Dotaz: MAC filtering - je opravdu k ničemu

[polo23]

Ahoj,

dočetl jsem se, že MAC filtering je poměrně chabá ochrana a to proto, že útočník si může změnit MAC adresu stejnou jakou má jedna ze stanic jež mají k AP přístup.

Co se však stane když mají dvě stanice v síti stejnou MAC adresu? V jedné dipl. práci jsem se dočetl, že AP bude komunikovat se zařízením jež má silnější signál, což je většinou legitimní stanice - útočník se tak k AP nepřipojí. Podle mě MAC filtering není zbytečný a útočníkovi alespon trochu znepříjemní útok.

Co si o MAC filteringu myslíte vy?

---

---

Odpovědi

[Jendа]

Jenže legitimní stanice může přestat komunikovat - buď se vypne, nebo ji útočník zaruší. A vůbec, v době, kdy 100W EIRP wifina stojí pár tisícovek, spoléhat na sílu signálu…

Ano, útok to znepříjemní, ale ne moc.

[camel1cz]

MAC filtering má určitě smysl - už jen proto, že je to velmi jednoduchá metoda ochrany a není triviální zjistit, jaká MAC je na AP povolena. A pokud budete četlit nějakému soustředěnému útoku - tak věřte, že útočník uspěje i proti WPA2...

Co vidím jako jediné bezpečné je VPN s kvalitním šifrováním provozovaná via wifi, na které se moc nespoléháte.

[Jendа]

a není triviální zjistit, jaká MAC je na AP povolena

A pak objevili airodump.

tak věřte, že útočník uspěje i proti WPA2

Když má neuhodnutelné heslo, tak AFAIK ne.

[camel1cz]

Ale kolik lidí airodump zná? ...neposuzovat optikou hackera

S tím WPA2 sem trochu přestřelil - používá AES256 a to je považováno za bezpečné - ale pozor, to platí pouze pokud je dobré heslo/klíč! Což je v běžné praxi dost problém.

[Jendа]

Zakládat bezpečnost na tom, že útočník je úplná lama, je … nevhodné.

Jasně, chce to 15znakový random psk.

[pavlix]

Ale kolik lidí airodump zná?

To už znaj i děcka, nehledě na to, že na zjištění macovky často stačí vidět spodní stranu notebooku, který je povolený. A to už zase zvládne i ta uklízečka.

...neposuzovat optikou hackera

Neposuzovat optikou totální lamy. I lama dokáže postupovat podle návodu.

S tím WPA2 sem trochu přestřelil - používá AES256 a to je považováno za bezpečné - ale pozor, to platí pouze pokud je dobré heslo/klíč! Což je v běžné praxi dost problém.

Ok, omluveno.

[rADOn]

A pak objevili airodump.

To ovšem znamená že útočník musí vidět nějaký provoz. Na domácích wifinách kde je provoz pár minut denně když si někdo čte noviny a poštu to může docela dobře odfiltrovat kolemjedoucí wardrivujici lamky. Zabezpečení bych tomu neříkal ale neuškodí to. Pro mě jediný důvod proti je lenost zadávat každé zařízení do AP

OTOH pokud bych provozoval nějakou zatíženou a hodně paranoidní síť a chtěl sledovat a evidovat pokusy o průnik, nasadil bych MAC filtr jako první bariéru. Ne jako zabezpečení, ale jako způsob jak odfiltrovat lidi co se uklepli v SSID od skutečných útoků. Skalní paranoik by nasadil "honeypot" zařízení s nějakým syntetickým provozem a jakmile by zjistil paket "navíc" z takové MAC, může rovnou volat do akce tlusté zátylky.

[stativ]

Podle mě mají i takovéhle tupé „ochrany“ smysl, akorát se na ně nesmí člověk spoléhat. Tady bych si dovolil přirovnání.

Když budu mít sto plotů, spoustu útočníků odradím. Ne proto, že by byl problém plot přelézt, ale už po pár plotech si většina útočníků rozmyslí, jestli jim za to ta námaha stojí. Ten, komu za to ta námaha stojí ale s jejich překonáním nebude mít sebemenší problém. Za to takovýhle plůtek považuji i filtraci MAC.

