মূল কন্টেন্টে যান
বাংলা

MD5 কলিশন অ্যাটাক (BlastRADIUS) এর বিরুদ্ধে RADIUS সুরক্ষিত করা

CVE-2024-3596 BlastRADIUS অ্যাটাক প্রশমিত করুন। RADIUS Message-Authenticator প্রয়োগ করুন, FreeRADIUS ও Cisco ISE প্যাচ করুন এবং 802.1X EAP-TLS-এ মাইগ্রেট করুন।

লিখেছেন Iain Jewittপ্রকাশিত হালনাগাদ করা হয়েছে
📖 8 মিনিট পাঠ1,232 শব্দ2 সমাধানকৃত উদাহরণ2 অনুশীলনী প্রশ্ন5 মূল সংজ্ঞা

Video overview

এই গাইডটি শুনুন

পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
Purple টেকনিক্যাল ব্রিফিংয়ে স্বাগত জানাই। আমি আপনার হোস্ট, Purple-এর একজন সিনিয়র টেকনিক্যাল কনটেন্ট স্ট্র্যাটেজিস্ট। আজ, আমরা এন্টারপ্রাইজ-গ্রেড WiFi পরিচালনাকারী যে কোনও সংস্থার জন্য একটি অত্যন্ত গুরুত্বপূর্ণ এবং জরুরি সমস্যা নিয়ে আলোচনা করব: ৩০ বছরের পুরনো প্রোটোকলের একটি নতুন ব্যবহারিক দুর্বলতা যা আক্রমণকারীদের সরাসরি আপনার ডিজিটাল সদর দরজা দিয়ে ভেতরে প্রবেশ করতে সাহায্য করতে পারে। আমরা কথা বলছি RADIUS প্রোটোকল এবং MD5 কলিশন অ্যাটাক যা Blast-RADIUS নামে পরিচিত তা নিয়ে। হসপিটালিটি, রিটেইল এবং বড় পাবলিক ভেন্যুর আইটি ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট এবং CTO-দের মতো আমাদের শ্রোতাদের জন্য এটি কেবল কোনও তাত্ত্বিক সমস্যা নয়। এটি আপনার নেটওয়ার্কের অখণ্ডতা, ডেটা সুরক্ষা এবং কমপ্লায়েন্স অবস্থানের জন্য একটি সরাসরি হুমকি। আগামী দশ মিনিটে, আমরা এই দুর্বলতাটি কী, এটি কীভাবে কাজ করে এবং সবচেয়ে গুরুত্বপূর্ণ বিষয় হলো, এটি প্রশমিত করার জন্য একটি স্পষ্ট ও কার্যকরী রোডম্যাপ প্রদান করব। আপনি ২০০ কক্ষের একটি হোটেল, একটি জাতীয় রিটেইল চেইন বা ৬০,০০০ আসনের স্টেডিয়ামের জন্য দায়ী হোন না কেন, এই ব্রিফিংটি এই ত্রৈমাসিকে আপনার প্রয়োজনীয় সিদ্ধান্ত নেওয়ার ক্ষেত্রে সরাসরি প্রাসঙ্গিক। আসুন কিছু প্রেক্ষাপট দিয়ে শুরু করা যাক। RADIUS - রিমোট অথেন্টিকেশন ডায়াল-ইন ইউজার সার্ভিস - ১৯৯১ সালে ডায়াল-আপ ইন্টারনেটের যুগে ডিজাইন করা হয়েছিল। এটি একটি ক্লায়েন্ট-সার্ভার প্রোটোকল যা নেটওয়ার্ক অ্যাক্সেসের জন্য অথেন্টিকেশন, অথরাইজেশন এবং অ্যাকাউন্টিং পরিচালনা করে। যখন কোনও স্টাফ সদস্য বা ডিভাইস আপনার এন্টারপ্রাইজ WiFi-এ সংযোগ করে, তখন অ্যাক্সেস পয়েন্টটি একটি RADIUS ক্লায়েন্ট হিসেবে কাজ করে এবং একটি কেন্দ্রীয় RADIUS সার্ভারে একটি অথেন্টিকেশন অনুরোধ পাঠায়। সার্ভারটি ক্রেডেন্সিয়াল চেক করে এবং অ্যাক্সেস-অ্যাকসেপ্ট (Access-Accept) বা অ্যাক্সেস-রিজেক্ট (Access-Reject) দিয়ে প্রতিক্রিয়া জানায়। এই আদান-প্রদান তিন দশকেরও বেশি সময় ধরে এন্টারপ্রাইজ নেটওয়ার্ক সুরক্ষার