MAB (MAC Authentication Bypass)

Significa: MAC Authentication Bypass: 802.1X's fallback that authenticates a device by its MAC address

MAC Authentication Bypass: a contingência do 802.1X em que um switch, não encontrando suplicante numa porta, submete o endereço MAC do dispositivo ao servidor RADIUS como identidade, para que impressoras, telefones e outras coisas que não sabem se autenticar sejam admitidas por uma lista.

O guia de configuração da Cisco descreve o MAB como um mecanismo de autenticação baseado em endereço MAC para plataformas sem suplicante ou fora do controle administrativo, e nomeia os dispositivos: caixas registradoras, aparelhos de fax, impressoras. O mecanismo é um pedido RADIUS montado pelo switch: o MAB gera um pedido RADIUS com um endereço MAC no Calling-Station-Id (atributo 31) e um Service-Type (atributo 6) com o valor 10, o Call Check da lista da RFC 2865, o valor que diz ao servidor para decidir pelo identificador da estação e não por um usuário. A descrição da sequência na enciclopédia é a que os engenheiros reconhecem: a porta primeiro tenta o 802.1X e, se nada responde, autentica com o endereço MAC como nome de usuário e senha. O guia também registra que, antes de existir suporte a MAB autônomo, o MAB só podia ser configurado como método de contingência para a autenticação 802.1X, e que o MAB autônomo funciona só em portas comutadas. A fraqueza é a credencial: um endereço MAC está impresso no dispositivo e visível no fio, então o MAB admite qualquer coisa que forje um endereço permitido, e é por isso que a autorização devolvida deveria ser uma VLAN ou um filtro restritos e por isso o profiling, conferir se o dispositivo se comporta como a impressora que diz ser, cresceu em volta dele.

Toda implantação de 802.1X encontra a mesma parede em uma semana: os dispositivos que não conseguem rodar um suplicante. Impressoras, telefones IP anteriores ao padrão, câmeras, leitores de crachá, controladores prediais, instrumentos de laboratório e a longa cauda dos equipamentos embarcados não têm como responder a um EAP-Request Identity, e uma porta que insiste em um simplesmente nunca abre. O MAC Authentication Bypass é a contingência em que a indústria se acomodou. O guia de configuração do IOS da Cisco, Configuring MAC Authentication Bypass, o descreve como um mecanismo de autenticação baseado em endereço MAC que permite a clientes de uma rede integrar-se à estratégia de Identity Based Networking Services (IBNS) e de Network Admission Control (NAC) da Cisco usando o endereço MAC do cliente, voltado a plataformas sem suplicante ou fora do controle administrativo, e nomeia os exemplos que toda rede tem: caixas registradoras, aparelhos de fax, impressoras.

O mecanismo é simples e fica inteiramente no switch. Quando o 802.1X numa porta expira sem que um suplicante responda, o switch toma o endereço MAC de origem do primeiro frame que vê e monta um Access-Request do RADIUS em torno dele. O guia especifica a forma: o MAB gera um pedido RADIUS com um endereço MAC no Calling-Station-Id (atributo 31) e um Service-Type (atributo 6) com o valor 10. A RFC 3580 fixa o formato do Calling-Station-Id para o 802.1X como o MAC em hexadecimal maiúsculo com hífens entre os octetos, e o Service-Type 10 é o Call Check, que a RFC 2865 define como o NAS pedindo ao servidor que aceite ou rejeite uma chamada tipicamente com base nos atributos Called-Station-Id ou Calling-Station-Id, de modo que o servidor sabe consultar uma lista de endereços e não um diretório de usuários. O artigo da enciclopédia sobre o 802.1X descreve a sequência do mesmo jeito: a porta primeiro verifica o 802.1X e, não o encontrando, autentica com o endereço MAC do dispositivo como nome de usuário e senha. O guia acrescenta um dado histórico, que antes de existir suporte a MAB autônomo o MAB só podia ser configurado como método de contingência para a autenticação 802.1X, e que o MAB autônomo é suportado só em portas comutadas; a configuração usual hoje é uma ordem, 802.1X primeiro, MAB em seguida e autenticação web por último.

A fraqueza é a credencial. Um endereço MAC não é segredo: está impresso numa etiqueta, visível a qualquer um no mesmo segmento e trivialmente alterável na maioria dos sistemas operacionais. O MAB admite, portanto, qualquer coisa que apresente um endereço permitido, e um atacante que desliga uma impressora e clona seu MAC herda o que quer que a impressora estivesse autorizada a fazer. As mitigações são de autorização e não de autenticação: o servidor RADIUS devolve uma VLAN restrita ou um filtro baixável para sessões MAB, de modo que um endereço de impressora clonado alcança o servidor de impressão e nada mais; e o profiling, em que o motor de política observa o tráfego do dispositivo, suas opções de DHCP, suas strings de navegador e seus protocolos, e retira a sessão, com um Change of Authorization do RADIUS, quando a coisa que diz ser uma impressora começa a se comportar como um notebook. O verbete RADIUS CoA descreve esse mecanismo.

Operacionalmente o MAB é um problema de banco de dados. Alguém tem de manter a lista de endereços permitidos, com dono e finalidade para cada um, e a lista apodrece conforme dispositivos são trocados; a maioria das implantações a alimenta a partir de um sistema de descoberta ou de ativos em vez de à mão, e a pergunta de auditoria não é se o MAB está ligado, e sim quem pode acrescentar à lista e como uma entrada é aposentada. Os registros de contabilização que as sessões MAB geram, Start e Stop com o Calling-Station-Id, são a trilha que mostra em que porta um dado dispositivo estava e quando, o que é útil muito além da segurança.

A regra de projeto que decorre é tratar o MAB como política de admissão de coisas, com a menor autorização que deixe cada tipo de coisa funcionar, e não como autenticação. Onde um dispositivo pode portar um certificado, o EAP-TLS o substitui; onde não pode, MAB mais autorização restrita mais profiling é o estado da arte, e o verbete de autenticação web cobre a terceira contingência, para os dispositivos que têm navegador mas não têm suplicante.

Também conhecido como: mac authentication bypass, mac auth, mac-based authentication, mac bypass

Fontes

← Todos os verbetes do glossário