proc/sys/net/ipv4/ip_forward

# arpspoof (suíte dsniff) — envenena as duas pontas
arpspoof -i eth0 -t VITIMA_IP GATEWAY_IP
arpspoof -i eth0 -t GATEWAY_IP VITIMA_IP

# ettercap e bettercap — suítes completas de MITM (mais modernas)
bettercap -iface eth0        # framework interativo com módulos de MITM

Do MITM ao DNS spoofing

Uma vez estabelecido o MITM, você combina com o sniffing (Wireshark, aula Sniffing: escutando a rede com Wireshark) para capturar o tráfego que agora passa por você — credenciais em texto claro, dados, sessões. E o MITM habilita ataques adicionais: DNS spoofing (o atacante, estando no meio, responde falsamente às consultas DNS da vítima, redirecionando-a para sites falsos — um banco.com que aponta para o servidor do atacante); SSL stripping (aula Ataques a criptografia fraca: onde ela realmente quebra — rebaixar HTTPS para HTTP para contornar a criptografia); e a modificação ativa do tráfego (injetar conteúdo, alterar dados em trânsito). O ARP spoofing é a porta para toda uma família de ataques de rede, porque estar no meio da comunicação é uma posição de poder imenso.

Simples, destrutivo e criminoso fora de escopo

Aqui é essencial reforçar a fronteira ética e prática, porque este ataque é ao mesmo tempo simples e destrutivo. O ARP spoofing interrompe e desvia comunicação real — feito incorretamente, derruba a rede; feito contra terceiros, é interceptação criminosa de comunicação (violando o Marco Civil e o art. 154-A, aula A lei que separa a carreira do processo criminal). É um ataque que só se pratica em laboratório isolado ou em pentest explicitamente autorizado com escopo que o inclua, porque seu impacto sobre a rede e sobre a privacidade das comunicações é direto e grave. A simplicidade do ataque (poucos comandos) contrasta com a gravidade de suas consequências — e essa é exatamente a razão de a ética ser inseparável da técnica.

Protocolos que confiam em todos

O que torna o ARP spoofing conceitualmente importante é que ele demonstra, na prática, a lição do Bloco de redes: os protocolos fundamentais da internet foram projetados sem segurança, confiando em todos os participantes. O ARP confia que quem responde diz a verdade. Essa confiança era razoável numa rede pequena de máquinas conhecidas nos anos 1980; é uma vulnerabilidade grave numa rede moderna com atacantes potenciais. Boa parte da segurança de rede consiste em adicionar verificação onde os protocolos originais confiavam cegamente — e o MITM é a demonstração viva do que acontece quando essa confiança não é verificada.

Dynamic ARP Inspection e cifrar tudo

Do lado defensivo, as contramedidas atacam a raiz (a confiança não verificada do ARP) e mitigam o impacto: Dynamic ARP Inspection (DAI) — um recurso de switches que valida as respostas ARP contra uma base confiável, rejeitando as forjadas (a defesa de rede direta); port security e entradas ARP estáticas para dispositivos críticos; e — a defesa mais importante e transversal — criptografia de ponta a ponta (o TLS/HTTPS), que torna o MITM muito menos útil: mesmo interceptando o tráfego, o atacante não consegue ler nem alterar o conteúdo cifrado (e tentativas de forjar certificados geram os avisos do navegador da aula TLS/SSL na prática: toda a criptografia trabalhando junta, que os usuários devem ser treinados a nunca ignorar). A lição unificada: você não pode impedir totalmente que alguém se posicione no meio de uma rede local, mas pode tornar essa posição inútil cifrando tudo — mais uma vez, a criptografia como defesa fundamental. Há ainda os ataques que visam não interceptar, mas derrubar: DoS e DDoS.

Fontes e leituras recomendadas

Exercícios

  1. Qual fraqueza estrutural do ARP torna o ARP spoofing possível?

    ✓ Resposta:

    O ARP não tem autenticação: qualquer máquina pode responder a uma requisição ARP afirmando ser o dono de um IP, e as vítimas atualizam suas tabelas com respostas não verificadas (inclusive não solicitadas), sem verificar se são verdadeiras.

  2. Descreva o cenário clássico de MITM entre uma vítima e o gateway, e por que o atacante habilita o encaminhamento de pacotes.

    ✓ Resposta:

    O atacante envia respostas ARP forjadas dizendo à vítima que o IP do gateway corresponde ao MAC do atacante, e ao gateway que o IP da vítima corresponde ao MAC do atacante. Ambos passam a enviar tráfego ao atacante. Ele habilita o encaminhamento de pacotes para repassar o tráfego ao destino real, mantendo a comunicação funcionando e permanecendo despercebido.

  3. Cite dois ataques adicionais que o MITM (via ARP spoofing) habilita, e o que cada um faz.

    ✓ Resposta:

    Exemplos: DNS spoofing (responder falsamente às consultas DNS da vítima, redirecionando-a a sites falsos) e SSL stripping (rebaixar HTTPS para HTTP para contornar a criptografia). Também a modificação ativa do tráfego (injetar/alterar conteúdo). (Dois quaisquer.)

  4. Por que o ARP spoofing exige laboratório isolado ou autorização explícita, e a que leis seu uso indevido corresponde?

    ✓ Resposta:

    Porque interrompe e desvia comunicação real — pode derrubar a rede e intercepta comunicações alheias. Feito contra terceiros, configura interceptação criminosa de comunicação, violando o Marco Civil da Internet e o art. 154-A (Lei 12.737). Só é legítimo em laboratório isolado ou pentest com escopo explícito.

  5. Por que a criptografia de ponta a ponta é a defesa mais importante contra o MITM, apesar de não impedir o ataque em si?

    ✓ Resposta:

    Porque, mesmo que o atacante se posicione no meio e intercepte o tráfego, o conteúdo cifrado por TLS permanece ilegível e inalterável; tentativas de forjar certificados geram avisos no navegador. Assim, a criptografia torna a posição de MITM inútil — não impede o posicionamento, mas neutraliza seu proveito.