Certificado SSL no hotspot

NOVO TUTORIAL NA 5ª Página, FUNCIONAL
NOVO TUTORIAL NA 5ª PÁGINA EM WINDOWS

Blza Mans

Na minha busca para amenizar a insegurança do hotspot sem que eu colocase uma criptografia tipo wpa2 no meu hotspot, sai em busca dos certificado ssl para ao menos parar com a clonagem de MAC + IP(Problema de muitos), consegui um pequeno tutorial de autoria de Vladimir Aleskey.
Como não encontrei a versão citada no tutorial encontrei outra versão que para minha felicidade fundiona muito bem.

Segue os links
Gerador de Certificado SSL
4shared.com - online file sharing and storage - download Win32OpenSSL-0_9_7m.exe

Tutorial
4shared.com - document sharing - download Seguran%C3%A7a%20em%20HOTSPOT%20MIKROTIK%20com%20certificado%20SSL[1].pdf

Flw Galera tenham um ótimo Domingo

bruno

Parabens amigo pelo post....vai ajudar muito....

So me diz uma coisa.....como eh feita a instalacao do certificado no cliente??
assim que ele logar ou eh preciso fazer de outra forma???

vlwww

Pequeno erro

Blza

Não Precisa instalar nos clientes não, no caso ele irá criptografar a senha do usuário, fazendo isto evita q um carona use a mesma conexão q o seu cliente.

AteNÇão. O certificado esta com um erro vou verificar o que é.
Mas se puderem testem também.
abraços

Citação:

Postado originalmente por caicarabruno

Blza Mans

Na minha busca para amenizar a insegurança do hotspot sem que eu colocase uma criptografia tipo wpa2 no meu hotspot, sai em busca dos certificado ssl para ao menos parar com a clonagem de MAC + IP(Problema de muitos), consegui um pequeno tutorial de autoria de Vladimir Aleskey.
Como não encontrei a versão citada no tutorial encontrei outra versão que para minha felicidade fundiona muito bem.

Segue os links
Gerador de Certificado SSL
4shared.com - online file sharing and storage - download Win32OpenSSL-0_9_7m.exe

Tutorial
4shared.com - document sharing - download Seguran%C3%A7a%20em%20HOTSPOT%20MIKROTIK%20com%20certificado%20SSL[1].pdf

Flw Galera tenham um ótimo Domingo

bruno

Fico feliz por ter dado tudo certo amigo. segue o post com as dicas e comentarios aqui no under!

Segurança em hotspot com certificado SSL

Citação:

Postado originalmente por caicarabruno

Blza Mans

Na minha busca para amenizar a insegurança do hotspot sem que eu colocase uma criptografia tipo wpa2 no meu hotspot, sai em busca dos certificado ssl para ao menos parar com a clonagem de MAC + IP(Problema de muitos), consegui um pequeno tutorial de autoria de Vladimir Aleskey.
Como não encontrei a versão citada no tutorial encontrei outra versão que para minha felicidade fundiona muito bem.

Segue os links
Gerador de Certificado SSL
4shared.com - online file sharing and storage - download Win32OpenSSL-0_9_7m.exe

Tutorial
4shared.com - document sharing - download Seguran%C3%A7a%20em%20HOTSPOT%20MIKROTIK%20com%20certificado%20SSL[1].pdf

Flw Galera tenham um ótimo Domingo

bruno

Caro colega, obrigado pela colaboração com o forum, agora pegando carona em sua excelente assinatura:

"O Conhecimento é como um circulo, tudo que se pega deve devolver" : )

Poderia explicar para nós como usar um certificado WEB SSL usado para evitar a captura de usuário e senha, pode evitar a clonagem de MAC?

Criptografia

Em foruns, gringos e claro brasileiros e wiki da própria mikrotik, pude entender que usando SSL Web no caso dos que usam hotspot, mesmo um terceiro clonando o MAC do usuário ele não conseguirá navegar, pois a senha estará criptografada pelo ssl.
Mesma formulinha que os bancos e lojas on-line utilizam HTTPS, pora autenticarem seus usuários, sendo assim torna-se uma navegação mais segura para os usuário e claro elimina a chance de um carona na conexão

Obs.: se eu estier errado corrijam-me

flw abraços

Uma Duvida.

Com o certificado de segurança SSL, ele protege o login do cliente, não deixando outra pessoa logar com a senha do cliente.

Mas depois do cliente logado um clone vai navegar normalmente?

Citação:

Postado originalmente por humbertoxxt

Com o certificado de segurança SSL, ele protege o login do cliente, não deixando outra pessoa logar com a senha do cliente.

Mas depois do cliente logado um clone vai navegar normalmente?

O certificado cria uma conexao segura no ato da autenticação do cliente, criptografando "senha" e "login". Sendo assim o "sniffer" nao vai capturar esses dados.

após a clonagem do MAC e IP o mikrotik vai reconhecer mais uma conexao com o mesmo login e vai pedir "login" e "senha".

Neste caso, usando o hotspot com apenas 1 endereço por MAC e autenticacao por HTTPS e protegendo a senha do cliente com criptografia, será praticamente impossível o clone capturar a senha e login.

cliente:

MAC: 1 por cliente
XXXXXXXXXXXX

IP:
10.10.10.13

autenticacao: HTTPS
loginxsenha

--------------------------------------------------------------------------------------------

clone:

MAC:
XXXXXXXXXXXX
IP:
10.10.10.13

Autenticação:
?