Nebo můžu mít deset metrů vysokou betonovou stěnu s elektrickým ohradníkem, ostnatým drátem a samostříly, přes kterou je téměř nemožné se dostat.

Proč ale nemít stovku plotů a nakonec onu betonovou stěnu? Pak se k té stěně dostane míň útočníků a ti mi na ní méně oprýskají omítku při pokusech dostat se dovnitř.

[pavlix]

Proč ale nemít stovku plotů a nakonec onu betonovou stěnu? Pak se k té stěně dostane míň útočníků a ti mi na ní méně oprýskají omítku při pokusech dostat se dovnitř.

Já měl za to, že tématem není MAC filter jako doplňková metoda ale jako základní metoda.

[stativ]

Tak jsi se spletl, je to spíš naopak. Resp. otázka zněla, co si o MAC filteringu myslí ostatní, s tím, že podle tazatele má smysl jako dodatečná metoda.

[pavlix]

Tak jsi se spletl, je to spíš naopak.

Já radši počkám na vyjádření tazatele.

Resp. otázka zněla, co si o MAC filteringu myslí ostatní, s tím, že podle tazatele má smysl jako dodatečná metoda.

V dotazu nic takového není.

[stativ]

V dotazu nic takového není.

Pořiď si silnější brýle:

Podle mě MAC filtering není zbytečný a útočníkovi alespon trochu znepříjemní útok.

Co si o MAC filteringu myslíte vy?

[pavlix]

To bych si místo silnějších brýlí musel pořídit aspoň tak kvalitní hulení jako máš ty :). Kde tam vidíš tu dodatečnou metodu?

[stativ]

Pokud o někdo o něčem mluví jako o znepříjemnění útoku, tak to asi nebude nebude myšleno jako ochrana proti útoku…

[pavlix]

...

[polo23]

Ahoj,

nemel jsem ted dlouhou dobu pristup k netu, tak pisu az ted. MAC filtering povazuju za dodatecnou metodu a tak jsme to myslel i v otazce.

[pavlix]

V tom případě to poprosím už v té otázce specifikovat. Aspoň si příště ušetřím čtení invektiv od lidí jako stativ.

Teď k věci. Jako doplňková metoda MAC filtering může dobře posloužit. Nicméně to nemá nic společného s důvodem uvedeným v dotazu.

[Filip Jirsák]

Proč ale nemít stovku plotů a nakonec onu betonovou stěnu?

Proč vynakládat energii a materiál na výstavbu té stovky plotů?

[stativ]

V případě plotů by ta dodatečná energie byla samozřejmě dost velká na to, aby se to nevyplatilo . Zapnout MAC filter je ale záležitost několika sekund.

[SPM]

A každých několik sekund navíc, když člověk potřebuje připojit nějaké zařízení, které doma ještě neměl...

[stativ]

Což se v domácích podmínkách neděje až tak často. Navíc to není o nic zdlouhavější než opsání hesla při přihlašování.

[pavlix]

Navíc to není o nic zdlouhavější než opsání hesla při přihlašování.

Vytáhnout z člověka informaci o MAC adrese je často podstatě zdlouhavější než mu sdělit informaci o hesle :).

[stativ]

Adresu, která je obvykle někde nalepená, dovede opsat i uklízečka.

[pavlix]

Thank you, Captain Obvious.

[SPM]

No já ti nevim, já to docela často dělal :) navíc taková klasická modelová situace, kdy přijede návštěva s notebookem. S WPA2-PSK only jí řekneš heslo a je to, v tomhle případě už začne dialog typu "a jakou máš mac adresu", "kde je nějakej papír abych si jí mohl opsat", "vydrž, musim to dojít povolit na routeru", "ono to nefunguje, asi jsem se překlepl, vydrž ještě chvíli" - a to všechno kvůli "zabezpečení", který stejně stojí za houby

[Petr Šobáň]

Podle mě je to na houby.

Jako zabespečení je to nulové a když potřebuješ přidat další stroj tak je to otrava.

Ty si ho přidáš během pár sekund, ale jak máš komunikovat s uživatelem tak s něho MAC nevyrazíš i když mu řekneš že je to na nálepce zespodu tak ti bude diktovat všechny čísla jenom MAC vynechá, a když se nakonec dopídíš tak ti řekne že to není číslo protože tam jsou i písmena a pod......

