개념 사전 · 개념

중간자 공격과 통신 경로

MITM · Man in the Middle · 중간자 공격

은 두 통신 주체 사이의 경로를 제어해 데이터를 관찰하거나 바꾸려는 행위다. 같은 링크의 매핑 변경은 가능한 경로 하나이며 인증의 유효성은 별도로 판단한다.

밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.

01무엇이고, 어떤 일을 하나

주소 매핑과 실제 다음 홉의 변화를 관찰한다.
양방향 캡처와 정상 네트워크 변경을 비교한다.
암호화·이 보호하는 내용과 가용성의 한계를 구분한다.

02어떤 순서로 동작하나

다음 홉 선택
외부 네트워크 목적지로 보낼 때 IP 으로 같은 링크의 게이트웨이를 선택한다.
MAC 확인
cache에서 게이트웨이 IP의 MAC을 찾고 필요하면 요청·응답으로 매핑을 얻는다.
프레임 전송
최종 서버 IP는 유지하면서 프레임 목적지 MAC을 다음 홉으로 설정한다.
매핑 변경 영향
잘못된 매핑을 학습하면 프레임이 다른 장치로 향한다. 한쪽 또는 양쪽 매핑 변화에 따라 관찰 경로도 달라진다.
전달·폐기 결과
중간 장치가 전달하면 경로가 유지될 수 있고 버리면 가용성 장애가 된다. 종단 인증·암호화는 이 경로에서도 별도 보호층이다.

03먼저 알아둘 용어와 구성요소

: 같은 링크에서 다음 홉의 주소에 대응하는 링크 계층 주소를 찾는 프로토콜.
: 관찰 가능한 통신 내용을 캡처하는 행위.
: 주소·신원 등의 출처 정보를 위장하는 행위.
: 통신 상대가 기대한 주체인지 암호학적 증거로 확인하는 절차.

LEARN THROUGH PRACTICE

ARP 캐시의 다음 홉 MAC 변경을 패킷과 맞추기

같은 IP가 다른 MAC으로 해석될 때 실제 전송 경로와 통신 영향을 설명한다.

실습 구성과 전제

변조를 외부망에서 실행하지 않고 격리 실습의 전후 화면과 PCAP를 읽는다.
단말·게이트웨이·중간 장비의 역할과 캡처 위치를 먼저 구분한다.

변경 전 캐시를 기준선으로 둔다
- 캐시는 로컬 링크의 다음 홉 IP를 MAC으로 연결한다. 사진의 서로 다른 두 IP가 서로 다른 MAC에 매핑된 상태를 기준선으로 기록한다.
- 캐시 항목이 dynamic이라는 사실은 자동 갱신될 수 있음을 뜻하며, 신뢰성이 검증됐다는 표시는 아니다.
원본 크기로 보기 ↗
- 인터넷 주소와 물리적 주소 두 열이 있고 두 IP의 MAC 값이 서로 다르다.
- 유형은 모두 동적으로 표시된다. 이후 응답에 따라 캐시가 바뀔 수 있는 상태다.
확인 기준
기준선에는 단말 위치·게이트웨이 역할·시각을 함께 적는다.
같은 MAC으로 바뀐 매핑을 비교한다
- 변경 후 게이트웨이로 쓰던 IP와 다른 실습 장비 IP가 같은 MAC으로 매핑돼 있다. 이후 프레임은 그 MAC을 목적지로 만들 수 있다.
- 두 IP가 같은 MAC인 현상은 Proxy ·가상화·이중화 구성에서도 가능하다. 정상 설계와 대조해야 공격으로 판단할 수 있다.
원본 크기로 보기 ↗
- 전후 화면에서 첫 번째 IP의 MAC이 바뀌었고 두 항목의 MAC이 같아졌다.
- 캐시 자체는 여전히 동적 항목으로 표시된다. 캐시 화면만으로 중간 장비가 패킷을 전달했는지는 알 수 없다.
확인 기준
경로 변경과 패킷 전달 성공·차단을 별도로 확인한다.
ARP 응답과 실제 영향의 증거를 연결한다
- PCAP의 sender IP·sender MAC과 캐시 변경을 맞춘다. 사용 여부는 중간 경로에서 평문을 볼 수 있는 범위에 영향을 준다.
- Duplicate IP 경고는 상충하는 관찰을 알리는 단서다. 실제 공격 여부와 양방향 중간자 상태는 추가 패킷·장비 증거로 확인한다.
원본 크기로 보기 ↗
- ARP reply가 선택돼 있고 동일 IP에 서로 다른 MAC이 관찰됐다는 경고가 표시된다.
- 원시 프레임의 출발지와 목적지 MAC을 확인할 수 있어 캐시 변경의 입력과 연결할 수 있다.
확인 기준
변화만으로 내용 복호화까지 주장하지 않는다.