Il mio amministratore di rete può sapere che sto usando un router virtuale per accedere a Internet sui miei dispositivi non autorizzati?

52

Sono uno studente universitario e l'amministratore di rete della mia università utilizza indirizzi MAC (1 indirizzo MAC / studente) per autorizzare l'accesso a Internet. Gli studenti utilizzano regolarmente software di routing virtuale per creare un hotspot per connettersi agli altri dispositivi (lo spooofing MAC è una possibile soluzione alternativa, ma lo spoofing su un dispositivo portatile, ad esempio un dispositivo Android, richiede l'accesso root, che a sua volta è un problema da guadagnare ).

Di recente, l'amministratore ha reindirizzato tutti gli studenti ad astenersi dall'utilizzare hotspot, altrimenti punirà coloro che non rispettano (rimuovendo l'indirizzo MAC dello studente dal database MAC autorizzato, suppongo). Ho la netta sensazione che stia solo bluffando.

La mia domanda è: è possibile che l'amministratore sappia che un dispositivo utilizza il routing virtuale per connettersi ad altri dispositivi non autorizzati?

Nota: ho provato a cercare risorse online, ad esempio come fare esattamente la rete di router virtuali, ma non sono riuscito a trovare informazioni sostanziali. Gradirei anche se qualcuno potesse indicarmi alcune risorse che potrebbero essere utili a me.

networking

— Tanmay Garg
fonte

41

Sì, l'utilizzo di un hotspot wireless può essere identificato mediante un sistema di prevenzione delle intrusioni wireless .

Lo scopo principale di un WIPS è impedire l'accesso alla rete non autorizzato alle reti locali e ad altre risorse informative tramite dispositivi wireless. Questi sistemi sono in genere implementati come sovrapposizione a un'infrastruttura LAN wireless esistente, sebbene possano essere implementati autonomamente per imporre politiche non wireless all'interno di un'organizzazione. Alcune infrastrutture wireless avanzate hanno funzionalità WIPS integrate.

— vembutech
fonte

17

Non lo sapranno tramite l'indirizzo MAC, ma saranno in grado di trovare il punto wifi non autorizzato. Nel mio ultimo lavoro abbiamo ottenuto una mappa di tutti i punti wifi, autorizzati e non autorizzati, precisi di solito in una stanza. Non abbiamo limitato le persone a un indirizzo MAC, il che è troppo limitante, non volevamo solo punti wifi non autorizzati. Gli studenti si lamenterebbero di alloggi, presidi, amministrazione e chiunque se provassimo a limitarli. Abbiamo scoperto che lo studente medio aveva 3-5 dispositivi sul nostro wifi nei dormitori e 2 per i non dormitori. (Telefono, tablet, laptop, xbox, playstation, ecc.)

— MikeP,

7

A seconda degli altri dispositivi che si desidera utilizzare, la soluzione potrebbe essere quella di collegare la connessione legittima dalla macchina a uno o più cavi di rete e collegarli a quelli. Quelli non sarebbero stati trovati a corto di un'ispezione fisica della stanza.

— SeldomNeedy,

2

Uno dei modi più semplici per rilevare la condivisione della connessione è l'esame dei valori TTL nei pacchetti IP, provenienti dal dispositivo. Esistono elenchi di valori TTL predefiniti per vari sistemi operativi e dispositivi. Se un sistema rileva un TTL di (default-1, ad esempio 127 quando 128 appare nell'elenco dei valori predefiniti e 127 no), può essere abbastanza sicuro che il pacchetto provenga da un dispositivo su una connessione condivisa. Alcuni provider di telefonia mobile 3G usano anche questo trucco.

— xmp125a,

3

WIPS è il rilevamento di QUALSIASI punto di accesso nel raggio radio. Un AP senza accesso alla rete (o qualsiasi rete) verrebbe rilevato altrettanto bene e farebbe impazzire l'amministratore.

— Agent_L

2

@ xmp125a Può fare in modo che il suo computer imposti lo stesso TTL su tutti i pacchetti in uscita, come l'utilizzo di iptables.

