Se descubre una falla crítica en el protocolo RADIUS de 30 años: Vulnerabilidad BlastRADIUS

Se ha descubierto una vulnerabilidad grave en el protocolo RADIUS, que ha sido fundamental para la autenticación de redes. Esta falla, que ha permanecido oculta durante 30 años, ha sido denominada 'BlastRADIUS'. Pero, ¿por qué esta vulnerabilidad no se detectó durante tanto tiempo?

¿Qué es RADIUS?

RADIUS significa 'Remote Authentication Dial-In User Service'. Es un protocolo que autentica y autoriza a los usuarios que intentan acceder a una red. En pocas palabras, actúa como un portero que verifica "quién eres y si puedes entrar" cuando un usuario intenta acceder a una red.

RADIUS se utiliza en una variedad de lugares, y el ejemplo más común en nuestra vida diaria es el sistema de autenticación Wi-Fi de las empresas. Tomemos un ejemplo.

Un Wi-Fi común se puede acceder solo con una contraseña. Sin embargo, en este caso, cualquiera que conozca la contraseña puede acceder, lo que hace que la seguridad sea vulnerable. Además, no se puede saber con precisión quién y cuándo se conectó.

Por otro lado, los sistemas Wi-Fi de las empresas que utilizan RADIUS son diferentes. Los empleados acceden al Wi-Fi con su propia identificación de empresa y contraseña. El servidor RADIUS verifica esta información y solo permite el acceso a la red a los usuarios autenticados. De esta manera, se puede saber con precisión quién y cuándo accedió a la red, y la seguridad se mejora.

Especialmente las empresas más grandes utilizan este tipo de sistemas. Esto se debe a que cientos o miles de empleados pueden acceder a la red de forma segura con sus propias cuentas únicas.

Por supuesto, RADIUS se utiliza en muchos otros lugares además del Wi-Fi empresarial:

1. Proveedores de servicios de Internet (ISP): Autenticación cuando los clientes acceden a Internet.
2. VPN: Se utiliza cuando los usuarios remotos acceden de forma segura a la red de la empresa.
3. Puntos de acceso Wi-Fi públicos: Autenticación y gestión del acceso de los usuarios.
4. Redes móviles: Autenticación cuando los teléfonos inteligentes se conectan a la red celular.

RADIUS proporciona un método de autenticación centralizado, lo que permite a los administradores controlar eficazmente el acceso de numerosos usuarios. Pero se ha descubierto un problema grave en este sistema tan importante.

Antecedentes de la vulnerabilidad

El protocolo RADIUS se diseñó en 1991. El entorno de red y los conceptos de seguridad de la época eran muy diferentes a los actuales. Por lo tanto, RADIUS se diseñó en base a UDP. UDP es rápido, pero menos seguro que los protocolos de seguridad modernos como TLS.

Contenido de la vulnerabilidad

BlastRADIUS (CVE-2024-3596) utiliza un ataque de colisión MD5. MD5 también es una función hash que surgió a principios de la década de 1990. Sin embargo, con el tiempo, se han descubierto las vulnerabilidades de MD5. Los atacantes pueden usar esto para manipular las respuestas del servidor RADIUS. Como resultado, pueden eludir la autenticación y elevar los privilegios.

Lo que hay que tener en cuenta aquí es la grave vulnerabilidad de MD5. Actualmente, la industria de la seguridad considera que los sistemas que utilizan MD5 son muy vulnerables. Esto se debe a que MD5 se puede romper con demasiada facilidad. Sorprendentemente, recientemente se ha vuelto posible romper un hash MD5 en menos de un minuto. Esto significa que los sistemas que utilizan MD5 pueden ser hackeados en tiempo real.

Por estas razones, los sistemas de contraseñas modernos han evolucionado de MD5 a SHA-1, SHA-2 y SHA-3. Hoy en día, es raro encontrar sistemas que utilicen MD5 donde la seguridad es importante. Sin embargo, el hecho de que RADIUS siga utilizando MD5 es motivo de preocupación.

Alcance del impacto

RADIUS es un elemento fundamental de las comunicaciones modernas y las redes empresariales. Se utiliza en casi todas partes, no solo en los sistemas Wi-Fi de las empresas mencionados anteriormente, sino también en ISP, Wi-Fi público, redes móviles, dispositivos IoT, etc. Por lo tanto, esta vulnerabilidad puede tener un impacto muy amplio.

Medidas de respuesta

Los investigadores recomiendan la eliminación completa de RADIUS/UDP. En su lugar, sugieren cambiar a RADIUS over TLS (RADSEC). También se recomienda la introducción de un método multihop y la separación del tráfico RADIUS de la Internet pública.

BlastRADIUS es un ejemplo típico de un 'error de diseño' que se ha convertido en una vulnerabilidad de seguridad con el tiempo. En particular, el hecho de que se sigan utilizando tecnologías de cifrado antiguas como MD5 es un gran problema. Esto demuestra que los protocolos de seguridad deben actualizarse continuamente para adaptarse a la velocidad del avance tecnológico. Hasta el momento no se ha informado de ningún caso de ataque real que haya utilizado esta vulnerabilidad. Sin embargo, teniendo en cuenta el riesgo potencial, es necesaria una respuesta rápida. Se requiere una acción rápida, especialmente de los fabricantes de equipos de red y los administradores.