Wenn nun parallel dazu eine SSID konfiguriert ist, deren Authentifizierung über 802.1X am selben RADIUS-Server läuft, kann man sich an dieser, alleine mit Kenntnis einer im LEPS-Netzwerk zugelassenen MAC-Adresse anmelden. Man muss dazu bei der Anmeldung an diesem WPA-Enterprise Netzwerk lediglich die MAC-Adresse, in der Form aabbcc-ddeeff, sowohl als Benutzername als auch als Passwort eingeben.alf29 hat geschrieben: ↑08 Jan 2019, 16:51 .....
(a) RADIUS->Server->RADIUS-Authentisierung: aktiv. Damit schaltest Du erstmal den RADIUS-Server an.
(b) RADIUS->Server->Benutzerkonten: nach Bedarf füllen. Ein Eintrag muß aktiv sein, als Benutzernamen und Paßwort
die MAC-Adresse im Format aabbcc-ddeeff, PAP muß zugelassen sein.
(c) Wireless LAN -> Stationen, "Daten von den aufgeführten Stationen übertragen, alle anderen über RADIUS authentifizieren oder ausfiltern"
(d) Wireless LAN -> Stationen, RADIUS Server Passwort Quelle -> MAC-Adresse
(e) Wireless LAN -> Stationen->RADIUS-Server Einstellungen -> 127.0.0.1 als Server-Adresse, Port bleibt auf 1812, Secret bleibt leer
(f) Wireless LAN -> Allgemein -> Logische WLAN Einstellungen: "MAC-Filter aktiviert" für die gewünschte SSID setzen.
.....
Zugegebener Maßen ist das ein recht spezielles Szenario, aber immerhin lassen sich alle notwendigen Informationen durch einfaches belauschen ermitteln.
Abhilfe kann man natürlich damit schaffen, dass unter Punkt (d) der obigen Anleitung für "Wireless LAN->Stationen, RADIUS Server Passwort Quelle" nicht die "MAC-Adresse" sondern "Secret" gewählt wird und entgegen der Angabe in Punkt (e) für "Wireless LAN->Stationen->RADIUS-Server Einstellungen->Secret" ein solches definiert wird.
Dann muss man aber bei jedem MAC-Adressen-Eintrag in der RADIUS Benutzertabelle als Passwort dieses (hoffentlich) kryptische Secret eintragen.
Was auch funktioniert ist, für den entsprechenden Eintrag in der RADIUS Benutzertabelle die erlaubten Protokolle "PAP, CHAP, MSCHAP, MSCHAPv2, EAP" alle auf "off" zu setzen.
Kann jemand sagen ob das auch hinreichend ist, um dieses Angriffszenario komplett auszuschließen?
![Gruebel :G)](./../images/smilies/gruebel_250.gif)
Mir ist nämlich nicht klar über welches Protokoll die RADIUS Authentifizierung mit MAC-Adressen läuft.
Entgegen der Angabe in Punkt (b) von Alfreds Kurzanleitung muss PAP nämlich nicht zugelassen sein.
Zumindest kann ich bei mir alle Häkchen wegnehmen und die RADIUS Authentifizierung mit MAC-Adressen funktioniert im WPA2-PSK Netzwerk mit LEPS immer noch.