-------------------------------------------------------------------------------------------

em outras palavras, ele vai clonar mais nao vai navegar!

excessão:

o clone vai navegar somente se o cliente fornecer a senha e login, mesmo assim será apenas 1 por vez, ou navega o clone ou navega o cliente.

amigo ainda esta tendo problemas com este certificado??? vlwww

Amigo só uma duvida.....após eu ter executado o openssl.exe ele fica na tela esperando executar algum comando.....eu devo adicionar estes comandos?

SERVIDOR=(meu provedor)
CHAVE=xxx.key
CERTIFICADO=xxxxx
DIAS VALIDOS=1095
genrsa -des3 -out novanet.key1024
req -new -x509 -days 1095 -key novanet.key -out novanet

Pois tentei e deu comando invalido....vlwww

Citação:

Postado originalmente por gustavinho69

Amigo só uma duvida.....após eu ter executado o openssl.exe ele fica na tela esperando executar algum comando.....eu devo adicionar estes comandos?

SERVIDOR=(meu provedor)
CHAVE=xxx.key
CERTIFICADO=xxxxx
DIAS VALIDOS=1095
genrsa -des3 -out novanet.key1024
req -new -x509 -days 1095 -key novanet.key -out novanet

Pois tentei e deu comando invalido....vlwww

genrsa -des3 -out seudnsname.key 1024
req -new -x509 -days 1095 -key seudnsname.key -out seudnsname

Maravilha amigo...agora sim consegui fazer funfa aqui.....

Só uma coisa...ele da uma atrasada pra abrir a pagina de login, mais antes ele fala que tem um problema com o certificado e da opção para o usuario continuar ou fechar....se continuar...cai na tela de login....

Isso seria normal?

Comandos

Citação:

SERVIDOR=(meu provedor)
CHAVE=xxx.key
CERTIFICADO=xxxxx
DIAS VALIDOS=1095
genrsa -des3 -out novanet.key1024
req -new -x509 -days 1095 -key novanet.key -out novanet

No terminal vai ficar da seguinte forma

1º - openssl > genrsa -des3 -out suachave.key 1024 <TECLE ENTER>
Digite uma senha e a confirme logo em seguida.

2º - openssl > req -new -x509 -days 1095 -key suachave.key -out certificado.pem <TECLE ENTER>
Digite a mesma senha anteriormente

3º - Após ter feito isso Copie os arquivos gerados para dentro do diretório principal do MIKROTIK
no menu winbox - FILE - clique na pastinha

4º - va em NEW TERMINAL

[Usuario@mikrotik] > certificates <TECLE ENTER>
[Usuario@mikrotik] / certificates > import <TECLE ENTER >
[Usuario@mikrotik] / certificates > print <TECLE ENTER>

neste momento vai aparecer seu certificado importado. porém como seeu certificado não é nativo do browser ou de alguma empresa que trabalha na área vai dar erro, porém após ser aceito a primeira vez, sempre será aceito.
Ainda estou em minhas pesquisas para solucionar este incoveniente mas logo estarei com a resposta se não tiver nenhum impessilio aqui na empresa.

flw
Abraços

Maravilha amigo...tinha conseguido fazer funfar, mais foi muito bom descrever o passo a passo...vai ajudar a explicar melhor pro pessoal.

Então, aqui pelo menos tive que clicar em continuar nessa pagina....

Se pelo menos tivesse a opção de instalar o certificado neh!!!!.....mais vlwww vamo ve se da pra arrumar isso...ae fica maravilha.

flww

nova Forma

Boa NOite.

Então Gustavinho na madrugada fiquei pesquisando mais afundo e descobri outras formas, porém alguns comandos não estão dando certo.:proud:

Mas estou estudando um pouco mais os comando para que eu possa disponibilizar para o pessoal.

já posso dizer que consegui gerar um certificado que pode ser instalado no cliente apenas clicando em cima dele, porém não queremos isto num é verdade !? Pois seria uma frustação ir de cliente em cliente para instalar um certificado. :dong:

O Openssl tem uma série de comandos e extenções, estou estudando a finco este comandos para que possa fazer o melhor.

os certificados são duas chaves a privada, pública

e tem mais um arquivo que precisa ser gerado para que a privada assine a pública como se fosse um documento
porem uns comando estão dando erro, conseguindo resolver este erro o certificado se instala sem a necessidade de clicar em nada. Amanhã tento trabalhar no linux pois é um sistema mais robusto e também tem a ferramenta ssltools.

Abraços

Flw

abraços

pow show de bola bruno....tomara que de certo cara.....se for o caso de ter que instalar no cliente, podemos ver possibilidade de disponibilizar pro cliente fazer o download direto da pagina de login, hospedando no MK mesmo.....

Bom precisando tamo ae... abraçãooo

pessoal aqui eu nao estou conseguindo fufa, no 1 comando vai mas na 2 nao vai, o opssl dar um erro de req. error in req, o qui pode ser pessoal, ja estou querendo fazer isso ja faz ums 3 meses mas ainda nada. desde ja obrigado.

Citação:

Postado originalmente por edilmoura

pessoal aqui eu nao estou conseguindo fufa, no 1 comando vai mas na 2 nao vai, o opssl dar um erro de req. error in req, o qui pode ser pessoal, ja estou querendo fazer isso ja faz ums 3 meses mas ainda nada. desde ja obrigado.

Coloquei aqui os comandos que vc está digitando.

pos bem eu coloquei exadamente os comandos qui vc disse mas eu nao sei o qui eu estou fazendo de errado, obrigado.

