WiFI authenticeren op basis van MAC zonder credentials?

[kdejonge]

Hallo allemaal ,

Ik vroeg mij af of er een mogelijkheid is om verbinding te maken met WiFI zonder dat het vraagt om credentials dus alleen op basis van MAC adress. Middels radius wel wat opgezet met username & password + MAC filter maar zou graag die username en password willen overslaan.

Maak gebruik van een UDM Pro met een 8porte unifi switch en 3 AP's.

Groet Koen

 

[Eddie the Eagle]

Is dat niet gewoon door in settings->wireless networks (classic interface) de security op 'open' te zetten en dan een mac filter allow list opzetten ? Met radius doe je dan niks.

 

[edwin2019]

Hallo allemaal ,

Ik vroeg mij af of er een mogelijkheid is om verbinding te maken met WiFI zonder dat het vraagt om credentials dus alleen op basis van MAC adress. Middels radius wel wat opgezet met username & password + MAC filter maar zou graag die username en password willen overslaan.

Maak gebruik van een UDM Pro met een 8porte unifi switch en 3 AP's.

Groet Koen

Ik weet niet of je dat zou moeten willen. Mac adres is te spoofen volgens mij

 

[Hofstede]

Het kan met behulp van MAC Based Radius authentication. Maar zoals @edwin2019 al aangeeft is het niet echt veilig.

Zie: https://help.ui.com/hc/en-us/articl...figuring-Access-Policies-for-Wireless-Clients

 

[Eric-Jan]

Als het om het "gemak" gaat, zou je ook een QR code als graphic kunnen versturen, als je de ontvanger vertrouwt, maar die code is wel te kopieren, en door te geven, vaak zijn toch dingen die "makkelijk in gebruik zijn, toch vaak ook een veiligheids risico...
De vraag steller kan misschien beter het doel omschijven, wat er bereikt moet worden. misschien is/bestaat daar al een veilige optie voor.
(een "guest" inlog ? eentje die dan goed dicht getimmerd wordt, kan dan ook open (geen WPA) zijn ? maar blijft toch hoedanook onveilig….)
Ik denk dat er maar weinig "use cases" zijn, vooral ook om de veiligheid, hackers zullen er dan ook meteen op duiken voor "failpoints" wat misschien dan al ook gebeurd is in het verleden...

 

[gewoon in de kroeg]

Is dat niet gewoon door in settings->wireless networks (classic interface) de security op 'open' te zetten en dan een mac filter allow list opzetten ? Met radius doe je dan niks.

Helemaal correct, is alleen iid niet echt veilig.
Al moet ik erbij zeggen dat ik niet echt weet hoe veilig de (standaard) guest instellingen zijn.
Theoretisch zouden gasten natuurlijk niet bij het je lan netwerk moeten kunnen komen.

 

[Eddie the Eagle]

Helemaal correct, is alleen iid niet echt veilig.
Al moet ik erbij zeggen dat ik niet echt weet hoe veilig de (standaard) guest instellingen zijn.
Theoretisch zouden gasten natuurlijk niet bij het je lan netwerk moeten kunnen komen.

Ach, de topic starter heeft zich nooit meer gemeld na zijn opening post van 3 maanden geleden, dus zo`n vaart zal het wel niet lopen .

 

[Eric-Jan]

Ach, de topic starter heeft zich nooit meer gemeld na zijn opening post van 3 maanden geleden, dus zo`n vaart zal het wel niet lopen .

Ja, jammer, vaak is mijn inziens de vraagstelling dan ook verkeerd, en otbreken er meerdere details, je ziet dat zo erg ook op Facebook, ik erger me daar een beetje aan… maar ik trap er dan toch weer in.

 

[kdejonge]

@Eddie the Eagle
@Eric-Jan
@gewoon in de kroeg
@Hofstede
@edwin2019

Mijn excuus dat ik niet vaker online ben geweest. Ik zou dat toch eens wat vaker moeten doen .Het gaat om een hobby gerelateerde vraag en er zit geen haast bij inderdaad .

V.w.b. mijn vraag van alweer 3 maanden geleden hierbij wat meer tekst en uitleg.

In mijn netwerk maak ik gebruik van een 3-tal VLANS.

Prive – 10
IoT – 107
Camera’s – 40

Verder heb ik de volgende componenten in huis:

1 x UDM-PRO
1 x Unifi-wall
1 x Unifi-Nano HD
3 x unifi switch flex mini
1 x Unifi switch 16 PoE

In de firewall van de UDM-PRO heb ik de VLAN’s verder geconfigureerd en gescheiden van elkaar.

In de praktijk komt het regelmatig voor dat ik devices (voornamelijk in het IoT VLAN) opnieuw moet te koppelen met het IoT Wi-Fi netwerk (redenen daar gelaten).