Nejlepší je fakt pořádné heslo, a když se provalí tak ho změním, ovšem to chce mít pořádné heslo i do administrace a né tam nechat default admin, admin

[polo23]

Tak zjistit legitimni MAC neni tezke. Kdyz vidis klienty te site tak vidis aj jejich MAC. Napr program airodump-ng je zobrazi.

[pavlix]

MAC filtering má určitě smysl - už jen proto, že je to velmi jednoduchá metoda ochrany a není triviální zjistit, jaká MAC je na AP povolena.

Je to zjistitelné v řádu vteřin (třeba i tcpdumpem).

A pokud budete četlit nějakému soustředěnému útoku - tak věřte, že útočník uspěje i proti WPA2...

Útok na MAC filtering se provádí standardními nástroji systému jako je tcpdump a příkaz pro změnu MAC adresy a jeho časová náročnost se počítá na vteřiny od započetí do nasbírání dostatku informaci pro připojení. Navíc má 100% úspěšnost u aktivních sítí, které používají pouze MAC filter.

Útok na WPA2 je se základními nástroji nemožný. A s pokročilými nástroji je závislý na více faktorech a pokud vím má v tuto chvíli řádově vyšší časovou náročnost a ke 100% úspěšnosti má ještě dál. Úspěšnost je dokonce natolik malá, že je často lepší se jít na heslo zeptat.

Nehledě na to, že WPA2 PSK a MAC filtering zdaleka nejsou jediné možnosti.

[pavlix]

I když teď si nejsem na 100% jistý, jestli jsem to dával tím tcpdumpem, ale kdyžtak je tu airodump, jak psal Jenda.

[SPM]

Na to že AP bude komunikovat jen s tím, kdo má silnější signál, bych vůbec nespoléhal... spíš bych viděl to, že to v síti udělá bordel, ani jedna z těch inkriminovaných stanic nepojede, až se uživatel té legální nasere a počítač vypne :)

Jinak MAC filtering je asi o něco lepší, než bezdrátem do oka, ale v zásadě když dnes snad všechno umí WPA2, tak moc důvodů proto ho použít není. U WPA si ty data nelítají jen tak nešifrovaně a navíc s připojením dalšího klienta není potřeba měnit konfiguraci AP...

[pavlix]

Co se však stane když mají dvě stanice v síti stejnou MAC adresu? V jedné dipl. práci jsem se dočetl, že AP bude komunikovat se zařízením jež má silnější signál, což je většinou legitimní stanice - útočník se tak k AP nepřipojí.

Což by mohlo odradit hodně krátkodobé útoky, tedy typicky neškodné pokusy získat připojení k netu za účelem podívat se na IDOS.

Jenže „dočetl jsem se v jedné diplomové práci“ neznamená ani že je to pravda, ani že jsi to správně pochopil. Já osobně bych řekl, že takhle obecně napsáno je to pitomost, ale je to jen laický odhad.

[polo23]

Cau,
a Ty vis co se stane kdyz maji dve stanice stejnou MAC?

[pavlix]

Já si osobně myslím, že tuhle otázku nelze jednoznačně zodpovědět. Tedy že v praxi může nastat mnoho různých situací.

Mezi ně patří i to, že se rámce nerovnoměrně rozdělí mezi oba stroje nebo budou doručené dvojmo. Čímž pádem budou stroje zase duplicitně odpovídat.

Na klasickém ethernetu se duplicitní MAC v podstatě neřeší, max některé switche můžou uzamknout MAC podle prvního výskytu na konkrétním fyzickém portu. Vzduch ale nemá porty, takže jak se s tím vypořádávají různé bezdrátové technologie, to fakt nevím, ale na porovnávání síly signálu bych rozhodně nesázel.

[polo23]

Cau,

nemam doma AP tak jsem poprosil kamose o otestovani. Nastavil jsem na klientovi stejnou MAC jakou mel jeho klient a chovalo se to tak, ze kdyz jsem se prihlasil k siti ja tak ho to odpojilo. Kdyz se prihlasil on tak to odpojilo zase me a tak porad dokola.

