Hoi viisaat! Estääkö MAC -fitteröinti tuntemattoman MAC:n pääsyn LAN'iin vai onko MAC-fitteröinti estämässä LAN'issa olevan koneen menon WAN'iin?
Kertokaa oi viisaat!
Kertokaa oi viisaat!
MAC -osoitteista?
Frank626
172035
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 17
Vanhimmat
Mac-suodatus hyväksyy vain erikseen mainitut mac osoitteet Wlan-yhteydellä adsl-modeemiin.
... manuaalissa. Mutta kysymys kuuluu toimiiko esto ulkoa sisään päin tulevalle liikenteelle vain sisältäpäin ulos suuntautuvalle liikenteelle. Vai koskeeko esto molempia suuntia. Eli LANissa ei voi käyttää muiden koneiden tiedostoja ja jaettuja resursseja eikä tietenkään pääse Internettiin ja ulkopäin sisään tulevan koneen liikenne estetään jos ko. koneen MAC -tunnusta ei ole sallittujen koneiden listalla.
Ymmäritkö kysymykseni?
Wlan-tukiasemassa jos on päällä MAC-filtteröinti ja se toimii, vain ne koneet, joiden MAC osoite on hyväksyttyjen listalla, saavat yhteyden tukiasemaan. Eli pääsevät yhtään mihinkään, LANiin tai WANiin.
... minäkin asiaa pähkäilin, mutta manuaalissa oli jokin lause joka sekoitti tyhmän pään ja elämänkoulussa opiskeltu (tosi) lyhyt englanti ei riittänyt selvittämään päätä joten päätin saada varmuuden pähkäilyihini.
Kiitos.
...joka on syytä muistaa: netti on pullollaan häksäysohjelmia, mäkkiosoite saadaan selville verkon yli ja on siten väärennettävissä.
Ihan vaan tiedoksi...
-T
...että hakkereiden kykyjä ja ohjelmien kaikki- voipaisuutta liioitellaan ja romantisoidaan.
MAC-osoite on toki muutettavissa kättelyviestin sisällä, mutta tuota tohdin epäillä, että jonkin laitteeni MAC -osoite olisi luettavissa verkon yli.
Ensinnäkin MAC -osoite ei ole missään TCP paketissa joten liikennettä kuuntelemalla sitä ei saa. Toiseksi viestit on salattu WPA-PSK avaimella jonka purkaminen kotikonstein on lähes mahdotonta.
..tuo MAC-filtteröinti koskettaa ainoastaan WLAN-puolelta tulevia koneita, ainakin kaikissa niissä tukiasemissa mitä minä olen testannut. Kaapelilla tukiaseman kytkimessä kiinni olevat koneet pääsevät joka tapauksessa.
MAC-filterointi liittyy siis VAIN WLANiin.
MAC-osoitteita voi saada verkon yli usealla eri
protokollalla, vaikkapa SNMP:lla, mutta ei niillä WANin takana kauheasti tee.
MAC-osoitteen selvittäminen kuuntelemalla on mahdollista, mutta vain WLANin kuuluvuusalueella.
Tähän ei mikään salaus auta, sillä kehyksen osoiteosaa ei salata.
MAC-osoitteen väärennys on tosi helppoa, joidenkin korttien ajureissakin se on mahdollista
vain valitsemalla "anna MAC käsin" ja sitten kirjoittamalla haluttu osoite.
Summa summarum: MAC-filtteröinti estää vain satunnaisen käyttäjän vahingossa verkkoon eksymisen, häkkerille se on pienempi hidaste kuin alkeellisinkin salaus. Verkon liikenteen kuuntelua se ei estä millään tavalla.
En ole tekemässä mitää Hakkeri-käsikirjaa, mutta TCP -määrityksissä ei missään mainita MAC-osoitteita, joten pelkällä liikenteen kuuntelulla ei ymmärtääkseni Client'in MAC selviä.
Toinen minua mietityttävä seikka on, että vaikka sinulla olisi jonkin filtteröinnissä mainitun sallitun laitteen MAC tiedossa, niin salasana olisi vielä selvitettävä (WPA-PSK).
Joskus tuntuu, että hakkereiden ja laitteiden kykyjä hieman romantisoidaan. F-Secure ja muut firmat tietenkin tykkäävät tästä.
Pieni yhteenveto. En usko, että pelkää WLAN-liikennettä kuuntelemalla pääsee mihinkään WLAN'iin jossa on asianmukaiset filtteröinnit ja suojaukset asetettu. Asia voi olla toisin jos saat haltuusi jonkin sallitun laitteen tai pääset kurkkimaan jonkun olkapään ylitse.
MAC-osoitteen saa selville kuuntelemalla. Pakettien lopullinen kohde kuitenkin määrittyy IP-osoitteen lisäksi MAC-osoitteen perusteella.
Sanoin jo aiemminkin, että tuo MAC-filtteröinti on loppujen lopuksi turha ominaisuus jos verkkoa haluaa oikeasti suojata. Jos WPA-PSK tai WEP ovat käytössä ei verkkoon pysty liittymään ilman salasanaa, eli se ajaa saman asian kuin MAC-filtteröintikin.
Jos taas joku on tarpeeksi pätevä murtamaan tuon WPA-PSK:n tai WEP:n, on hän myös kykenevä sen jälkeen ottamaan selville verkkoon sallitun clientin MAC-osoitteen ja spooffaamaan sen omalle kortilleen.
