Se supponiamo che un certo Mittente avente indirizzo IP-M e Eth-M voglia inviare un messaggio MSG ad un Destinatario IP-D non appartenente alla sua network, M genera il pacchetto ip con IP-M, IP-D e payload, il tutto in un frame ethernet avente Eth-M e Eth-Router come mittente e destinatario.
Un eventuale attaccante A avente IP-A e Eht-A collegato nella stessa network di M come fà ad entrare in possesso del frame (e quindi osservarne il traffico) se esso parte da Eth-M ed arriva a Eth-Router? C'è qualche differenza se la network a cui son collegati M ed A è cablata, wireless o mista?
Se il destinatario del frame è Eth-router allora A può vedere il frame (programmando opportunamente la propria scheda di rete) solo se si trova nella stessa cella di M (o del router, ma il router non è mai collegato in wireless).
Nel caso di network Ethernet cablata con dispositivi "hub" (dispositivi che oggi quasi non esistono più) allora A potrebbe vedere il frame anche se collegato allo stesso hub di M o del R. Ma oggi esistono solo gli switch, e con questi M non vedrebbe il traffico.
Da notare che un attaccante potrebbe (tentare di) alterare la cache ARP di M, nel qual caso M invierebbe i frame ad A invece che al router. Da notare anche che l'attaccante potrebbe (tentare di) osservare il traffico direttamente sul nodo M, installandovi del sw malware.