— v7d8dpo4,

38

Oltre a correre fisicamente e rilevare hotspot tramite il traffico WLAN ("warwalking"?), O forse usare il router esistente per rilevare in quel momento, i modelli di traffico possono anche essere un omaggio - il tuo hotspot ha una firma diversa rispetto al tuo dispositivo.

Invece di lavorare contro il tuo amministratore di sistema (che è una PITA per entrambe le parti), parla con lui. Non so perché abbiano la "regola MAC per studente", forse possono rilassarla un po '? Dì "due o tre MAC per studente". Non ci sono più problemi da amministrare.

Non so come il lato politico della rappresentazione studentesca funzioni nella tua università, ma spesso gli studenti possono esprimere i loro interessi in qualche modo. Sì, è più lento della semplice impostazione di un hotspot, ma anche più efficace.

— dirkt
fonte

3

I punti di accesso esistenti [non i router] hanno in effetti tali funzionalità di rilevamento - specialmente quelli forniti con un controller centrale, come UniFi, mostrano un elenco di tutti gli AP "non autorizzati" rilevati ovunque nell'edificio.

— Grawity,

3

Per quanto riguarda più MAC, forse non vogliono semplicemente il lavoro extra (dover aggiungere ogni indirizzo MAC di ogni studente alle whitelist dei router è sicuramente fastidioso). Forse alla fine capiranno che invece possono fare accessi con password.

— Grawity,

1

Ehi, grazie per la risposta! E bella idea, sicuramente contatterò il capo dell'associazione studentesca :) @grawity, bel suggerimento ne discuterò con l'amministratore :)

— Tanmay Garg

17

@grawity Ancora meglio, potrebbero diventare parte di qualcosa come eduroam in modo da avere un login con password che funziona anche in altre università in tutto il mondo.

— Bakuriu,

Il software wifi aziendale (Cisco ne fa uno) può fornire una mappa effettiva di tutti i dispositivi autorizzati e non autorizzati e delle loro posizioni. Facile da trovare.

— MikeP,

20

Lavoravo come assistente di amministratore di rete per un college. Sembra un problema di differenza generazionale o la rete della scuola non può gestire più di 1 dispositivo per ogni studente, membro del personale, ecc. Probabilmente ogni studente ha più dispositivi di quanto consentito dalla politica.

La risposta breve è SÌ in grado di rilevare accessi non autorizzati. NO, non farlo. Ho regolarmente revocato l'accesso per violazioni della rete (condivisione di file, software illegale, virus, pornografia nei laboratori informatici, ecc.). Molti di quegli studenti hanno dovuto lasciare la scuola, perché il college è piuttosto difficile senza accesso al computer. Gli studenti espongono la rete a rischio. Che cosa succede se il dispositivo non autorizzato di qualcuno ha superato un virus che ha cancellato la tua ricerca e tesi di dottorato? Se pensi che sia uno scherzo ora, provalo e vedi cosa succede.

Collabora con l'amministratore di rete, il governo studentesco, l'amministrazione, ecc. Per ottenere un accesso wireless aggiuntivo per "i tuoi altri dispositivi" che NON DEVONO essere sulla rete della scuola e / o nelle aree comuni (come il wifi gratuito nella maggior parte dei bar) ). Questo impedisce il caricamento sulla rete scolastica "reale" e ti dà comunque l'accesso a Internet che desideri.

— Jon Milliken
fonte

16

Sembra più una spinta alla responsabilità dello studente offrendo un servizio ISP deliberatamente paralizzato.

— Marzo Ho

10

Ogni starbucks sembra essere in grado di gestire qualsiasi "rischio" posto permettendo a qualsiasi dispositivo di connettersi alla rete bene, e un'università non può?

— Casuale 832,

20

L'università è essenzialmente un ISP. Considera semplicemente la rete come "ostile" o "non sicura". Non mescolare mai elementi di rete "sicuri" con sistemi di studenti, personale o dipendenti. È un mondo BYOD (s) a scuola e al lavoro.

— MikeP,

21

Che cosa succede se il dispositivo non autorizzato di qualcuno ha superato un virus che ha cancellato la tua ricerca e tesi di dottorato? Cosa succede se un dispositivo autorizzato ha fatto la stessa cosa? Semmai, i dispositivi mobili non autorizzati sono probabilmente un rischio inferiore per la rete rispetto ai computer autorizzati, in quanto sono generalmente meno suscettibili a virus / malware.

