Milderung des 802.1x-Bypasses durch transparente Überbrückung

Der DEFCON-Vortrag " A Bridge Too Far " beschreibt eine Möglichkeit, die kabelgebundenen 802.1x-Netzwerkzugriffskontrollen zu umgehen, indem eine transparente Brücke zwischen einem Originalcomputer und dem Netzwerk eingerichtet wird. Sobald die Authentifizierung durchgeführt wurde, kann die transparente Bridge den Datenverkehr manipulieren und einspeisen.

Gibt es Kontrollen, mit denen dieses Risiko gemindert werden kann?

Ehrlich gesagt, nein.

802.1X authentifiziert den Port und nimmt, solange er authentifiziert ist, am Netzwerk teil. Eingefügte oder sogar geänderte Frames von einem ansonsten transparenten Netzwerkgerät können nicht erkannt werden.

802.1X hatte von Anfang an einige schwerwiegende Angriffsmethoden und kann nur als "besser als nichts" -Ansatz angesehen werden. Wenn Sie ernsthafte Port-Sicherheit wünschen, benötigen Sie 802.1AE, auch bekannt als MACsec.

Ein anderer Ansatz (danke Ricky) besteht darin, vollständig auf die Sicherheit auf Portebene zu verzichten und sich stattdessen auf VPN-Verbindungen zu verlassen, die Sie über Ihrem physischen Netzwerk aufbauen, um die Sicherheit im Grunde genommen zu erhöhen. Dies kann zwar sehr sicher und abwärtskompatibel mit nahezu jeder Infrastruktur gemacht werden, kann jedoch zu Engpässen bei den VPN-Routern und ihren Verbindungen führen.

Willkommen bei Network Engineering! Vielleicht möchten Sie dies bei Information Security SE fragen, aber hier sind einige Gedanken:

1. Wenn man physischen Zugriff auf das Netzwerk hat, kann ein Angreifer viele Dinge tun. 802.1x anzugreifen ist nur eine davon.
2. In der Präsentation werden einige Abhilfemaßnahmen aufgeführt, die jedoch alle auf einer sorgfältigen Überwachung des Netzwerkverkehrs beruhen - etwas, das nur in den sichersten Netzwerken durchgeführt wird.
3. Da es sich wirklich um einen physischen Angriff handelt, ist die physische Sicherheit die beste Verteidigung.
4. Wenn 802.1x korrekt verwendet wird, hat dieser Angriff nur minimale Auswirkungen. Ja, Sie können Ihre Angriffsbox hinter dem Drucker verstecken und Zugriff erhalten, aber das Drucker-VLAN sollte ohnehin nur eingeschränkten Zugriff haben (keine initiierenden Verbindungen). Alle Versuche, mit dem Prüfen zu beginnen, sollten Warnungen generieren.
5. 802.1ae ist möglicherweise eine andere Möglichkeit, dies zu stoppen, aber es ist nicht üblich.
6. Schließlich denke ich, dass das Risiko überbewertet ist. Physische Angriffe sind hart, teuer und sehr riskant. Deshalb sind sie sehr selten.