Esperem mais um pouco

Blza Galera

Esta semana provavelmente estarei com a solução para nossos problemas com ssl

a questão do certificado não ser aceito pelo browser é que ela não é assinada por uma CA autorizada, ex.: verisgn, Comodo... entre outras.

As nossas sao auto assinadas ou ao menos deverião ser, no tutorial do Aleksei ele nos deu uma boa idéia de como começar os sertificados e claro nos explicou sobre as chaves.

Só para relembrar

Citação:

Chave Proprietária - Fica no servidor ou seja no hotspot, com extenção .pem
Chave pública - é aquela quie é instalada no cliente, com extenção .crt

Porém faltou uma coisa importante. A chave pública tem de ser assinada pela chave proprietária ou seja a fechadura tende reconhecer aquela chave se não não abre.

O que estavamos tentando fazer era abrir a fechadura com um clips.
Mas pelo fato de ser autoassinada e não somos uma empresa reconhecida va dar aquele erro ainda porém teremos a certeza de que estará funcionando.

Estou em laboratório testando uns comandos, pois faço os dois certificados ( púnlico e privado ) porém não estou conseguindo fazer um assinar o outro.

mas até domingo tenho uma resposta.

abraço:ciao:

Poww maravilha cara...tomara que voce consiga, qualquer coisa tamo aee....flww

Finalmente hehe

Blza MANS

depois de muita pesquisa muito copo de café, água, bolacha e trakinas, terminei
porém como eu temia os certificados auto assinado (Self Signature) não é reconhecido pelos browsers por pura politicagem e claro segurança , somente empresas autorizadas ex> COMODO, RapidSSL entre outras, mas agora que consegui assinar o certificado podemos botar para funcionar com tranquilidade, pois será tão efetivo quanto os assinados pelas enpresas autorizadas.

segue em anexo o tutorial em .doc, só não coloquei imagens pois fiz com um pouco de pressa.
caso alguém queira tirar prints dos passos, me passe para o e-mail q esta no tutorial para que eu possa atualiza-lo.

4shared.com - document sharing - download Certificados SSL no Linux para mikrotik.doc

AGORA O TUTORIAL EM WINDOWS

http://www.4shared.com/file/93255857...INDOWS_XP.html
boa sorte e um ótimo domingo.

Parabens Cara....vou testar por aqui e volto a postar....vlwww mesmooo....t+++

Bruno fiz tudo aqui cara....só pra finalizar....é preciso remover o anterior que estava no sistema???

Se sim...tem algum método que deve seguir pra remover ou só deletar mesmo do diretorio????
vlww

blza Gustavinho.

Sim, cara tem de remover, basta vc deletar os arquivos na pasta FILES do mikrotik, onde ficam os arquivos do hotspot.

OBS. Lembrando q sempre tem de fazer um baskup toda vez que for fazer uma modificação.

flw

Maravilhaaa vou fazer isso entao e posto aqui os resultados...vlw mesmo cara...boa sorte ae...abração

Mto bom tópico !!

Segurança é sempre essencial !!

Citação:

Postado originalmente por caicarabruno

NOVO TUTORIAL NA 5ª Página, FUNCIONAL
NOVO TUTORIAL NA 5ª PÁGINA EM WINDOWS

Blza Mans

Na minha busca para amenizar a insegurança do hotspot sem que eu colocase uma criptografia tipo wpa2 no meu hotspot, sai em busca dos certificado ssl para ao menos parar com a clonagem de MAC + IP(Problema de muitos), consegui um pequeno tutorial de autoria de Vladimir Aleskey.
Como não encontrei a versão citada no tutorial encontrei outra versão que para minha felicidade fundiona muito bem.

Segue os links
Gerador de Certificado SSL
4shared.com - online file sharing and storage - download Win32OpenSSL-0_9_7m.exe

Tutorial
4shared.com - document sharing - download Seguran%C3%A7a%20em%20HOTSPOT%20MIKROTIK%20com%20certificado%20SSL[1].pdf

Flw Galera tenham um ótimo Domingo

bruno

Amigo estou penando nos comandos, não sei bulufas de comandos em dos e afins, mas espero conseguir, ah tem nova versão do openssl para download no baixaki Win32 OpenSSL download

Citação:

Postado originalmente por caicarabruno

Blza MANS

depois de muita pesquisa muito copo de café, água, bolacha e trakinas, terminei
porém como eu temia os certificados auto assinado (Self Signature) não é reconhecido pelos browsers por pura politicagem e claro segurança , somente empresas autorizadas ex> COMODO, RapidSSL entre outras, mas agora que consegui assinar o certificado podemos botar para funcionar com tranquilidade, pois será tão efetivo quanto os assinados pelas enpresas autorizadas.

segue em anexo o tutorial em .doc, só não coloquei imagens pois fiz com um pouco de pressa.
caso alguém queira tirar prints dos passos, me passe para o e-mail q esta no tutorial para que eu possa atualiza-lo.

4shared.com - document sharing - download Certificados SSL no Linux para mikrotik.doc

AGORA O TUTORIAL EM WINDOWS

4shared.com - online file sharing and storage - download GERANDO CERTIFICADO SSL COM O WINDOWS XP.docx
boa sorte e um ótimo domingo.

Parabens, sem comentarios...

Consegui fazer os arquivos lendo também outros materiais na net, mas estava pensando um pouco, me lembro que quando estava ativando o hotspot, o tutorial dizia que era melhor usar a opção "HTTP CHAP", pois com isso dificultaria a ação de sniffer de senhas.
Será que somente a opçao de http chap não seria sufuciente ?