— duskwuff,

11

Che cosa succede se il dispositivo non autorizzato di qualcuno ha superato un virus che ha cancellato la tua ricerca e tesi di dottorato? <<< quindi sarebbe ok se fosse un computer autorizzato? in che modo la limitazione degli indirizzi MAC ha qualcosa a che fare con questo? Se la rete è vulnerabile agli attacchi, è responsabilità degli amministratori. Se un'azienda ha una politica BYOD, dovrebbe (dovrebbe) avere l'infrastruttura per gestire i dispositivi infetti, ecc. Non è un compito difficile (o costoso) creare una rete sicura per dispositivi non sicuri. - Rischiare la tesi di qualcuno in conseguenza di ciò sarebbe puramente incompetente.

— Michael B,

7

Posso pensare a una manciata di modi per rilevare questo tipo di comportamento in una rete. La restrizione non è eccezionale quando in realtà ciò che dovrebbero fare è limitare le connessioni per porta piuttosto che per mac, ma è la loro rete e le loro regole anche se crea un attacco denial of service facile (mirato) se dovessi falsificare qualcun altro Indirizzo MAC.

Prendendo https://networkengineering.stackexchange.com/questions/123/how-do-you-prevent-rogue-wireless-access-points-on-a-network come punto di partenza sembra abbastanza chiaro che qualsiasi infrastruttura wireless decente sarebbe essere in grado di rilevare hotspot canaglia (anche una scatola dd-wrt può fare un sondaggio wireless per vedere cos'altro c'è intorno).

Poiché gli amministratori controllano il traffico, gli strumenti IDS come Snort possono anche essere sfruttati e ti darebbero via abbastanza rapidamente se gli amministratori desiderassero trovare persone che non erano conformi. Alcuni protocolli non nascondono nemmeno che stanno funzionando tramite NAT ( RFC7239 ha intestazioni http come X-Forwarded-Forspecificamente per l'uso da proxy Web.) RFC2821 consiglia ai client SMTP di inviare un identificatore facoltativo sebbene non sia obbligatorio.

L'unico modo in cui potresti davvero nascondere qualcosa del genere è fare in modo che il dispositivo che si collega alla loro rete invii tutto a una VPN o un sistema come TOR, che di per sé susciterebbe un po 'di attenzione nella tua direzione.

Sebbene non siano esattamente nella stessa situazione in cui non sembrano avere le stesse restrizioni, il team di sicurezza dell'Università di Cambridge non vede bene l'uso della NAT nella loro rete come visto nella politica di Firewall e Network Address Translation e fornisce alcune informazioni sul loro ragionamento .

TL; DR - Se desideri utilizzare più dispositivi, devi esaminare il sistema e la rappresentazione degli studenti per affrontare i problemi che stai affrontando, perché se i tuoi amministratori vogliono catturarti, lo faranno.

— James Snell
fonte

1

+1 per il commento VPN! Sicuramente un modo semplice per nascondere tutto il traffico. Dubito che attirerebbe l'attenzione ... dì all'amministratore che è per lavoro o qualcosa del genere. vale a dire. ti stai collegando a una VPN di lavoro e non ti è permesso divulgare informazioni diverse da quelle. lol

— maplemale

@maplemale - Sospetto molto che qualsiasi amministratore di sistema che si preoccupi del numero di indirizzi mac in uso sia assolutamente interessato a trovare il traffico tor / vpn.

— James Snell,

Non capisco come si potrebbe nemmeno sapere se è in uso una VPN privata? Vedo come è possibile rilevare e bloccare una VPN pubblica tramite un elenco noto di IP. Ma, a meno che l'amministratore di sistema non stia cercando il protocollo identificato a livello di pacchetto (è improbabile che abbia un sofisticato firewall), come si può dire che si sta anche utilizzando una VPN? E in secondo luogo, perché dovrebbero interessarsene? Sembra probabile che le VPN vengano utilizzate su tutta la rete dallo staff e dagli studenti regolarmente per motivi legittimi. Tentare di bloccare il traffico VPN sembra una pendenza scivolosa. Ad esempio, quanti studenti stai impedendo di avere lavori secondari?

