Atenuação do desvio 802.1x por ponte transparente

A palestra DEFCON talk " A Bridge Too Far " detalha um meio de ignorar os controles de acesso à rede 802.1x com fio, configurando uma ponte transparente entre uma máquina genuína e a rede. Depois que a autenticação é realizada, a ponte transparente fica livre para adulterar e injetar tráfego.

Existem controles que podem ser implementados para mitigar esse risco?

Francamente, não.

O 802.1X autentica a porta e, desde que seja autenticada, participa da rede. Os quadros inseridos ou mesmo modificados por um dispositivo de rede transparente não podem ser detectados.

O 802.1X teve alguns vetores de ataque sérios desde o início e só pode ser considerado como uma abordagem "melhor que nada". Se você deseja segurança de porta séria, precisará do 802.1AE, também conhecido como MACsec.

Outra abordagem (thx Ricky) é renunciar completamente à segurança no nível da porta e confiar nas conexões VPN que você constrói na sua rede física, basicamente movendo a segurança para a pilha. Embora isso possa ser muito seguro e compatível com versões anteriores de praticamente qualquer infraestrutura, pode apresentar gargalos no (s) roteador (s) VPN e seus links.

Bem-vindo à engenharia de rede! Você pode perguntar isso no Information Security SE, mas aqui estão alguns pensamentos:

1. Se alguém tiver acesso físico à rede, um invasor poderá fazer muitas coisas. Atacar o 802.1x é apenas um.
2. A apresentação lista algumas técnicas de mitigação, mas todas elas dependem de um monitoramento cuidadoso do tráfego de rede - algo que raramente é feito, exceto nas redes mais seguras.
3. Como é realmente um ataque físico, a melhor defesa é a segurança física.
4. Se o 802.1x for usado corretamente, esse ataque terá um efeito mínimo. Sim, você pode ocultar sua caixa de ataque atrás da impressora e obter acesso, mas a VLAN da impressora deve ter acesso limitado de qualquer maneira (sem iniciar conexões). Qualquer tentativa de iniciar a investigação deve gerar alertas.
5. O 802.1ae pode ser outra maneira de pará-lo, mas não é comum.
6. Finalmente, acho que o risco é exagerado. Ataques físicos são difíceis, caros e muito arriscados. É por isso que eles são muito raros.