Scoperta una vulnerabilità critica nel protocollo RADIUS, vecchio di 30 anni

Scoperta una vulnerabilità critica nel protocollo RADIUS, vecchio di 30 anni: la vulnerabilità BlastRADIUS

È stata scoperta una grave vulnerabilità nel protocollo RADIUS, fondamentale per l'autenticazione di rete. Questa vulnerabilità, rimasta nascosta per 30 anni, è stata denominata 'BlastRADIUS'. Ma perché questa vulnerabilità è rimasta scoperta per così tanto tempo?

Cos'è RADIUS?

RADIUS è l'acronimo di 'Remote Authentication Dial-In User Service'. È un protocollo che autentica gli utenti che cercano di accedere a una rete e ne concede i permessi. In parole semplici, quando un utente tenta di accedere a una rete, RADIUS funge da guardiano che chiede: "Chi sei? Puoi entrare?".

RADIUS viene utilizzato in vari contesti, e l'esempio più comune nella nostra vita quotidiana è il sistema di autenticazione Wi-Fi aziendale. Facciamo un esempio.

Una rete Wi-Fi generica consente l'accesso semplicemente inserendo una password. Tuttavia, in questo caso, chiunque conosca la password può accedere, rendendo la sicurezza precaria. Inoltre, non è possibile sapere con precisione chi si è connesso e quando.

Al contrario, un sistema Wi-Fi aziendale che utilizza RADIUS è diverso. I dipendenti accedono alla rete Wi-Fi con il proprio ID aziendale e password univoci. Il server RADIUS verifica queste informazioni e consente l'accesso alla rete solo agli utenti autenticati. In questo modo, è possibile sapere con precisione chi ha effettuato l'accesso alla rete e quando, migliorando anche la sicurezza.

In particolare, le aziende di grandi dimensioni utilizzano spesso questo tipo di sistema, poiché consente a centinaia o migliaia di dipendenti di accedere alla rete in modo sicuro con i propri account univoci.

Naturalmente, RADIUS non viene utilizzato solo per le reti Wi-Fi aziendali, ma anche in altri contesti:

1. Internet Service Provider (ISP): autenticazione degli utenti quando accedono a Internet
2. VPN: utilizzato per consentire agli utenti remoti di accedere in modo sicuro alla rete aziendale
3. Hotspot Wi-Fi pubblici: autenticazione degli utenti e gestione dell'accesso
4. Reti mobili: autenticazione degli smartphone quando si connettono alla rete cellulare

RADIUS offre un metodo di autenticazione centralizzato che consente agli amministratori di controllare in modo efficiente l'accesso di numerosi utenti. Tuttavia, è stata scoperta una grave vulnerabilità in questo sistema così importante.

Contesto della vulnerabilità

Il protocollo RADIUS è stato progettato nel 1991. All'epoca, l'ambiente di rete e i concetti di sicurezza erano molto diversi da quelli attuali. Pertanto, RADIUS è stato progettato su UDP. UDP è veloce, ma meno sicuro rispetto ai protocolli di sicurezza moderni come TLS.

Contenuto della vulnerabilità

BlastRADIUS (CVE-2024-3596) sfrutta un attacco di collisione MD5. Anche MD5 è una funzione hash apparsa nei primi anni '90. Tuttavia, nel tempo sono emerse le vulnerabilità di MD5. Gli aggressori possono sfruttarle per manipolare la risposta del server RADIUS. Di conseguenza, è possibile bypassare l'autenticazione ed eseguire l'escalation dei privilegi.

In questo caso, è importante sottolineare la grave vulnerabilità di MD5. Attualmente, nel settore della sicurezza, i sistemi che utilizzano MD5 sono considerati molto insicuri, poiché MD5 è facilmente vulnerabile. Sorprendentemente, oggi è possibile violare un hash MD5 in meno di un minuto. Ciò significa che i sistemi che utilizzano MD5 possono essere violati in tempo reale.

Per questo motivo, i sistemi di password moderni si sono evoluti da MD5 a SHA-1, SHA-2 e SHA-3. Oggi è difficile trovare sistemi che utilizzano MD5 nei sistemi in cui la sicurezza è importante. Tuttavia, il fatto che RADIUS utilizzi ancora MD5 è un motivo di seria preoccupazione.

Ambito di influenza

RADIUS è un elemento fondamentale nelle comunicazioni moderne e nelle reti aziendali. Oltre ai sistemi Wi-Fi aziendali menzionati in precedenza, viene utilizzato in quasi tutti i contesti, inclusi ISP, Wi-Fi pubblici, reti mobili e dispositivi IoT. Pertanto, l'impatto di questa vulnerabilità può essere molto ampio.

Soluzioni

I ricercatori raccomandano la completa eliminazione di RADIUS/UDP. Suggeriscono invece la migrazione a RADIUS over TLS (RADSEC). Inoltre, si consiglia di adottare un approccio multi-hop e di isolare il traffico RADIUS da Internet.

BlastRADIUS è un tipico esempio di 'errore di progettazione' che è diventato una vulnerabilità di sicurezza nel tempo. In particolare, il continuo utilizzo di vecchie tecnologie di crittografia come MD5 è un problema serio. Ciò dimostra che i protocolli di sicurezza devono essere aggiornati continuamente in linea con l'evoluzione tecnologica. Finora non sono stati segnalati casi di attacchi reali che sfruttano questa vulnerabilità. Tuttavia, considerando il potenziale rischio, è necessario intervenire tempestivamente. In particolare, è richiesto un intervento rapido da parte dei produttori di apparecchiature di rete e degli amministratori.