30 वर्ष पुराने RADIUS प्रोटोकॉल में एक घातक दोष मिला: BlastRADIUS भेद्यता

नेटवर्क प्रमाणीकरण के लिए महत्वपूर्ण RADIUS प्रोटोकॉल में एक गंभीर भेद्यता पाई गई है। यह भेद्यता, जिसे 'BlastRADIUS' नाम दिया गया है, 30 साल से छिपी हुई थी। लेकिन इतने लंबे समय तक इसकी खोज क्यों नहीं हो पाई?

RADIUS क्या है?

RADIUS, 'Remote Authentication Dial-In User Service' का संक्षिप्त रूप है। यह एक प्रोटोकॉल है जो नेटवर्क तक पहुँचने वाले उपयोगकर्ताओं को प्रमाणित करता है और उन्हें अधिकार प्रदान करता है। सरल शब्दों में, जब कोई उपयोगकर्ता नेटवर्क से जुड़ता है तो यह प्रोटोकॉल "तुम कौन हो? क्या तुम प्रवेश कर सकते हो?" जैसा प्रश्न पूछता है।

RADIUS का उपयोग कई जगहों पर किया जाता है, और हमारे दैनिक जीवन में सबसे आम उदाहरण कंपनी के Wi-Fi प्रमाणीकरण सिस्टम हैं। उदाहरण के लिए:

सामान्य Wi-Fi केवल पासवर्ड के साथ एक्सेस किया जा सकता है। लेकिन इस मामले में, कोई भी पासवर्ड जानने वाला व्यक्ति एक्सेस कर सकता है, जो इसे सुरक्षा के लिहाज से कमजोर बनाता है। इसके अलावा, यह पता लगाना भी मुश्किल है कि कौन और कब एक्सेस किया।

दूसरी तरफ, RADIUS का उपयोग करने वाले कंपनी के Wi-Fi सिस्टम अलग हैं। कर्मचारी अपने अनूठे कंपनी आईडी और पासवर्ड के साथ Wi-Fi से जुड़ते हैं। RADIUS सर्वर इस जानकारी की जाँच करता है और केवल प्रमाणित उपयोगकर्ताओं को ही नेटवर्क एक्सेस की अनुमति देता है। इससे यह पता लगाने में मदद मिलती है कि कौन और कब नेटवर्क से जुड़ा है, और सुरक्षा भी मजबूत होती है।

विशेष रूप से बड़ी कंपनियाँ इस तरह के सिस्टम का अधिक उपयोग करती हैं क्योंकि सैकड़ों, हजारों कर्मचारी अपने-अपने अद्वितीय खातों से सुरक्षित रूप से नेटवर्क से जुड़ सकते हैं।

निश्चित रूप से, RADIUS का उपयोग कंपनी के Wi-Fi के अलावा कई जगहों पर किया जाता है:

1. इंटरनेट सेवा प्रदाता (ISP): ग्राहक को इंटरनेट से जोड़ने पर प्रमाणीकरण
2. VPN: दूरस्थ उपयोगकर्ता को कंपनी के नेटवर्क से सुरक्षित रूप से जोड़ने के लिए उपयोग
3. सार्वजनिक Wi-Fi हॉटस्पॉट: उपयोगकर्ता प्रमाणीकरण और एक्सेस प्रबंधन
4. मोबाइल नेटवर्क: स्मार्टफोन को सेलुलर नेटवर्क से जोड़ने पर प्रमाणीकरण

RADIUS एक केंद्रीकृत प्रमाणीकरण विधि प्रदान करता है जिससे व्यवस्थापक कई उपयोगकर्ताओं की पहुंच को कुशलतापूर्वक नियंत्रित कर सकते हैं। लेकिन इस महत्वपूर्ण भूमिका वाले RADIUS में एक गंभीर समस्या पाई गई है।

भेद्यता की पृष्ठभूमि

RADIUS प्रोटोकॉल 1991 में बनाया गया था। उस समय नेटवर्क वातावरण और सुरक्षा अवधारणाएँ आज की तुलना में बहुत अलग थीं। इसलिए, RADIUS को UDP के आधार पर डिजाइन किया गया था। UDP तेज़ है लेकिन TLS जैसे आधुनिक सुरक्षा प्रोटोकॉल की तुलना में इसकी सुरक्षा कमजोर है।

भेद्यता की सामग्री

BlastRADIUS (CVE-2024-3596) MD5 टकराव हमले का उपयोग करता है। MD5 भी 90 के दशक की शुरुआत में आया था। लेकिन समय के साथ-साथ MD5 की कमजोरियाँ सामने आई हैं। हमलावर इसका उपयोग RADIUS सर्वर के उत्तर में हेरफेर करने के लिए कर सकते हैं। परिणामस्वरूप, वे प्रमाणीकरण को दरकिनार कर सकते हैं और अधिकार बढ़ा सकते हैं।

यहाँ ध्यान देने योग्य बात यह है कि MD5 बहुत ही कमजोर है। वर्तमान में, सुरक्षा उद्योग MD5 का उपयोग करने वाले सिस्टम को अत्यंत असुरक्षित मानता है। MD5 को बहुत आसानी से तोड़ा जा सकता है। हैरानी की बात है कि हाल ही में, 1 मिनट से भी कम समय में MD5 हैश को तोड़ा जा सकता है। इसका मतलब है कि MD5 का उपयोग करने वाले सिस्टम को वास्तविक समय में हैक किया जा सकता है।

इसी कारण से, आधुनिक पासवर्ड सिस्टम MD5 से SHA-1, SHA-2, SHA-3 में विकसित हुए हैं। अब, सुरक्षा-संवेदनशील सिस्टम में MD5 का उपयोग करना दुर्लभ है। लेकिन RADIUS अभी भी MD5 का उपयोग कर रहा है, जो बहुत चिंताजनक है।

प्रभाव का दायरा

RADIUS आधुनिक संचार और कॉर्पोरेट नेटवर्क का एक महत्वपूर्ण हिस्सा है। पहले उल्लिखित कंपनी के Wi-Fi सिस्टम के अलावा, इसका उपयोग ISP, सार्वजनिक Wi-Fi, मोबाइल नेटवर्क, IoT डिवाइस आदि लगभग हर जगह किया जाता है। इसलिए, इस भेद्यता का प्रभाव बहुत व्यापक हो सकता है।

कार्रवाई का कोर्स

शोधकर्ता RADIUS/UDP को पूरी तरह से बंद करने की सलाह देते हैं। इसके बजाय, वे RADIUS over TLS (RADSEC) पर स्विच करने का सुझाव देते हैं। मल्टी-हॉप पद्धति को लागू करना और RADIUS ट्रैफ़िक को सार्वजनिक इंटरनेट से अलग करना भी सुझाया गया है।

BlastRADIUS समय के साथ सुरक्षा कमजोरियों में बदलने वाली 'डिज़ाइन दोष' का एक विशिष्ट उदाहरण है। विशेष रूप से, पुराने एन्क्रिप्शन तकनीकों जैसे MD5 का उपयोग करना एक बड़ी समस्या है। यह दर्शाता है कि सुरक्षा प्रोटोकॉल को तकनीकी प्रगति के साथ लगातार अपडेट किया जाना चाहिए। अब तक, इस भेद्यता का उपयोग करके कोई वास्तविक हमले का मामला सामने नहीं आया है। हालाँकि, संभावित खतरे को देखते हुए त्वरित कार्रवाई आवश्यक है। विशेष रूप से, नेटवर्क उपकरण निर्माताओं और व्यवस्थापकों को तत्काल कदम उठाने की आवश्यकता है।