Nu dacht ik “kan dit niet makkelijker”. Is er geen mogelijkheid om IoT devices te laten verbinden met het Wifi IoT netwerk middels MAC authenticatie? Alvorens het IoT device gekoppeld is voer ik het mac-address op en deze wordt dan bij inschakelen automatisch verbonden met het IoT Wifi netwerk.

Het doel is om in de toekomst alle IoT devices (welke een IP-adres nodig hebben) middels mac-address via de UDM-controller app op te voeren zonder het hele wifi proces te doorlopen (Sneller koppelen van IoT devices).Een ander doel is om SSID's vrij te kunnen aanpassen in naam/ip-adres zonder dat dit effect heeft op de apparaten in huis.
Resultaat: 1-malig opvoeren mac-adres en verbinden maar.

Om dit te willen zou ik dus de oplossing van @Eddie the Eagle kunnen hanteren? Blijft nog wel de vraag hoe kan ik dit realiseren zonder het risico te lopen dat er gespooft kan worden zoals @edwin2019 al zei? Omdat dit specifiek om IoT devices gaat plus firewall rules wordt dit dan niet afgevangen?



Koen

 

[kdejonge]

Ja, jammer, vaak is mijn inziens de vraagstelling dan ook verkeerd, en otbreken er meerdere details, je ziet dat zo erg ook op Facebook, ik erger me daar een beetje aan… maar ik trap er dan toch weer in.

Het blijft een uitdaging om een vraag goed te formuleren. Je zou graag een vraag willen stellen die mijn inziens voor iedereen duidelijk is. Maar wanneer is een vraag nou echt duidelijk?

 

[Hofstede]

Het IoT device kun je nooit automatisch koppelen met WiFi, je zult toch altijd de WiFi connectie procedure van het device zelf moeten doorlopen. De enige extra stap die je bij een beveiligd netwerk moet doen ten opzichte van een "open" netwerk zoals @Eddie the Eagle voorstelt is het invullen van het WiFi wachtwoord, en dat moet maar eenmalig.

Het is natuurlijk vreemd om een apart IoT netwerk op te zetten om jezelf te beveiligen tegen aanvallen via IoT apparaten en vervolgens dat IoT netwerk superzwak te beveiligen. Want met een open netwerk is alle communicatie van de IoT devices via WiFi niet gecodeerd en iemand met kwade bedoelingen kan alle verkeer "meelezen". Eigenlijk moet het andersom, omdat de beveiliging van IoT devices op zich zwak is moet je je IoT netwerk juist nog zwaarder beveiligen dan je normale netwerk.

 

[Eddie the Eagle]

Even afgezien v/d comment van Hofstede.....het is wel leuk om de techniek er achter uit te zoeken. Ik lees hier iets over het gebruik van Radius in combinatie met mac-based authorisatie:

To authenticate devices based on MAC address, use the MAC address as the username and password under client creation. This entry should convert lowercase letters to uppercase, and also remove colons or periods from the MAC address.

 

[kdejonge]

Dus begrijp ik het goed dat, zodra je een open netwerk hebt gebaseerd op mac authenticatie het nog steeds mogelijk is al het verkeer te kunnen lezen met een device die niet als trusted is bestempeld?

Uiteraard wil ik het IoT netwerk zwaarder beveiligen omdat IoT devices nou eenmaal zwak is in de security.

 

[LTAX04]

Dus begrijp ik het goed dat, zodra je een open netwerk hebt gebaseerd op mac authenticatie het nog steeds mogelijk is al het verkeer te kunnen lezen met een device die niet als trusted is bestempeld?

Het is heel simpel om een open netwerk gebaseerd op mac authenticatie binnen te dringen als je een netwerkkaart hebt die monitoring mode ondersteund maar dat gaan we hier niet uitleggen ik weet dat alles is te kraken maar je kunt het wel moeilijker maken door een goede beveiliging te kiezen maar met alleen mac authenticatie kun je net zo goed de deur openzetten aangezien je binnen enkele seconden binnen bent dus ik zou dit nooit aanraden.

 

[kdejonge]

Het is heel simpel om een open netwerk gebaseerd op mac authenticatie binnen te dringen als je een netwerkkaart hebt die monitoring mode ondersteund maar dat gaan we hier niet uitleggen ik weet dat alles is te kraken maar je kunt het wel moeilijker maken door een goede beveiliging te kiezen maar met alleen mac authenticatie kun je net zo goed de deur openzetten aangezien je binnen enkele seconden binnen bent dus ik zou dit nooit aanraden.

Bedankt allemaal voor de informatie. Het is duidelijk . Topic kan dicht of open laten is aan jullie .

Dank nogmaals!

p.s. zou wel een gat in de markt zijn zoiets te ontwikkelen

 

[LTAX04]

. Topic kan dicht of open laten is aan jullie .

We gooien er een slotje op want het is wel duidelijk dat alleen mac authenticatie een slechte beveiliging is en dus niet aan te raden is.