Descubierto un fallo crítico en el protocolo RADIUS de 30 años

Descubrimiento de una vulnerabilidad crítica en el protocolo RADIUS de 30 años de antigüedad: la vulnerabilidad BlastRADIUS

Se ha descubierto una vulnerabilidad grave en el protocolo RADIUS, que era fundamental para la autenticación de red. Esta vulnerabilidad, que había estado oculta durante 30 años, se ha denominado 'BlastRADIUS'. Pero, ¿por qué esta vulnerabilidad no se descubrió antes?

¿Qué es RADIUS?

RADIUS son las siglas de 'Remote Authentication Dial-In User Service'. Es un protocolo que autentica a los usuarios que intentan acceder a una red y les otorga permisos. En pocas palabras, actúa como un portero que verifica '¿quién eres? ¿puedes entrar?' cuando un usuario intenta acceder a una red.

RADIUS se utiliza en diversos ámbitos, y el ejemplo más común que encontramos en nuestra vida diaria es el sistema de autenticación Wi-Fi de las empresas. Pongamos un ejemplo.

Las Wi-Fi generales se pueden conectar simplemente con una contraseña. Sin embargo, en este caso, cualquier persona que conozca la contraseña puede conectarse, lo que hace que la seguridad sea vulnerable. Además, no se puede saber con exactitud quién se conectó y cuándo.

Por otro lado, el sistema Wi-Fi empresarial que utiliza RADIUS es diferente. Los empleados acceden a la Wi-Fi con su ID y contraseña únicos de la empresa. El servidor RADIUS verifica esta información y solo permite el acceso a la red a los usuarios autenticados. De esta manera, se puede saber con exactitud quién se conectó a la red y cuándo, y se refuerza la seguridad.

En particular, las empresas grandes tienden a utilizar este tipo de sistema, ya que permite que cientos o miles de empleados accedan a la red de forma segura con sus propias cuentas.

Por supuesto, RADIUS se utiliza no solo en las Wi-Fi empresariales, sino también en diversos ámbitos:

1. Proveedores de servicios de Internet (ISP): Autenticación cuando los clientes acceden a Internet
2. VPN: Se utiliza cuando los usuarios remotos acceden de forma segura a la red de la empresa
3. Puntos de acceso Wi-Fi públicos: Autenticación de usuarios y gestión del acceso
4. Red móvil: Autenticación cuando los teléfonos inteligentes se conectan a la red celular

RADIUS proporciona un método de autenticación centralizado que permite a los administradores controlar de forma eficiente el acceso de numerosos usuarios. Sin embargo, se ha descubierto un problema grave en RADIUS, que desempeña un papel tan importante.

Antecedentes de la vulnerabilidad

El protocolo RADIUS se diseñó en 1991. El entorno de red y los conceptos de seguridad de entonces eran muy diferentes a los actuales. Por lo tanto, RADIUS se diseñó basándose en UDP. UDP es rápido, pero en comparación con los protocolos de seguridad modernos como TLS, su seguridad es inferior.

Contenido de la vulnerabilidad

BlastRADIUS (CVE-2024-3596) utiliza un ataque de colisión MD5. MD5 también es una función hash que surgió a principios de la década de 1990. Sin embargo, con el paso del tiempo, se han descubierto vulnerabilidades en MD5. Los atacantes pueden utilizarlas para manipular las respuestas del servidor RADIUS. Como resultado, pueden eludir la autenticación y aumentar sus privilegios.

En este punto, es importante destacar la grave vulnerabilidad de MD5. Actualmente, en la industria de la seguridad, los sistemas que utilizan MD5 se consideran muy vulnerables. Esto se debe a que MD5 es demasiado fácil de romper. Sorprendentemente, recientemente se ha logrado romper el hash MD5 en menos de un minuto. Esto significa que los sistemas que utilizan MD5 pueden ser hackeados en tiempo real.

Por esta razón, los sistemas de contraseñas modernos han evolucionado de MD5 a SHA-1, SHA-2 y SHA-3. Hoy en día, es difícil encontrar sistemas que utilicen MD5 en entornos donde la seguridad es importante. Sin embargo, el hecho de que RADIUS siga utilizando MD5 es motivo de gran preocupación.

Alcance de la influencia

RADIUS es un elemento fundamental de las comunicaciones modernas y las redes empresariales. Se utiliza en casi todos los ámbitos, no solo en los sistemas Wi-Fi empresariales mencionados anteriormente, sino también en ISP, Wi-Fi públicas, redes móviles y dispositivos IoT. Por lo tanto, el impacto de esta vulnerabilidad puede ser muy amplio.

Medidas de respuesta

Los investigadores recomiendan la eliminación completa de RADIUS/UDP. Proponen cambiar a RADIUS over TLS (RADSEC). También recomiendan la implementación de un método multihop y el aislamiento del tráfico RADIUS de Internet pública.

BlastRADIUS es un ejemplo clásico de un 'error de diseño' que se ha convertido en una vulnerabilidad de seguridad con el paso del tiempo. En particular, el hecho de que siga utilizando tecnologías de cifrado antiguas como MD5 es un problema grave. Esto demuestra que los protocolos de seguridad deben actualizarse continuamente para adaptarse a la velocidad de desarrollo de la tecnología. Hasta ahora, no se han reportado casos reales de ataques que exploten esta vulnerabilidad. Sin embargo, teniendo en cuenta el riesgo potencial, es necesaria una respuesta rápida. En particular, se requieren medidas rápidas por parte de los fabricantes y administradores de equipos de red.