Аналитика от бога. Сначала сообщаем что все бред, после рассказываем «свой» бред.
Особенно порадовала проблема с левыми DHCP при включенном QinQ (поскольку иначе на дом vlan не напастись), вот это квалификация! Мы включили QinQ но забыли про DHCP snooping. Брава коллега, снимаю шляпу.
Повторюсь еще раз статья не о том какие плохие провайдеры. Статья о 87% которые ни сном не духом и о том что дырка 20 лет как стоит по умолчанию.
Ну скажем при PPPoE нам менять IP адрес и вовсе не нужно, нас найдет дисковери.
Я согласен с вами, да и писал это ранее, у провайдера есть инструменты для минимизации вероятных атак, это проблема клиента.
Но суть не в том. Сам факт использования PAP это дырка величиной в 20 лет.
Не встречал провайдеров с L3 коммутаторами доступа!
Стандартные решения L2+ не позволят войти на сам коммутатор, но явно ACL помешать присвоить чужой IP им не под силу.
Конечно у провайдера есть механизмы по борьбе с этой болячкой. IP Source Guard + DHCP snooping +… + но на практике все не так просто.
Нет, фактически при самом становлении PPPoE или PPTP соединения идет процесс аутентификации.
Скажем для PPPoE описанный еще в 1994г в RFC 1661 (3.2 по диаграмме все будет ясно). Самый слабым при этом — PAP.
Вы рассматриваете проблему со стороны провайдера, а я бы расценивал ее больше со стороны клиента.
mac переписать не проблема, видимо речь идет о Port security и его обойти тоже не проблема;
QinQ далеко не панацея, тем самым они лишь сузили сектор атаки;
учетные данные в ЛК, я надеюсь что мой провайдер скорее исключение.
Проблема заключается в самом использовании устаревшего протокола пользователем. На вашем примере мой мозг рождает следующее — MITM-атака за 2 минуты с целью ну скажем промышленного шпионажа.
разрываем L2;
устанавливаем оборудование;
востанавливаем L2;
поднимаем PPPoE узнаем login/password;
авторизуем пользователя у себя и выкидываем на улицу.
В итоге получаем полный контроль внешнего трафика, сама жертва за 2 минуты даже трубку не поднимет позвонить провайдеру с целью уточнения причин разрыва. Поскольку маршрутизатору безразлично куда он подключился схема может без лишнего внимания проработать очень долго. При этом я не утверждаю что тоже самое невозможно скажем с CHAP, но с PAP работа упрощается стократно.
Особенно порадовала проблема с левыми DHCP при включенном QinQ (поскольку иначе на дом vlan не напастись), вот это квалификация! Мы включили QinQ но забыли про DHCP snooping. Брава коллега, снимаю шляпу.
Повторюсь еще раз статья не о том какие плохие провайдеры. Статья о 87% которые ни сном не духом и о том что дырка 20 лет как стоит по умолчанию.
Спасибо.
Я согласен с вами, да и писал это ранее, у провайдера есть инструменты для минимизации вероятных атак, это проблема клиента.
Но суть не в том. Сам факт использования PAP это дырка величиной в 20 лет.
Стандартные решения L2+ не позволят войти на сам коммутатор, но явно ACL помешать присвоить чужой IP им не под силу.
Конечно у провайдера есть механизмы по борьбе с этой болячкой. IP Source Guard + DHCP snooping +… + но на практике все не так просто.
Скажем для PPPoE описанный еще в 1994г в RFC 1661 (3.2 по диаграмме все будет ясно). Самый слабым при этом — PAP.
Проблема заключается в самом использовании устаревшего протокола пользователем. На вашем примере мой мозг рождает следующее — MITM-атака за 2 минуты с целью ну скажем промышленного шпионажа.
В итоге получаем полный контроль внешнего трафика, сама жертва за 2 минуты даже трубку не поднимет позвонить провайдеру с целью уточнения причин разрыва. Поскольку маршрутизатору безразлично куда он подключился схема может без лишнего внимания проработать очень долго. При этом я не утверждаю что тоже самое невозможно скажем с CHAP, но с PAP работа упрощается стократно.