Mitigación de bypass 802.1x mediante puente transparente

La charla DEFCON talk " A Bridge Too Far " detalla un medio para evitar los controles de acceso a la red cableada 802.1x mediante la creación de un puente transparente entre una máquina genuina y la red. Una vez que se realiza la autenticación, el puente transparente es libre de manipular e inyectar tráfico.

¿Existen controles que puedan implementarse para mitigar este riesgo?

Francamente, no.

802.1X autentica el puerto y, siempre que esté autenticado, participa en la red. No se pueden detectar tramas insertadas o incluso modificadas por un dispositivo de red transparente.

802.1X ha tenido algunos vectores de ataque serios desde el principio y solo puede considerarse como un enfoque de "mejor que nada". Si desea una seguridad portuaria seria, necesitará 802.1AE, también conocido como MACsec.

Otro enfoque (gracias a Ricky) es renunciar completamente a la seguridad a nivel de puerto y en su lugar confiar en las conexiones VPN que construye en la parte superior de su red física, básicamente moviendo la seguridad en la pila. Si bien esto puede hacerse muy seguro y retrocompatible con casi cualquier infraestructura, puede introducir cuellos de botella en los enrutadores VPN y sus enlaces.

¡Bienvenido a Network Engineering! Es posible que desee preguntar esto en Information Security SE, pero aquí hay algunas ideas:

1. Si uno tiene acceso físico a la red, un atacante puede hacer muchas cosas. Atacar 802.1x es solo uno.
2. La presentación enumera algunas técnicas de mitigación, pero todas se basan en un monitoreo cuidadoso del tráfico de la red, algo que rara vez se hace, excepto en las redes más seguras.
3. Como es realmente un ataque físico, la mejor defensa es la seguridad física.
4. Si 802.1x se usa correctamente, este ataque tiene un efecto mínimo. Sí, puede ocultar su cuadro de ataque detrás de la impresora y obtener acceso, pero la VLAN de la impresora debería tener acceso limitado de todos modos (sin iniciar conexiones). Cualquier intento de comenzar a sondear debería generar alertas.
5. 802.1ae podría ser otra forma de detenerlo, pero no es común.
6. Finalmente, creo que el riesgo está exagerado. Los ataques físicos son difíciles, caros y muy riesgosos. Por eso son muy raros.