MAC-Filter wirklich sinnvoll?

Hallo,

normalerweise wird ein WLAN-Netzwerk bekanntlich über eine Verschlüsselung, wie zum Beispiel einen WEP- oder WAP-Schlüssel gesichert. Um das Netzwerk dann noch einmal weiter abzusichern ist möglich, dass man einen MAC-Filter einrichtet, sodass nur bestimme WLAN-Karten auf das Netzwerk zugreifen können.

Nun habe ich habe gehört, dass es ohne größeren Aufwand möglich sein soll, dass man seine eigenen MAC-Adresse einfach beliebig ändern kann. Wenn dies wirklich so einfach möglich ist, dann ist es doch eigentlich kaum mehr notwendig einen MAC-Filter einzurichten, da man die eigene MAC-Adresse ja sowieso so einstellen kann, dass sie den Zugriff in das Netzwerk erhält.

Daher meine Frage: Ist es denn dann wirklich noch sinnvoll wenn man einen MAC-Filter einrichtet, wenn doch jeder seine MAC-Adresse so einstellen kann, dass diese eben durch den Filter kommt und dadurch Zugriff auf das Netzwerk hat?

Hier handelt es sich ja um eine zusätzliche Sicherung, die natürlich Sinnvoll sein kann. Vor allem, wenn man sein Passwort für die Verschlüsselung weiter gegeben hat (um Bekannten/Besuchern kurz Zugriff auf das Netzwerk zu geben) und es eben nicht regelmäßig ändert. Es kann ja auch Aufwand bedeuten, bis man dann alle im Netz integrierten Geräte mit dem neuen Passwort ausgestattet hat.

Stattdessen nimmt man eben auch eine MAC Filterung vor. Ein Angreifer müsste nun also nicht nur die Verschlüsselung knacken (bzw. das Passwort haben), sondern auch die konkrete MAC Adresse kennen, die der Filter durchlässt. Und ob das immer der Fall ist, wage ich zu bezweifeln. Jedenfalls treibt das den Aufwand in die Höhe, unbefugt das Netzwerk zu nutzen.

Die Umstellung der MAC Adresse selbst ist bei Windows Rechnern recht einfach und es gibt zahlreiche Freeware Tools, bei denen man sich seine nach außen angegebene MAC Adresse beliebig setzten kann. Das ist also letztlich nicht wirklich ein Problem. Aber nur weil etwas keine 100% Sicherheit bringt, muss man es ja nicht ablehnen.

Jeder, der fähig wäre, eine WLAN-Verschlüsselung zu knacken, hat auch die Möglichkeiten, die MAC-Adresse von den im WLAN zugelassenen Rechnern herauszufinden. Genau genommen wird dies sogar automatisch beim Ausspionieren des WLAN-Passworts mit aufgezeichnet.

Das Umstellen der MAC-Adresse ist dann eine Sache von fünf Minuten. Von daher bietet der MAC-Filter absolut keinen brauchbaren Schutz und kann getrost weggelassen werden. Pseudosicherheit braucht keiner und es behindert nur die legitimen Anwender. Von daher ist meine Meinung sogar, dass man den MAC-Filter nicht verwenden soll.

Wichtig ist eine aktuelle WPA-Verschlüsselung einzusetzen. WEP ist veraltet und superleicht zu knacken, sollte daher auch nicht mehr eingesetzt werden. Wer noch höhere Sicherheit als WPA benötigt, muss sein WLAN über ein VPN absichern. Dann ist man eigentlich vor allen möglichen Attacken auf sein WLAN geschützt, es Bedarf aber einem erheblichen Aufwand. Für Privatpersonen ist das also uninteressant.

Pseudosicherheit braucht keiner und es behindert nur die legitimen Anwender.

Wenn der MAC Filter in der Lage ist, legitime Nutzer zu behindern, dann frage ich mich, warum illegitime Nutzer dies nicht als Behinderung empfinden?

Eine Einrichtung eines solchen Filters ist eine Sache von max. drei Minuten und würde weiter nicht ins Gewicht fallen. Das man damit allein sein Netzwerk absichern kann, steht ja außer Frage. Aber auch ein Virenscanner erkennt nicht alles und dennoch kann es doch kein Rat sein, ihn weg zu lassen. (Wobei ich auch weiß, dass der Virenscanner noch mal eine andere Klasse an Sicherheit herstellt, als es der MAC Filter machen würde.)

Für Privatpersonen ist das also uninteressant.

Welche Möglichkeit hätte die gemeine Privatperson auch, einen WPA Schlüssel zu knacken? Die Gefahr ist hier einzig die, dass der Schlüssel erraten oder anderweitig bekannt wird. Der MAC Schlüssel wäre dann noch die letzte, leicht zu überspringende Hürde.

Aber wenn jemand nur aus dem Grund ins Netzwerk kommt, weil z.B. die Schwägerin des Opfers in einem unbedachten Moment ausgeplaudert hat, dass der immer das Passwort "sowieso" verwendet, und es eben kein versierter Netzwerker ist, kann der MAC Filter als Zusatz reichen.

Wenn der MAC Filter in der Lage ist, legitime Nutzer zu behindern, dann frage ich mich, warum illegitime Nutzer dies nicht als Behinderung empfinden?

Für jedes neue Gerät musst du erst die MAC-Adresse heraussuchen und diese in deinen Filter eintragen. Das ist natürlich auch nur eine Sache von zwei Minuten, aber es ist eine gewisse Unbequemlichkeit. Wenn der Nutzer sich hingegen mit der Einrichtung eines WLAN nicht auskennt, läuft das möglicherweise sogar darauf hinaus, dass er Hilfe benötigt. Aber unabhängig davon welcher Aufwand betrieben werden muss: Dafür, dass der Filter absolut keine Sicherheit bietet, ist das meiner Meinung nach inakzeptabel.

Ein Angreifer dagegen muss im Vergleich zum Knacken des Passwortes nur einen geringen Aufwand bringen, es ist daher dazu verglichen kein Hindernis.

Hallo,

setzen wir einmal voraus, dass der eigentliche Netzwerkschlüssel von einem Nutzer, der eigentlich nicht auf das Netzwerk zugreifen darf, bereits geknackt wurde. Weiterhin soll ein MAC-Filter eingerichtet sein und dieser Nutzer hierfür natürlich keine Freigabe haben.

Kann dieser Nutzer dann überhaupt auf das Netzwerk oder auf den Router zugreifen? Oder ist der MAC-Filter genau hier dann doch wieder sinnvoll, da der Nutzer eben dann keine Einsicht in den Router und damit auch keine Einsicht auf die freigegebenen MAC-Adressen bekommt? Dadurch würde dann ja wiederum keine Möglichkeit bestehen, dass man sieht wie man die MAC ändern muss, sodass man dann wiederum einen Zugriff bekommt.

Nein, das stellt kein Hindernis dar. In einem solchen Netz kann man immer alle Pakete mithören, sobald man den Schlüssel geknackt hat. Und in diesen Paketen findet man dann problemlos im Klartext die MAC-Adressen der Clients.

In Kabelnetzwerken, in denen Switches eingesetzt wird, würde es anders aussehen, da die Switches die Pakete gezielt anhand der MAC-Adresse an die Clients verteilen. So eine Absicherung ist aber in einem Funknetzwerk logischerweise nicht so einfach möglich.