SIM e NÃO

Citação:

Postado originalmente por jardelalmeida

Consegui fazer os arquivos lendo também outros materiais na net, mas estava pensando um pouco, me lembro que quando estava ativando o hotspot, o tutorial dizia que era melhor usar a opção "HTTP CHAP", pois com isso dificultaria a ação de sniffer de senhas.
Será que somente a opçao de http chap não seria sufuciente ?

Melhorando a resposta.

o CHAP quando se utiliza o hotspot ela ja vem ativado por padrão pois ele utiliza criptografia baseado no MD5, que é discriptografado por java no browser do cliente, sendo assim ela passa em criptografia junto com os dados, e por isso um Snifer não consegue ver a senha porém se ele Clonar IPxMAC ele nem precisa saber da senah pois o browser fará isto por ele.
Usando HTTPS (SSL) por mais que a chave seja igual a todos é gerado um hash qeu é diferente a todos, portanto se um Snifer clonar MACxIP o browser dele irá gerar um hash diferente do cliente, então ele não conseguirá navegar, por falta de autenticação.
-------------------------------------------------------------------
Ex. Sem SSL, hotspot no padrão
cliente
Mac x Ip

Autenticação
Login X Senha

Snifer
Mac x Ip

Autenticação
Login X Senha

Com SSL em HTTPS

cliente
Mac x Ip

Autenticação
Login X ???????
????? X ??????
-----------------------------------------------------------------------
Mas o que muitas vezes acontece é que o cliente passa login e senha para um segundo usuário, ai não tem como, nem com ssl.
Ai para este problema temso a solução de Criptografia Wpa2 EAP TLS que usa ssl.
E também 1 Wpa2 por usuário gerada dinâmicamente utilçizando radius Maravilhoso(Coisa de biba).

flw amigo

Já que o assunto é segurança, alguem poderia comnetar sobre o hostcert HostCERT - A Solução efetiva contra o uso não autorizado da infraestrutura de rede..

Este sistema é mesmo garantido, o investimento não é alto, porem precisa-se saber se é eficaz.

Abraço.

Citação:

Postado originalmente por jardelalmeida

Amigo estou penando nos comandos, não sei bulufas de comandos em dos e afins, mas espero conseguir, ah tem nova versão do openssl para download no baixaki Win32 OpenSSL download

Amigo, me passe os passos no qual você não esta conseguindo para que eu posssa lhe ajudar, pois no começo para entender os comando também penei.
Porém utilize os Tutoriais da PÁGINA 5, pois aqueles tutoriais são os finais. La tem tudo explicado passo a passo com imagens é exemplos que utilizei no meu laboratório.

Abraços

Interessante

Citação:

Postado originalmente por gladstony

Já que o assunto é segurança, alguem poderia comnetar sobre o hostcert HostCERT - A Solução efetiva contra o uso não autorizado da infraestrutura de rede..

Este sistema é mesmo garantido, o investimento não é alto, porem precisa-se saber se é eficaz.

Abraço.

Olha ja li sobre o hostcert quando o lauro postou no forum.
Não conheço, pois nunca utilizei, mas a criptografia que ele utiliza é o x509 o mesmo utilizado no tutorial, porém a diferença é que tem de ter um programa instalado no servidor e depois "instalar" outro no cliente.
É uam opção de segurança sim, mas quem pode lhe explicar melhor sobre o Hostcert é o Próprio Lauro.

Abraços

Citação:

Postado originalmente por caicarabruno

Amigo, me passe os passos no qual você não esta conseguindo para que eu posssa lhe ajudar, pois no começo para entender os comando também penei.
Porém utilize os Tutoriais da PÁGINA 5, pois aqueles tutoriais são os finais. La tem tudo explicado passo a passo com imagens é exemplos que utilizei no meu laboratório.

Abraços

Amigo eu finalmente consegui gerar os arquivos, mas desisti de usá-los aquela mensagem de erro de certificado, assustou muita gente acho que vou esperar mais e para ver se vale a pena pagar por uma empresa certificadora.

HEHE

Citação:

Postado originalmente por jardelalmeida

Amigo eu finalmente consegui gerar os arquivos, mas desisti de usá-los aquela mensagem de erro de certificado, assustou muita gente acho que vou esperar mais e para ver se vale a pena pagar por uma empresa certificadora.

Bom aqui o pessoal também ficou meio assustado porém, deixei um aviso no hotspot ante sde colocar em produção, foi tranquilo só tive usn 10 chamados referente a isto.

mas tem sim algumas CAs bem em conta.
no-ip com valores baixissimos e também com garantia e se o seu certificado for burlado eles lhe pagam uma graninha ($50000,00), No-IP - Dynamic DNS, Static DNS for Your Dynamic IP

a COMODO com o instantssl que é gratuito por 3 meses depois pode ser renovado, porém vc deve ter uma domínio válido. SSL Certificates Comodo Free SSL Digital Server Certificate Authority

no meu caso utilizei o do tutorial, mas agora estou pegando com o pessoal do no-ip, atenciosos.
não tive mais problemas com caronas nas conexões inclusive eu testei ao maximo todas as possibilidades.

meu hotspot é secureht.meudomio.com.br.

no problemas e muito qualidade para os usuários

abraços

Citação:

Postado originalmente por caicarabruno

Bom aqui o pessoal também ficou meio assustado porém, deixei um aviso no hotspot ante sde colocar em produção, foi tranquilo só tive usn 10 chamados referente a isto.

