Anit-MAC-Spoofing

[DraconiX (Gast)]

Gibt es eine Softwarelösung, nach einem Router, in einem bestehenden 
Netzwerk ein Anti-MAC-Spoofing einzusetzen?

Wenn ja, wie sehe dies aus? Gibt es da eine Linux Lösung? Muss der 
Filter zwischen Router und allen Clients stehen oder reicht es wenn der 
Filter Teil des Netzes ist?

Wie kann ich MAC-Spoofing in einem Wireless Lan verhindern?!

[Georg A. (georga)]

Es gibt wohl Appliances, die vorgeben, das mit Heuristiken und anderen 
obskuren Dingen zu können. Aber wenn es schon so ernst ist, dass ein 
MAC-Filter auf bekannte Geräte pro Port wg. befürchtetem Spoofing nicht 
ausreicht, dann macht man ein VPN.

[DraconiX (Gast)]

"Befürchtet" ist gut... Das Szenario lässt sich leicht erklären. 
Internet kam über einen WLAN Router (Sercom) lief eine ganze Zeit mit 
dem Standart WPA2 Passwort (20 Stellen, Alpha-Numerisch, ohne 
Zusammenhang) und ist leider herrausgefunden wurden (Wie auch immer!). 
So das über einen undefinierten Zeitraum Zugriff auf das Netz durch 
mehrere Teilnehmer bestand.

Nach Umstellung des Passworts und einer festen MAC/IP Vergabe ist 
natürlich nun die Angst groß, da ARP Angriffe bereits durch XArp 
festgestellt wurden, das sich nun auf andere Wege Zugriff gewährt wird.

Ich habe auch eine ganze Zeit lang einen dezentralen Honeypot mit den 
alten Daten laufen lassen, und die dort registrierten Clients (MAC, 
Hostname) auf eine Blacklist gesetzt. Aber eine MAC Adresse kann man ja 
nun eben leicht fälschen leider.

[Gerd E. (robberknight)]

ein bzw. mehrere managebarere Switche. Bei den meisten kannst Du per 
SNMP die MACs und die Portnummern, über die sie verbunden sind, 
auslesen.

Diese Tabelle(n) vergleichst Du mit den Sollvorgaben. Ein paar Ports 
möchtest Du vielleicht ausnehmen, z.B. die Werkstattplätze, an denen 
ständig andere PCs angeschlossen werden.

Wenn dann noch etwas nicht passt entweder Alarm auslösen oder den Port 
sperren.

[TestX (Gast)]

Nimm halt vernünftige switche mit protected ports/private vlans und 
802.1x

[MaWin O. (Gast)]

Mac-Filter bringen keinen zusätzlichen Schutz.
Und Spoofing kann man natürlich auch nicht verhindern. Wie soll das 
gehen? Das Spoofing findet zu 100% auf dem Endgerät statt.

[Moe (Gast)]

Ist evtl. 'arpwatch' was du suchst?

[Spritz (Gast)]

DraconiX schrieb:
> Internet kam über einen WLAN Router (Sercom) lief eine ganze Zeit mit
> dem Standart WPA2 Passwort (20 Stellen, Alpha-Numerisch, ohne
> Zusammenhang) und ist leider herrausgefunden wurden (Wie auch immer!).

Dann kümmer dich erstmal darum! Das wird sicher keiner erraten haben. 
Ein Bruteforce auf so ein Passwort ist sinnlos.

[Markus -. (mrmccrash)]

Dann prüfe auch mal, ob dein Router auf eine WPS Attacke anspricht (z.B. 
PixieDust) und ggf. auch ob ein Software Update notwendig ist.

Weiters hilft auch meist das reduzieren der Sendeleistung um neugierige 
Nachbarn auszusperren.

Ansonsten gibt es noch die Hardcore Variante: WLAN Accesspoint einzeln 
aufstellen und dann eine Verschlüsselung mittels WPA Enterprise 
einrichten -> jeder Client hat individuelle Verschlüsselung.

MfG

[Schwarzseher (Gast)]

Spritz schrieb:
> Das wird sicher keiner erraten haben.
> Ein Bruteforce auf so ein Passwort ist sinnlos.

Gab schon mehrere Fälle wo das Ausliefer-WLAN-Passwort 1:1 mit der 
MAC-Adresse des Routers zusammenhing, oder schlecht zusammengewürfelt 
wurde, da brauchte es kein Brute-Force.

https://heise.de/-3085482
https://heise.de/-2149103
usw.

Genau so ein Fall könnte das hier gewesen sein, wenn mit 
Stand-ART-Passwort das Vor-ausgefüllte Passwort im Auslieferzustand 
gemeint ist.

DraconiX schrieb:
> lief eine ganze Zeit mit
> dem Standart WPA2 Passwort

[Dieter (Gast)]

arpwatch kann bei der Überwachung helfen, muss aber nicht.

Wenn du kein Geld für anständige Hardware hast benutz eine VPN ala tinc 
oder OpenVPN.

Mit ordentlichen Switchen (z.B. HP ProCurve) kannst du arp protection 
aktivieren, dabei kannst du entweder im Switch statisch die MAC der 
jeweiligen IP und Port zuordnen oder dies über einen DHCP Server 
erledigen lassen, dazu musst du allerdings deinen primären DHCP Server 
als einzig legitimen in den Switchen eintragen und die dynamische ARP 
Protection richtig konfigurieren.

802.1X kommt dann natürlich noch dazu.

[Local Area Notwork (Gast)]

>> lief eine ganze Zeit mit
>> dem Standart WPA2 Passwort
Tja, wenn dass Passwort draußen auf der Fahne weht...