Atualização Mikrotik 4.9 - Nova Opção no Controle de MAC

Amigos e Colegas do Forum, recentemente fiz uma atualização em dos meus rádios que usam rb mikrotik, atualizei para versão 4.9, e nesta nova versão pude observar que la na Guia WIRELESS, na opção ACCESS LIST, eu uso controle por mac e criptografia, no qual somente o cliente so se conecta se o mac e a chave dele bater com a que esta cadastrado no rádio, e antes de fazer a atualização, quando eu vou adicionar um novo cliente para se conectar neste rádio, colocava o MAC, interface que ele iria se conectar, desmarcava a opção Forwading tinha o campo PRIVATE KEY - PRIVATE PRE SHARED KEY, so apareciam estas opções antes de eu fazer a atualização, mas após eu fazer esta atualização, apareceu um outra opção abaixo da PRIVATE PRE SHARED KEY, que é onde coloco a chave de rede dos clientes, abaixo deste campo apreceu a opção MANAGEMENT PROTECTION KEY, enfim, eu so quero saber pra que serve esta opção, em que ocasião é utilizada, e todos os detalhes se possível.

tem umas imagens em anexo, para vocês saber como estão...

o significado é GESTÃO chave de proteção. Então ela serve para administrar, fazer o controle da sua chave de proteção. Espero ter ajudado em algo.

A resposta acima, ou foi na base do "achismo" ou é apenas para criar mais dúvidas aos usuários. Sempre que possuir dúvidas e quiser uma fonte fidedigna é bom consultar o próprio fornecedor. No caso da Mikrotik, consulte MikroTik Wiki

Esta opção é utilizada para proteção contra ataques de deauth ou clone de MAC. Mesmo utilizando criptografia, os dados da camada 2 (enlace) são trocados sem proteção alguma, e isso é um problema do padrão 802.11, mas de um tempo para cá alguns fabricantes (o primeiro foi a Cisco, se não me falha a memória) implementaram uma chave de proteção para as conexões desta camada. Isto só funciona se todos os dispositivos suportarem esta função.

Citação:

---

Postado originalmente por Wiki Mikrotik

Management frame protection

Used for: Deauthentication attack prevention, MAC address cloning issue.
RouterOS implements proprietary management frame protection algorithm based on shared secret. Management frame protection means that RouterOS wireless device is able to verify source of management frame and confirm that particular frame is not malicious. This feature allows to withstand deauthentication and disassociation attacks on RouterOS based wireless devices.
Management protection mode is configured in security-profile with management-protection setting. Possible values are: disabled - management protection is disabled (default), allowed - use management protection if supported by remote party (for AP - allow both, non-management protection and management protection clients, for client - connect both to APs with and without management protection), required - establish association only with remote devices that support management protection (for AP - accept only clients that support management protection, for client - connect only to APs that support management protection).
Management protection shared secret is configured with security-profile management-protection-key setting.
When interface is in AP mode, default management protection key (configured in security-profile) can be overridded by key specified in access-list or RADIUS attribute.

---

Fonte: Manual:Interface/Wireless - MikroTik Wiki

Muito obrigado!
Pelo esclarcimento.

Amigo sergio, eu não entendi bem a sua resposta, pois so leigo ainda nesta area, mais sua resposta seria, no caso de, eu tenho um cliente na torre A, com o mac cadastrado no rádio e sua chave de rede individual, ou seja diferente dos outros clientes, e mesmo assim se um cliente conseguisse informações como o mac, chave de rede, ip de acesso, ele conseguiria se conectar e navegar normalmente, a dúvida é, com esta opção, mesmo o cliente clonando, ele não conseguiria navegar? se for isto, me diga como fazer, preciso implementa-lo no provedor que trabalho... e obrigado pelas suas sugestões...

aguardo retorno.

Dica: não use no final da sua mensagem esse "aguardo retorno", pois dá a impressão que existe a obrigação de alguém responder a você e em fóruns isso não é legal.

Vamos a resposta:

Configurando uma criptografia WPA2, por exemplo, individualmente de preferência, ninguém conseguirá navegar mesmo sabendo o MAC/IP usuário e senha do cliente, a não ser que saiba também a WPA2 deste cliente. Ponto.

Mesmo com sua rede protegida da forma mencionada acima, ela está vulnerável a um ataque de deauth ou ataques MAC flood e similares, onde o atacante não está interessado em navegar, mas botar no chão sua rede. Para isto não existia proteção até pouco tempo atrás, mas agora com a opção mencionada no seu post é possível proteger também os dispositivos contra estes problemas, desde que os dispositivos da rede suportem a tecnologia.

Citação:

---

Postado originalmente por alextaws

Amigo sergio, eu não entendi bem a sua resposta, pois so leigo ainda nesta area, mais sua resposta seria, no caso de, eu tenho um cliente na torre A, com o mac cadastrado no rádio e sua chave de rede individual, ou seja diferente dos outros clientes, e mesmo assim se um cliente conseguisse informações como o mac, chave de rede, ip de acesso, ele conseguiria se conectar e navegar normalmente, a dúvida é, com esta opção, mesmo o cliente clonando, ele não conseguiria navegar? se for isto, me diga como fazer, preciso implementa-lo no provedor que trabalho... e obrigado pelas suas sugestões...

aguardo retorno.

---

agradecimento: desculpe sergio pelo incoveniente do tinha escrito na mensagem, ainda sou novo no forum, quero conhecer aos poucos todas as regras e politicas de uso deste maravilhoso forum.

você poderia me explicar melhor esta opção, será que consegui implantar na minha rede, e possível?

Pelo geito para funcionar, eu teria que ter equipamento mikrotik tbm nos clientes ?
porque placas e radios feitos antes desta opcao do mikrotik provavelmente nao vai ter o protocolo nao é isso ?
Por um bocado de tempo ainda nao vai servir de nada !

Hoje nos protificamos a testar esta opção nova com os radios que utilizamos nos clientes.
:shakehands:
Postaremos aqui os resultados.

É isso mesmo que o sergio ta dizendo, pra vc utilizar o recurso, o AP e o Cliente precisam suportar, ou seja, não basta ter MikroTik na torre, tem que ter também no cliente.

É ae que entra a RB711, com o olho no cliente a MikroTik lança este modelo e dá o pontapé para o desenvolvimento de CPEs MK de 'baixo custo*', não tão baixo quanto gostariamos, mas é uma opção a ser considerada para novas redes.

* - não tão baixo quanto gostariamos