mas tem sim algumas CAs bem em conta.
no-ip com valores baixissimos e também com garantia e se o seu certificado for burlado eles lhe pagam uma graninha ($50000,00), No-IP - Dynamic DNS, Static DNS for Your Dynamic IP

a COMODO com o instantssl que é gratuito por 3 meses depois pode ser renovado, porém vc deve ter uma domínio válido. SSL Certificates Comodo Free SSL Digital Server Certificate Authority

no meu caso utilizei o do tutorial, mas agora estou pegando com o pessoal do no-ip, atenciosos.
não tive mais problemas com caronas nas conexões inclusive eu testei ao maximo todas as possibilidades.

meu hotspot é secureht.meudomio.com.br.

no problemas e muito qualidade para os usuários

abraços

Bom dia, caicarabruno

olha so, se pesquisar vera que to doido pra arrumar uma solução para barrar tal incomodo que e a clonagem de MAC na minha rede ai pesquisando encontrei seu post, muito bom como outro colega disse em paginas anteriores quanto mais segurança melhor, fiz tudo de primeira consegui colocar tudo pra funcionar sem problema algum mas, nao obtive sucesso pois em laboratorio real (na minha rede) fiz todos os testes possivel e consegui clonar meus clientes e navegar mesmo com certificação SSL, apesar de estar doido por uma solução deixei ate de lado temporariamente os testes com o hostcert imaginando que esta seria uma solução menos trabalhosa mas ja estou correndo pro testes com o hostcert.
como muitos ainda estao com medo vou relatar meu entendimento sobre o SSL no MK, e o seguinte o certificado so serve para identificar a autenticidade do servidor a que estamos conectando pois se a minha conexao cair em outra rede por motivo de falta de sinal do meu provedor contratado iremos automaticamente ser redirecionado pela placa wireless ou windows a um ISP com mais sinal e nao vendo tal certificado saberemos que nao estamos no provedor contratado ou se alguem colocar um servidor no ar e criar um certificado parecido com o seu e o cliente tiver sido esperto em instalar o certificado que ele recebeu do ISP contratado no seu computador sera emitido um alerta de que aquele server pode nao ser o seu servidor de conexao pois ele sempre ira fazer as comparações dos dois certificados o que esta instalado e o que seria o novo certificado, por isso que a data de expiração e de mais ou menos 2 anos pois ja pensou quantas reclamações teria com relaçao a este problema de certificado se tivesse que fazer um a cada mes por exemplo.
e como os browser ja saem das empresas ensinados de que existe tal empresa certificadora (autenticadora) dos certificados o cliente sera avisado somente uma vez e nao tera nem que instalar se nao quiser pois toda vez que ele entrar para autenticar so tera que logar e apos logar e enviado para o servidor autenticador do certificado a chave que libera o trafego seguro SSL como nos mesmo criamos e validamos nosso certificado os browser's nao sabe quem somos nos e gritam logo como se fossemos falsarios de certificados, mas e so falar pros clientes instalar ele assim mesmo que so aparecera a opção de aceitar sim ou nao e cancelar, mas nao servira para navegação segura na internet e sim para autenticidade do servidor ou seja e como se falasse-mos aos clientes, (sim, voce esta se conectando no servidor certo pode logar) infelismente nao servira para barrar clonagem de MAC e navegação nao autorizadas pois como ja disse ele nao gera uma conexao segura para navegar na internet e nao separa quem e cliente e quem nao e cliente da sua rede entao quando o cliente a ser clonado passar por tudo isso bingoo o safado passara a navegar de graça e mais uma vez infelismente ira rir de nos, sem falar em bandidos hein!
desculpe mas esta nao sera a solução para evitar clonagem de MAC, teremos que correr contra o tempo e sanar este enorme buraco pois nao se trata de uma brecha e ate agora como o sergio ja disse no post que abri dias atraz temos que largar as facilidades do MK e implementar coisas concretas nas nossas rede, ppp0e eu nao quero pra nao perder esta "facilidade" do MK entao to aqui fazendo os testes com o hostcert pois ele cria um tunel seguro e criptografado pra cada cliente e e vc quem libera este tunel ou nao e claro que tera o inconviniente de ter que ir na casa de todos os clientes instalar um aplicativo que rodara em segundo plano e o cliente nem o vera trabalhar e se formatar teremos que instala-lo novamento se nao ele nao navegara ja tive o prazer de fazer uns teste aqui mas ainda nao implementei na rede por ser mais complexo quanto a hardware, para usar com o hotspot terei que implementar um servidor so pra rodar o hostcert pois nao tem como rodar direto no MK se o lauro estiver lendo isso que ele me corrija se estiver entendido errado.
entao nao se iludam com SSL para evitar a clonagem na rede corram atraz de coisas mais concretas pois as facilidades do MK se resumem a isso, facilidade tanto pra quem gerencia uma rede quanto para o cliente que nao tera que fazer nenhuma configuração e sim direcionar sua antena e melhor para os safados de plantão que vive disso trapacear, clonar e roubar sinal se nao tiverem roubando algo mais.
desculpe se fui muito direto mas isto e um caso muito serio.
obrigado

Pelo que eu entendi lendo sobre certificado ssl, ele consiste bascamente em dois pontos:

1- Dar uma garantia sobre a autenticidade do site que vc está inserindo dados, como login, senha, etc;

2- Criar uma criptografia no envio destes dados, de forma a evitar que snnifers vejam o conteúdo dos dados trafegados no envio dos dados no momento da conexão.

