Les adresses IP sont-elles "triviales à falsifier" ?

L'UDP est la principale raison pour laquelle cela est facile. En fait, Skype et Slingbox exploitent la possibilité de falsifier facilement les adresses IP dans l'UDP afin de " poinçon ' à travers le NAT et permettent un peer-to-peer facile.

Le protocole TCP est plus difficile puisqu'il nécessite un cycle SYN/ACK complet, mais vous pouvez toujours inonder le serveur de paquets SYN suspendus qui vont vers des adresses IP situées à plusieurs sauts de distance et bloquer un grand nombre de routeurs dans le processus.

Comme mentionné ci-dessus, l'utilisation de proxys est triviale, et il existe un très grand nombre de proxys anonymes ouverts disponibles.

Même sans utiliser de proxy, je peux définir l'adresse MAC de mon pare-feu sur n'importe quelle nouvelle valeur arbitraire, réinitialiser mon modem câble, et mon FAI m'attribuera une toute nouvelle adresse IP brillante.

Et ce n'est qu'un début. Il existe de nombreux autres moyens de contourner les interdictions d'IP.

Dans l'affirmative, quelles sont les mesures d'atténuation possibles ?

On ne peut pas faire grand-chose du côté de la réception.

Le fournisseur d'accès Internet du faussaire devrait filtrer son trafic sortant afin que ses clients ne puissent pas usurper des adresses IP provenant de différents réseaux.

Il ne s'agit que de quelques lignes dans la configuration du routeur, il n'y a donc pas d'excuse valable pour ne pas le faire.

Il existe un moyen de suivre l'attaquant, mais il nécessite la coopération de vos fournisseurs en amont : http://www.cymru.com/Documents/dos-and-vip.html

Comme d'autres l'ont souligné, il est assez facile de falsifier le protocole UDP, mais pas le protocole TCP.

La défense privilégiée, mais malheureusement pas universellement déployée, est le filtre de sortie.

Pour les FAI utilisant des services DSL etc, chaque ligne virtuelle doit être configurée avec ip verify unicast reverse-path (ou tout autre équivalent non-Cisco) qui bloque tout paquet dont l'adresse IP source ne fait pas partie des plages connues pour être acheminées sur cette ligne.

Je me souviens avoir programmé des sockets à la fin des années 90 avec ce qui était probablement Visual Basic, et nous pouvions définir l'IP source sur notre connexion. Je me souviens vaguement que lorsque nous l'avons essayé, netstat -an montrait l'IP source réelle, mais les journaux d'Apache montraient l'IP usurpée ; et je pense qu'Apache transmettait l'IP usurpée aux modules perl et ainsi de suite.