[pavlix]

Jo to je ještě vtipnější chování než ty možnosti, co jsem popisoval.

[Igor]

AK to AP mas doma, tak to zamkni na MAC adresu. Ak to poskytujes ako provider, tak tam zacni pouzivat hotspot! Das kazdemu meno/heslo, popripade nastavis iba jednu IP sucasne + este to zamknes na MAC adresu. A ak si paranoidny tak este na wifi PSA2 sifrovanie.

[SPM]

Zamkni na MAC adresu a stejně každej, kdo se bude alespoň trochu snažit, se tam dostane; to je teda rada :) kdybych to v dnešní době začal nanovo dělat jako provider, tak už bych šel nejspíš do 802.1x.

[Igor]

Otazka znie, ci to ma doma, alebo to riesi ako provider. Ak to ma doma, tak nech si vypne wifi a ma po starostiach.

[SPM]

Anebo rovnou ať vyleze zpátky na strom....

[polo23]

Je to na domaci pouzititi...

[pavlix]

AK to AP mas doma, tak to zamkni na MAC adresu.

Otázka nezněla „jsem lama, co mám dělat?“ Otázka byla na odbornou diskuzi ohledně toho, jestli filtrování podle MAC k něčemu je.

Ak to poskytujes ako provider, tak tam zacni pouzivat hotspot!

Jo, hotspot se hodí, přes něj se člověk s trochou šikovnosti dostane na net vždycky.

Das kazdemu meno/heslo, popripade nastavis iba jednu IP sucasne + este to zamknes na MAC adresu. A ak si paranoidny tak este na wifi PSA2 sifrovanie.

Trága.

[Igor]

Tak prepacte moju poznamku.

[lertimir]

Pokud chce mít zabezpečenou síť tak nic jiného než WPA2 nemá smysl. A v domácí sítí formu PSK a jako poskytovatel formu EAP. Ostatní jsou nesmysly. Ochrana přes MAC je asi stejně účinná jako když bych se ptal, jestli stačí zabezpečení, když zamknu dům a klíč schovávám pod třetím květináčem na schodišti. Dokud tam nikdo nevleze tak stačí, ale žádná ochrana to není.

[Mrkva]

Ani ne. WPA má sice pár slabin, ale dá se jim vyhnout :) A třeba WinXP2 WPA2 pořádně nezvládají.

[lertimir]

S WPA2 nemám na jediném XP SP 3, které ještě provozuji (a předtím na SP2) nejmenší problém. Automatické přihlášení v pořádku a připojení jak na EAP tak PSK

[Jendа]

Spolužákům to jede (Eduroram).

NSA CIA child porn nuclear bomb anthrax HMTD dirty bomb Obama Bin Laden plutonium warez anonymous homemade explosives

Dastych.

[Mrkva]

Spolužákům to jede (Eduroram).

Eduroam je WPA2 "Enterprise", měl jsem problémy s WPA2-PSK.

[Alf]

Dříve byl problém, který vyřešil update. A odsuzovat WPA2 kvůli WinXP bez daného updatu je trošku mimo :)

[Mrkva]

Tak jsou situace kdy tu záplatu není možné nainstalovat.

[Rames]

Date mi tip na nejaky hotspot s rozumnou webovou administraci a napojenim na MySQL?

[Jendа]

Nedáme, protože žádný bezpečný hotspot neexistuje. (za vyvrácení protipříkladem budu rád)

Nebezpečný - hledej „captive portal“ ve svém repozitáři.

[Rames]

Poradite nejaky hotspot co bych mohl nasadit na muj Debian overenim na MySQL?

[Igor]

Ja pouzivam klasicky freeradius + Mysql. Ako gui Radius Manager od DMA SoftLab. POuzivam to na mikrotikoch, kde je nastaveny hotspot s overovanim voci tomu radiusu.

[Rames]

Jestli to ale dobre chapu, tak ten hotspot (webserver) je primo v tom Mikrotiku.. nebo se pletu?

[Igor]

Ano,priamo v mikrotiku

[Rames]

Aha, no ja bych potreboval neco primo na Debianu

[Igor]

Napriklad:

Chillispot