Então creio que o certificado seria somente, em tese, para proteger os dados de usuário e senha da página de login do hotspot contra snnifers, mas uma vez conectado o clone navegará tb sem problemas.
Isso já cria uma certa dificuldade pois o invasor terá que esperar o usuário logar para poder navegar
Saudações a todos !

Citação:

Postado originalmente por underwanderson

Bom dia, caicarabruno

olha so, se pesquisar vera que to doido pra arrumar uma solução para barrar tal incomodo que e a clonagem de MAC na minha rede ai pesquisando encontrei seu post, muito bom como outro colega disse em paginas anteriores quanto mais segurança melhor, fiz tudo de primeira consegui colocar tudo pra funcionar sem problema algum mas, nao obtive sucesso pois em laboratorio real (na minha rede) fiz todos os testes possivel e consegui clonar meus clientes e navegar mesmo com certificação SSL, apesar de estar doido por uma solução deixei ate de lado temporariamente os testes com o hostcert imaginando que esta seria uma solução menos trabalhosa mas ja estou correndo pro testes com o hostcert.
como muitos ainda estao com medo vou relatar meu entendimento sobre o SSL no MK, e o seguinte o certificado so serve para identificar a autenticidade do servidor a que estamos conectando pois se a minha conexao cair em outra rede por motivo de falta de sinal do meu provedor contratado iremos automaticamente ser redirecionado pela placa wireless ou windows a um ISP com mais sinal e nao vendo tal certificado saberemos que nao estamos no provedor contratado ou se alguem colocar um servidor no ar e criar um certificado parecido com o seu e o cliente tiver sido esperto em instalar o certificado que ele recebeu do ISP contratado no seu computador sera emitido um alerta de que aquele server pode nao ser o seu servidor de conexao pois ele sempre ira fazer as comparações dos dois certificados o que esta instalado e o que seria o novo certificado, por isso que a data de expiração e de mais ou menos 2 anos pois ja pensou quantas reclamações teria com relaçao a este problema de certificado se tivesse que fazer um a cada mes por exemplo.
e como os browser ja saem das empresas ensinados de que existe tal empresa certificadora (autenticadora) dos certificados o cliente sera avisado somente uma vez e nao tera nem que instalar se nao quiser pois toda vez que ele entrar para autenticar so tera que logar e apos logar e enviado para o servidor autenticador do certificado a chave que libera o trafego seguro SSL como nos mesmo criamos e validamos nosso certificado os browser's nao sabe quem somos nos e gritam logo como se fossemos falsarios de certificados, mas e so falar pros clientes instalar ele assim mesmo que so aparecera a opção de aceitar sim ou nao e cancelar, mas nao servira para navegação segura na internet e sim para autenticidade do servidor ou seja e como se falasse-mos aos clientes, (sim, voce esta se conectando no servidor certo pode logar) infelismente nao servira para barrar clonagem de MAC e navegação nao autorizadas pois como ja disse ele nao gera uma conexao segura para navegar na internet e nao separa quem e cliente e quem nao e cliente da sua rede entao quando o cliente a ser clonado passar por tudo isso bingoo o safado passara a navegar de graça e mais uma vez infelismente ira rir de nos, sem falar em bandidos hein!
desculpe mas esta nao sera a solução para evitar clonagem de MAC, teremos que correr contra o tempo e sanar este enorme buraco pois nao se trata de uma brecha e ate agora como o sergio ja disse no post que abri dias atraz temos que largar as facilidades do MK e implementar coisas concretas nas nossas rede, ppp0e eu nao quero pra nao perder esta "facilidade" do MK entao to aqui fazendo os testes com o hostcert pois ele cria um tunel seguro e criptografado pra cada cliente e e vc quem libera este tunel ou nao e claro que tera o inconviniente de ter que ir na casa de todos os clientes instalar um aplicativo que rodara em segundo plano e o cliente nem o vera trabalhar e se formatar teremos que instala-lo novamento se nao ele nao navegara ja tive o prazer de fazer uns teste aqui mas ainda nao implementei na rede por ser mais complexo quanto a hardware, para usar com o hotspot terei que implementar um servidor so pra rodar o hostcert pois nao tem como rodar direto no MK se o lauro estiver lendo isso que ele me corrija se estiver entendido errado.
entao nao se iludam com SSL para evitar a clonagem na rede corram atraz de coisas mais concretas pois as facilidades do MK se resumem a isso, facilidade tanto pra quem gerencia uma rede quanto para o cliente que nao tera que fazer nenhuma configuração e sim direcionar sua antena e melhor para os safados de plantão que vive disso trapacear, clonar e roubar sinal se nao tiverem roubando algo mais.
desculpe se fui muito direto mas isto e um caso muito serio.
obrigado

Anderson bom Dia!

Pelo pouco que entendi sobre o ssl, ele assim como o md5(chap) ele criptografa a sena e o usuário dos clientes, porém o ssl por se tratar de uma chave privada e uma pública e usa criptografia x509 é aquela mesma do Hostcert, ele simplesmente impede que um outro veja a senha no caso snifer, porém fiz vários testes com clone em laboratório e rede real não obtive sucesso em navegar clonando, não sei o que pode ter acontecido ou que você fez para que pudesse dar certo, mas aqui depois que implantei o ssl, não tive mais problema.

Agora se percistir o problema usa, wpa2 +eap+tls ai nme vc vai concegui entrar se esquecer alguma coisa.

abraços

É aquela coisa amigos....hoje tem muito provedor pecando absurdamente na segurança da rede....achando que deixar o AP com rede aberta sem criptografia ajuda no desempenho da rede e N outras coisas....

