Vulnerabilidade Crítica Descoberta no Protocolo RADIUS de 30 Anos

Falha crítica descoberta no protocolo RADIUS de 30 anos: Vulnerabilidade BlastRADIUS

Uma vulnerabilidade grave foi descoberta no protocolo RADIUS, que era o cerne da autenticação de rede. Essa falha, que ficou escondida por 30 anos, recebeu o nome de 'BlastRADIUS'. Mas por que essa vulnerabilidade permaneceu despercebida por tanto tempo?

O que é RADIUS?

RADIUS é a abreviação de 'Remote Authentication Dial-In User Service'. É um protocolo que autentica usuários que tentam acessar uma rede e concede permissões a eles. Em termos simples, quando um usuário tenta acessar uma rede, ele atua como um porteiro que verifica: "Quem é você? Pode entrar?".

O RADIUS é usado em uma variedade de cenários, e o exemplo mais comum que encontramos em nosso dia a dia é o sistema de autenticação Wi-Fi de empresas. Vejamos um exemplo.

Wi-Fi comum pode ser acessado apenas com uma senha. No entanto, nesse caso, qualquer pessoa que conhece a senha pode acessar, tornando-o vulnerável em termos de segurança. Além disso, não é possível saber com precisão quem acessou e quando.

Por outro lado, o sistema Wi-Fi empresarial que usa RADIUS é diferente. Os funcionários acessam o Wi-Fi com seu próprio ID e senha da empresa. O servidor RADIUS verifica essas informações e permite que apenas usuários autenticados acessem a rede. Dessa forma, é possível saber exatamente quem acessou a rede e quando, e a segurança é aprimorada.

Especialmente em empresas maiores, esse tipo de sistema é amplamente utilizado. Isso ocorre porque centenas ou milhares de funcionários podem acessar a rede com segurança usando suas próprias contas.

Claro, o RADIUS não é usado apenas em Wi-Fi empresarial, mas também em uma variedade de outros cenários:

1. Provedores de serviços de internet (ISP): Autenticação quando clientes acessam a internet
2. VPN: Usado quando usuários remotos acessam a rede da empresa com segurança
3. Hotspots Wi-Fi públicos: Autenticação de usuários e gerenciamento de acesso
4. Rede móvel: Autenticação quando smartphones se conectam a uma rede celular

O RADIUS fornece uma maneira centralizada de autenticação, permitindo que os administradores controlem o acesso de inúmeros usuários de forma eficiente. No entanto, um problema crítico foi encontrado nesse protocolo que desempenha um papel tão vital.

Contexto da vulnerabilidade

O protocolo RADIUS foi projetado em 1991. O ambiente de rede e os conceitos de segurança da época eram muito diferentes dos de hoje. Portanto, o RADIUS foi projetado com base em UDP. O UDP é rápido, mas menos seguro do que protocolos de segurança modernos como TLS.

Conteúdo da vulnerabilidade

O BlastRADIUS (CVE-2024-3596) usa um ataque de colisão MD5. O MD5 também é uma função hash que surgiu no início dos anos 90. No entanto, com o tempo, as vulnerabilidades do MD5 se tornaram aparentes. Os invasores podem usar isso para manipular a resposta do servidor RADIUS. Como resultado, eles podem contornar a autenticação e obter privilégios elevados.

O ponto a ser observado aqui é a vulnerabilidade grave do MD5. Atualmente, a indústria de segurança considera os sistemas que usam MD5 como muito inseguros. Isso ocorre porque o MD5 é muito fácil de ser quebrado. Surpreendentemente, nos dias de hoje, é possível quebrar um hash MD5 em menos de um minuto. Isso significa que os sistemas que usam MD5 podem ser hackeados em tempo real.

Por esse motivo, os sistemas modernos de senhas evoluíram do MD5 para SHA-1, SHA-2 e SHA-3. Hoje em dia, é raro encontrar sistemas que usam MD5 em cenários onde a segurança é importante. No entanto, o fato de o RADIUS ainda usar MD5 é motivo de grande preocupação.

Escopo de impacto

O RADIUS é um elemento essencial das comunicações modernas e das redes corporativas. Além do sistema Wi-Fi empresarial mencionado anteriormente, ele é usado em quase todos os lugares, incluindo ISPs, Wi-Fi públicos, redes móveis e dispositivos IoT. Portanto, o impacto dessa vulnerabilidade pode ser muito amplo.

Medidas de mitigação

Os pesquisadores recomendam a eliminação completa do RADIUS/UDP. Eles sugerem uma mudança para RADIUS over TLS (RADSEC). Além disso, eles também recomendam a introdução de um método multi-hop e a separação do tráfego RADIUS da Internet pública.

O BlastRADIUS é um exemplo típico de 'erro de design' que se tornou uma vulnerabilidade de segurança ao longo do tempo. Em particular, o uso contínuo de tecnologias de criptografia antigas, como MD5, é um problema significativo. Isso demonstra que os protocolos de segurança devem ser atualizados continuamente para acompanhar o ritmo do progresso tecnológico. Até o momento, não houve relatos de ataques reais explorando essa vulnerabilidade. No entanto, dada a ameaça potencial, uma resposta rápida é necessária. Em particular, os fabricantes de equipamentos de rede e os administradores devem agir rapidamente.