— Maplemale,

@maplemale - Potrei sorprendere qualcuno che lo fa sulla mia rete e non è così avanzato. Il resto sembra una buona domanda per te cercare qui e chiedere se non riesci a trovare la risposta. Personalmente, se fossi un amministratore lì, avrei qualcosa da dire su qualcuno che fa un buco nel mio firewall a chi sa solo dove; specialmente in un'università dato l'interesse degli hacker sponsorizzati dallo stato ad attaccare le strutture di ricerca. Almeno vorrei avere una 'chat' abbastanza approfondita su ciò che sta accadendo, dopo aver disconnesso te ...

— James Snell,

Se è "non così avanzato", perché non spiegare? "Il resto" era più un'affermazione che una domanda.

— Maplemale,

5

La mia rete utilizza un sistema con rilevatori distanziati tra gli edifici e, se viene visualizzato un SSID non autorizzato, triangolerà effettivamente la posizione del dispositivo. Il sistema non è economico, ma buon Dio, probabilmente è più conveniente a lungo termine se sommi il tempo speso a gestire manualmente gli indirizzi MAC; quello deve essere un incubo amministrativo. Di tutti i modi per bloccare un sistema, non riesco davvero a pensare a un modo peggiore di farlo.

Come altri hanno già detto, lavora con gli amministratori, non cercare di batterli. Con la tecnologia disponibile al giorno d'oggi, non hai nemmeno bisogno di un buon amministratore di rete per catturarti. Prova a cambiare i criteri, vedi se sono consentite eccezioni, ecc. Alla fine starai meglio.

— DroolTwist
fonte

E se nascondi il SSID? Inoltre, la scansione SSID non è fattibile, poiché potrebbe anche essere un router 4G o un telefono impostato su tethering, non necessariamente connesso alla rete locale.

— TJJ

Quindi, se un utente attiva il tethering sul suo telefono o acquista un router 4G, verrà visualizzato ...

— TJJ

3

Come altri hanno già detto, è possibile per gli amministratori rilevare hotspot wireless non autorizzati. Ma è anche possibile rilevare dispositivi non autorizzati attraverso un'ispezione approfondita dei pacchetti. Le società di telefonia mobile possono utilizzare l'ispezione approfondita dei pacchetti per rilevare il tethering non autorizzato. Puoi leggerlo su https://android.stackexchange.com/questions/47819/how-can-phone-companies-detect-tethering-incl-wifi-hotspot . Se i pacchetti generati da Windows e i pacchetti generati da Linux provengono entrambi dal tuo indirizzo MAC contemporaneamente, è probabile che sia collegato più di un dispositivo.

D'altra parte, l'ispezione approfondita dei pacchetti è costosa e gli amministratori potrebbero non disporre del budget per implementarla. O potrebbero semplicemente non essere disposti a raggiungere quel livello di sforzo per catturare gli imbroglioni. Ma non lo sai per certo. Probabilmente è meglio parlare con gli amministratori e vedere se riesci a capire qualcosa.

— Jonathan
fonte

1

Come detto sopra, la risposta è sì. Un hotspot WiFi (un AP) è molto visibile. Ad esempio un hotspot invia un radiofaro periodico con l'indirizzo MAC. Ispezione dei pacchetti (intestazioni TCP, TTL), ispezione dei tempi / latenza, come il nodo risponde alla perdita dei pacchetti, quali siti visita (aggiornamento di Windows o PlayStore), le intestazioni HTTP generate dai browser possono puntare a utilizzare un software di routing e più dispositivi . I sistemi non sono economici, ma esistono.

Le tue opzioni sono:

Utilizza soluzioni non wireless e prega che l'ispezione dei pacchetti Deep non sia disponibile per il tuo amministratore e che non stia eseguendo un semplice script che controlla i siti di aggiornamento del software visitati.
Ridurre la potenza di trasmissione su tutti i dispositivi al minimo assoluto
Assicurarsi di non utilizzare browser / pacchetti software specifici del dispositivo. Ad esempio, lo stesso MAC non utilizzerà IE e Android WebBrowser.

— Larytet
fonte