Existem milhares de métodos de invasao para uma rede...então o que podemos fazer conforme nosso $$ permitir é garantir no minimo uma segurança para nossos clientes.

Como o amigo caicarabruno disse, o certificado SSL aqui criado serve para BARRAR os snifers de rede, onde ficam capturando login e senhas de usuarios, e não para bloquear a tentativa de clone de mac na rede.

Bom eu tenho uma prioridade muito grande quanto a segurança na rede...tanto como ataques como também a segurança dos dados dos usuarios.

Até entao o método que tenho usado pra garantir um POUCO mais a segurança é
Usando Hotspot com mascara /30 e AP nos clientes com senha no radio e rede com WPA.

Fica um pouco mais trabalhoso mais ja me ajuda e muitooooo.

Mais até aee...parabens pela galera daqui com os testes e soluções....vlwww

Citação:

Postado originalmente por jardelalmeida

Pelo que eu entendi lendo sobre certificado ssl, ele consiste bascamente em dois pontos:

1- Dar uma garantia sobre a autenticidade do site que vc está inserindo dados, como login, senha, etc;

2- Criar uma criptografia no envio destes dados, de forma a evitar que snnifers vejam o conteúdo dos dados trafegados no envio dos dados no momento da conexão.

Então creio que o certificado seria somente, em tese, para proteger os dados de usuário e senha da página de login do hotspot contra snnifers, mas uma vez conectado o clone navegará tb sem problemas.
Isso já cria uma certa dificuldade pois o invasor terá que esperar o usuário logar para poder navegar
Saudações a todos !

bom dia, jardelalmeida
mais isso ja acontece sem SSL, o malandro so consegue navegar se o clonado ja estiver logado se so existir este mac na rede e o clonado morrer ele nunca mais navega pois nao tera ninguem pra logar neste unico mac (desculpe o exemplo).

Citação:

Postado originalmente por caicarabruno

Anderson bom Dia!

Pelo pouco que entendi sobre o ssl, ele assim como o md5(chap) ele criptografa a sena e o usuário dos clientes, porém o ssl por se tratar de uma chave privada e uma pública e usa criptografia x509 é aquela mesma do Hostcert, ele simplesmente impede que um outro veja a senha no caso snifer, porém fiz vários testes com clone em laboratório e rede real não obtive sucesso em navegar clonando, não sei o que pode ter acontecido ou que você fez para que pudesse dar certo, mas aqui depois que implantei o ssl, não tive mais problema.

Agora se percistir o problema usa, wpa2 +eap+tls ai nme vc vai concegui entrar se esquecer alguma coisa.

abraços

bom dia, caicarabruno
é o seguinte, os testes que fiz foi o seguinte, minha rede hj ta fechada pro mundo pois coloquei ela em autorizar listados, mas havia aberto ela como deveria ficar para que obtivesse o mais real resultado possivel, entao criei e ativei o ssl no mk, ficou joia parecia que estava conectando a um site de um banco a galera da rede nem chiou mas ai fiz tudo como os malandros fazem entrei com o AMAC fiz a varredura na rede peguei um mac qualquer de preferencia um que ja estava navegando clonei e de inicio nao conseguia pois mesmo com o ip igual ao do cliente que estava navegando caia sempre na tela de login, fiquei super feliz pois achei que tinha dado certo foi ai que quando coloquei a de outro cliente que tambem estava logado e carregou a bendita tela do google, ai vi que o infeliz ia era rir de mim entao vi que nao adiantaria de nada a nao ser que o malandro colocasse um snifer para capturar senha e user do cliente ai sim sei que pra isso pode ser eficas mas para protejer clonagem de mac acho impossivel, agora quanto ao hostcert o mesmo alem de criptografar faz o tunel que e nescessario para evitar a sobreposição de conexao na mesma faixa de ip e mac.
obrigado

Citação:

Postado originalmente por underwanderson

bom dia, caicarabruno
é o seguinte, os testes que fiz foi o seguinte, minha rede hj ta fechada pro mundo pois coliquei ela em autorizar listados, mas havia aberto ela como deveria ficar para que obtivesse o mais real resultado possivel, entao criei e ativei o ssl no mk, ficou joia parecia que estava conectando a um site de um banco a galera da rede nem chiou mas ai fiz tudo como os malandros fazem entrei com o AMAC fiz a varredura na rede peguei um mac qualquer de preferencia um que ja estava navegando clonei e de inicio nao conseguia pois mesmo com o ip igual ao do cliente que estava navegando caia sempre na tela de login, fiquei super feliz pois achei que tinha dado certo foi ai que quando coloquei a de outro cliente que tambem estava logado e carregou a bendita tela do google, ai vi que o infeliz ia era rir de mim entao vi que nao adiantaria de nada a nao ser que o malandro colocasse um snifer para capturar senha e user do cliente ai sim sei que pra isso pode ser eficas mas para protejer clonagem de mac acho impossivel, agora quanto ao hostcert o mesmo alem de criptografar faz o tunel que e nescessario para evitar a sobreposição de conexao na mesma faixa de ip e mac.
obrigado

meu caro jovem,

tenta colocar cada cliente da sua rede em faixas separas com mask /30, onde só pode haver 2 ips, um para o servidor e outro para o cliente, e redirecionar para a faixa principal do seu hotspot usando o ssl.

[quote=gustavinho69;389704]

"Como o amigo caicarabruno disse, o certificado SSL aqui criado serve para BARRAR os snifers de rede, onde ficam capturando login e senhas de usuarios, e não para bloquear a tentativa de clone de mac na rede."