Itse olen samaa mieltä.
Pelkkä MAC-osoitteen filtterointi ei estä millään tavalla WKANin kuuntelua, jolloin salaamaton liikenne on uteliaan naapurin kuunneltavissa.
MAC-osoitteen spoofaus on taasen niin helppoa, että kaikki alkeellisimmatkin WEP-salaukset ovat
sitä vahvempia turvamenetelmiä.
Nyt ehdottaisi, että tutustuisit TCP protokollaan.
Nämä jutut alkaa olla sukua sille tarinalle jossa amerikkalaisilla on sellainen sateliitti, että se näkee peltikaton läpi onko rakennuksessa miehiä vai naisia.
Joopa joo...
Itse kehotat tutustumaan TCP-protokollaan, itse kehottaisin tutkimaan kehysrakenteita hieman.
TCP/IP-liikenne ei kulje ilman MAC-osoitteita ja ne saa selville kuuntelemalla verkossa kulkevaa liikennettä. Vai miten luulet liikenteen reitittyvän oikeaan paikkaan oikealle sovittimelle? Pelkästään IP-osoitteen avulla?
http://www.iss.net/wireless/WLAN_FAQ.php#[3.3.2] MAC Address Filtering
"The MAC address is transmitted in the clear text, so any intruder can sniff authorized MAC addresses, and with proper tools, configure and masquerade their MAC address as a legitimate MAC address and by-pass this security mechanism. Enabling this security feature can be more effort than the actual security benefit that it provides."
Tuossa vain yksi esimerkki. Googlesta hakusanoilla "MAC Address WLAN sniff" löytyy aika mukavasti tavaraa.
Jos olet "perehtynyt" niin innokkaasti protokolliin ettet ymmärrä englantia, pyydä vain niin kyllä täältä joku tulkkaa tuon.
Viestisi on erinomainen esimerkki keskustelun tasosta: kun asiaa ei ole niin tehdään sarkastisia viittausksia täysin toisarvoisiin asioihin, kuten tässä nyt minun englanninkielen taitoon. Pikkupojat löytävät yleensä tässä vaiheessa pilkkuvirheitä.
Asiaan: Keskustelussa on unohdettu kokonaan standardi IEEE 802.1 ja sen eri versiot. Näitähän käytetään WLAN viestinnässä. En vieläkään ole löytänyt MAC'in paikkaa TCP -sanomissa. Jospa se löytyy IEEE 802.1 protokollasta. Täytyy tutkia, kun tulee sopia hetki.
Ja sitten se kysymys josta tämä koko paska sai alkunsa: Jos sinulla on jokin "sallituista" MAC-osoitteista niin mitä sinä sillä teet? Kuinka purat salasanan? Mistä saat käyttöösi sen supertietokeen jolla sen purat? Huomaa, että tarkoitan WPA-PSK'ta.
Epäilen erittäin vahvasti, että nämä WLAN-verkkoon tunkumisjutut ovat enemmän kuin urbaanilegendaa.
Keskustelu osasaltani tästä aiheesta päättyy tähän, koska keskutelun sävy on vahvasti siirtymässä vittuilulinjalle.
Kiitos kaikille osallistumisesta ja muistakaa
"Täydellinen tietämättömyys luo suurimman varmuuden puhua asioista"
- Tarkoitan tällä enimmäkseen itseäni:)
Frank - taidat itse olla pahin hämmentäjä!
Ainakin minulle tekstisi "en vieläkään ole löytänyt MACin paikkaa TCP-sanomissa" kielii joko omaksumattomasta pintatiedosta tai sitten niin vaikeasta sarkasmista, että se ei tällä palstalla mene kyllä jakeluun kellekään. ´
WLAN MAC-osoitteiden filtteröinti sekä WEP ja WPA kuuluvat OSI-mallin kakkostasolla ja niillä ei ole mitään tekemistä korkeamman tason protokollien kuten TCP:n, UDP:n, IPX:n, IP:n jne kanssa.
Koko ketjussahan oli kysymys MAC-filtteröinnistä.
Muut - minä mukaanlukien - ovat koettaneet sanoa, että se PELKÄSTÄÄN ei takaa mitään suojaa:
- Ei estä liikenteen kuuntelua millään tavalla
- Helppo spuufata, jos vain kuuntelee ja laittaa itselleen sopivan MACin
Eli oikeastaan MAC-suodatus antaa vain suojaa satunnaista (vahingossa tapahtuvaa) vierailijaa vastaan sekä tarjoaa VÄÄRÄÄ TURVALLISUUDEN-TUNNETTA asiaa tuntemattomille.
Kanssasi olen kyllä samaa mieltä oikein suojattujen WLAN-verkkojen käytännön turvallisuudesta.
Tuossa edellisessä viestissäni juuri totesin MAC-suodatuksen olevan turha ominaisuus, koska WPA tai WEP ajavat tuon saman asian. Sisälukutaitoa, kiitos.
Suojaamatonta WLANia kuuntelemalla pystyy näkemään esim. SMTP-pyynnöt salasanoineen selvänä tekstinä.
Tietoturvaongelmista hypetys taasen on johtunut WEP-salauksen lievästä heikkoudesta ja siitä ettei porukat ole osanneet / tajunneet laittaa asetuksia kuntoon.