Alessandro Molinari : 15 Dicembre 2024 10:11
Il VLAN hopping è una tecnica di attacco che permette a un malintenzionato di inviare pacchetti di dati da una VLAN (Virtual LAN) a un’altra, superando le limitazioni di sicurezza che di norma isolano il traffico tra VLAN diverse.
Questo tipo di attacco sfrutta configurazioni di rete mal gestite e, in una rete vulnerabile, consente a un intruso di accedere a risorse a cui non dovrebbe avere diritto. In questo articolo analizzeremo i dettagli tecnici di questa tecnica, come viene implementata con uno script Python, il contesto di rete in cui può verificarsi e come prevenire tali attacchi.
Per effettuare un attacco di VLAN hopping, si può utilizzare un approccio basato su script Python che sfrutta la libreria Scapy. Scapy è una libreria potente ideale per creare e manipolare pacchetti di rete personalizzati. In questo scenario, lo script genera frame Ethernet con tag VLAN specifici e manipolati per forzare il traffico a “saltare” da una VLAN all’altra.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
In genere, una VLAN serve per isolare il traffico di rete. Per esempio, dispositivi collegati alla VLAN 1 non dovrebbero comunicare con dispositivi della VLAN 2 senza passare da un router o un firewall configurato appositamente. Tuttavia, con la manipolazione dei tag VLAN all’interno dei pacchetti Ethernet, lo script riesce a far apparire i pacchetti come se appartenessero a un’altra VLAN.
Nella pratica, questo metodo inserisce nei pacchetti più tag VLAN (detti anche Double Tagging o persino Triple Tagging) per eludere le misure di sicurezza normalmente implementate sugli switch di rete.
Un attacco di VLAN hopping è possibile solo in un contesto di rete specifico e vulnerabile. Nel caso di una rete basata su switch configurati in modo errato, come una rete che utilizza porte trunk e VLAN native non protette, un attaccante può manipolare i pacchetti per forzare il salto del traffico a un’altra VLAN.
In una configurazione tipica:
Se la VLAN nativa è configurata male (spesso lasciata al valore di default), può essere sfruttata per comunicare con VLAN che dovrebbero essere isolate. Questo problema può essere analizzato e verificato utilizzando strumenti di analisi della rete come Wireshark, che cattura i pacchetti trasmessi e consente di osservare i tag VLAN manipolati.
In questo contesto, l’attacco comporta:
Se lo switch non è configurato correttamente, accetterà il pacchetto interno e lo inoltrerà nella VLAN target.
Un test pratico di VLAN hopping dimostra che la tecnica può sfruttare configurazioni non sicure degli switch. Quando si inviano pacchetti con un singolo o doppio tag VLAN, uno switch correttamente configurato normalmente bloccherà o rimuoverà tali tag in quanto non corrispondono alle regole prestabilite.
Tuttavia, nei test, aggiungendo un terzo tag VLAN (una variazione avanzata del “Double Tagging”), è possibile elaborare pacchetti che attraversano le VLAN. Questo approccio dimostra come un attaccante può:
Simulando scenari più complessi, come attacchi mirati a device specifici (PC, server o dispositivi IoT), si può osservare come VLAN hopping possa compromettere la sicurezza dell’intera rete.
La buona notizia è che il VLAN hopping può essere mitigato attraverso una corretta configurazione degli switch di rete. Le seguenti strategie rappresentano le migliori pratiche per evitare che accada:
Una VLAN nativa è quella assegnata ai frame non taggati. L’errata configurazione delle VLAN native è uno dei principali punti deboli sfruttati durante un attacco. È importante:
Gli switch permettono di gestire il traffico Ethernet non taggato, ma questo comportamento può essere proibito per limitare i vettori di attacco. Configurare le porte trunk in modo che accettino solo traffico con tag VLAN appropriati è un passaggio essenziale.
Le ACL possono essere implementate sugli switch per filtrare il traffico e assicurarsi che solo i pacchetti con determinati tag VLAN siano accettati. Questo filtro è particolarmente utile per bloccare pacchetti malevoli creati con più tag VLAN.
Funzionalità come BPDU Guard possono evitare che dispositivi non autorizzati si comportino come switch all’interno della rete. Inoltre, altre tecnologie di sicurezza, come DHCP snooping e Port Security, possono rafforzare la difesa dagli attacchi.
Il VLAN hopping rappresenta una minaccia seria per la sicurezza di rete, in particolare in infrastrutture con configurazioni non ottimali. Grazie a tecniche come il Double Tagging e Triple Tagging, un attaccante può manipolare pacchetti di rete per superare barriere di isolamento critiche.
Tuttavia, attraverso una configurazione corretta della rete, in particolare con la modifica delle VLAN native sulle porte trunk, il blocco del traffico non taggato e l’uso di ACL, è possibile mitigare completamente il rischio di questi attacchi, preservando la sicurezza, l’integrità e la riservatezza della rete aziendale.
Th3R3dP1llLa notizia è semplice, la tecnologia no. Chat Control (CSAR) nasce per scovare CSAM e dinamiche di grooming dentro le piattaforme di messaggistica. La versione “modernizzata” rinuncia alla backdo...
A cura di Luca Stivali e Olivia Terragni. L’11 settembre 2025 è esploso mediaticamente, in modo massivo e massiccio, quello che può essere definito il più grande leak mai subito dal Great Fir...
Una violazione di dati senza precedenti ha colpito il Great Firewall of China (GFW), con oltre 500 GB di materiale riservato che è stato sottratto e reso pubblico in rete. Tra le informazioni comprom...
Negli ultimi anni le truffe online hanno assunto forme sempre più sofisticate, sfruttando non solo tecniche di ingegneria sociale, ma anche la fiducia che milioni di persone ripongono in figure relig...
Microsoft ha ricordato agli utenti che tra un mese terminerà il supporto per l’amato Windows 10. Dal 14 ottobre 2025, il sistema non riceverà più aggiornamenti di sicurezza , correzioni di bug e ...