=================================================
[ Anderson bom Dia!

Pelo pouco que entendi sobre o ssl, ele assim como o md5(chap) ele criptografa a sena e o usuário dos clientes, porém o ssl por se tratar de uma chave privada e uma pública e usa criptografia x509 é aquela mesma do Hostcert, ele simplesmente impede que um outro veja a senha no caso snifer, porém fiz vários testes com clone em laboratório e rede real não obtive sucesso em navegar clonando, não sei o que pode ter acontecido ou que você fez para que pudesse dar certo, mas aqui depois que implantei o ssl, não tive mais problema.
Agora se percistir o problema usa, wpa2 +eap+tls ai nme vc vai concegui entrar se esquecer alguma coisa.]
====================================================
aqui ele diz que serviu pra barrar a clonagem na rede dele sim, mas aqui eu consegui navegar.
mas poh! o lance da criação de certificado e a instalação do mesmo no mk é show! o caicarabruno ta de parabens pela iniciativa pois ja havia procurado algo da especie e nunca tinha conseguido e tao explicado que nao tem como errar nada. a proposito e as paginas de bloqueio vc conseguiu botar pra funfa? rsrsrs

Citação:

Postado originalmente por Demo Bill

meu caro jovem,

tenta colocar cada cliente da sua rede em faixas separas com mask /30, onde só pode haver 2 ips, um para o servidor e outro para o cliente, e redirecionar para a faixa principal do seu hotspot usando o ssl.

hou! isso parece interessante to tentando de tudo que der resultado rsrsrs
ja deve existir algo aqui no under de como fazer isto nao tem? vou procurar este tipo de solução pra ver, valeu mesmo!

BLZA MANS.

Relamente galera, infelizmente não conseguimos barrar, os clonadores com ssl, mas ja obtivemos um resultado legal, que é impedir que eles peguem login e senha dos usuários. Mas ja é uma pequena Vitória nesta guerra, quanto ao /30 no caso xxx.xxx.xxx.xxx 255.2555.255.255 o mesmo utilizado pelas grandes operadoras para que os usuários não utilizem a rede. É interessante a idéia, porém ainda temos de arrumar uma forma de esconder os ips/mac dos usuários dos snifer com uma solução gratuita (não é este o pensamento free), mas ainda conseguiremos vamos pesquisar a finco e também em sites estrangeiros que tem bem mais conteúdos que os nossos.

abraços

Citação:

Postado originalmente por underwanderson

hou! isso parece interessante to tentando de tudo que der resultado rsrsrs
ja deve existir algo aqui no under de como fazer isto nao tem? vou procurar este tipo de solução pra ver, valeu mesmo!

da uma olha ai no meu post com relação ao hotspot + dhcp lease + mac/arp , la tem essas configurações com tutor bem facil.

https://under-linux.org/f122354-lb-funcionando-com-web-proxy-cache-full-hotspot-dhcp-lease-no-mesmo-servido-mk

Neste aqui você vai ter alguas ideias de pagina de hotspot.

https://under-linux.org/f119299-compartilhando-suas-ideias-de-login-no-hotspot

Citação:

Postado originalmente por caicarabruno

BLZA MANS.

Relamente galera, infelizmente não conseguimos barrar, os clonadores com ssl, mas ja obtivemos um resultado legal, que é impedir que eles peguem login e senha dos usuários. Mas ja é uma pequena Vitória nesta guerra, quanto ao /30 no caso xxx.xxx.xxx.xxx 255.2555.255.255 o mesmo utilizado pelas grandes operadoras para que os usuários não utilizem a rede. É interessante a idéia, porém ainda temos de arrumar uma forma de esconder os ips/mac dos usuários dos snifer com uma solução gratuita (não é este o pensamento free), mas ainda conseguiremos vamos pesquisar a finco e também em sites estrangeiros que tem bem mais conteúdos que os nossos.

abraços

Bruno só corrigindo a mascara 255.255.255.255 é representada como /32

/30 é 255.255.255.252

:ciao:

heh

Citação:

Postado originalmente por gustavinho69

Bruno só corrigindo a mascara 255.255.255.255 é representada como /32

/30 é 255.255.255.252

:ciao:

Imaginei man! mas grato pela correção.

1 Anexo(s)

o que é o correto quanto acesso com certificado ssl

bom dia!
under's de plantão
é o seguinte pegando carona neste topico do caicarabruno que por sinal ta muito produtivo, depois de criar o certificado ssl e instala-lo no mk ao acessar a internet o cliente se depara com 2 caixas de informação uma falando do certificado e outra de confirmação com o seguinte dizer:esta pagina contem itens nao seguro deseja exibi-los?, ate aqui tudo bem solicitei que a clientela instalasse o certificado para que evitasse aparecer sempre que fosse logar entao apos a instalação do certificado sempre aparecerá uma so a caixinha de confirmação "sim" "não" e ai que vem a duvida, fiz uns testes aqui e quero saber de quem ja tem experiência com certificado ssl, quando se clica "SIM" e o certificado libera a tela para logar mas o cadeado que identifica a segurança com criptografia de 128bit não aparece no navegador e quando se clica "NÃO" ai sim aparece o tal cadeado, ou seja o cliente tem que clicar "NÃO"?
o que o cliente tem que clicar pra estar seguro eu imagino que em "não" pois acho que tem que aparecer o cadeado que prova que o trafego daquele momento esta sendo criptografado, mas queria opinião de alguem que entendesse mais sobre isto.
façam seus testes antes para entenderem e poder contribuir.
obrigado