মেরুদণ্ড হিসেবে কাজ করছে। সমস্যাটি হলো, আধুনিক ক্রিপ্টোগ্রাফিক স্ট্যান্ডার্ড তৈরি হওয়ার আগেই RADIUS ডিজাইন করা হয়েছিল। সার্ভারের প্রতিক্রিয়াগুলিতে একটি মৌলিক অখণ্ডতা পরীক্ষা প্রদানের জন্য এই প্রোটোকলটি MD5 হ্যাশিং অ্যালগরিদম ব্যবহার করে - যা রেসপন্স অথেনটিকেটর (Response Authenticator) নামে একটি ফিল্ড। ২০০৪ সালে প্রথমবার দেখানো হয়েছিল যে MD5 ক্রিপ্টোগ্রাফিকভাবে ভেঙে ফেলা সম্ভব। তবুও আমরা ২০২৪ সালে দাঁড়িয়ে আছি এবং RADIUS এখনও এর ওপর নির্ভর করছে। ইন্ডাস্ট্রি জানত যে MD5 দুর্বল ছিল। প্রোটোকলটি কেবল কখনও আপডেট করা হয়নি। এবার আসা যাক কারিগরি গভীরে। Blast-RADIUS আক্রমণটি, যা আনুষ্ঠানিকভাবে CVE-2024-3596 হিসেবে চিহ্নিত, ২০২৪ সালের জুলাই মাসে বোস্টন ইউনিভার্সিটি, ইউসি সান দিয়েগো, সিডব্লিউআই আমস্টারডাম এবং মাইক্রোসফট রিসার্চ-এর গবেষকদের একটি দল প্রকাশ করেছিল। এটি একটি প্রোটোকল-স্তরের দুর্বলতার সাথে একটি MD5 চোজেন-প্রিফিক্স কলিশন অ্যাটাককে একত্রিত করে - এবং অত্যন্ত গুরুত্বপূর্ণভাবে, উল্লেখযোগ্য গতি উন্নতির সাথে যা আক্রমণটিকে রিয়েল টাইমে ব্যবহারিক করে তোলে। এটি যেভাবে কাজ করে তা এখানে দেওয়া হলো। একজন ম্যান-ইন-দ্য-মিডল আক্রমণকারী RADIUS ক্লায়েন্ট - আপনার অ্যাক্সেস পয়েন্ট - এবং RADIUS সার্ভারের মধ্যকার নেটওয়ার্ক পাথে নিজেকে অবস্থান করায়। যখন কোনো ব্যবহারকারী প্রমাণীকরণের চেষ্টা করেন, তখন আক্রমণকারী Access-Request প্যাকেটটি আটকে দেয়। তারা এই অনুরোধের মধ্যে একটি বিশেষভাবে তৈরি ক্ষতিকারক অ্যাট্রিবিউট ইনজেক্ট করে। এই অ্যাট্রিবিউটটি একটি গাণিতিক কলিশন তৈরি করার জন্য ডিজাইন করা হয়েছে: এমন একটি পরিস্থিতি যেখানে দুটি ভিন্ন ইনপুট একই MD5 হ্যাশ তৈরি করে। আক্রমণকারী এই কলিশনটি আগে থেকেই হিসাব করে রাখে যাতে সার্ভার থেকে আসা বৈধ Access-Reject প্রতিক্রিয়ার MD5 হ্যাশ আক্রমণকারীর তৈরি করা একটি জাল Access-Accept প্রতিক্রিয়ার MD5 হ্যাশের সাথে মিলে যায়। সার্ভার যখন তার Access-Reject ফেরত পাঠায়, আক্রমণকারী তখন তাদের তৈরি জাল Access-Accept প্রতিস্থাপন করে। RADIUS ক্লায়েন্ট Response Authenticator পরীক্ষা করে এটিকে বৈধ বলে মনে করে - কারণ MD5 হ্যাশগুলো মিলে যায় - এবং নেটওয়ার্ক অ্যাক্সেস মঞ্জুর করে। আক্রমণকারীকে কখনোই ব্যবহারকারীর পাসওয়ার্ড জানার প্রয়োজন হয়নি। RADIUS ক্লায়েন্ট এবং সার্ভারের মধ্যকার শেয়ারড সিক্রেট জানারও তাদের কোনো প্রয়োজন হয়নি। তারা জাল প্রতিক্রিয়াটিকে বৈধ দেখানোর জন্য কেবল MD5-এর গাণিতিক দুর্বলতাকে কাজে লাগিয়েছে। আর আধুনিক হার্ডওয়্যারের সাহায্যে, প্রয়োজনীয় MD5 কলিশন পাঁচ মিনিটেরও কম সময়ে হিসাব করা সম্ভব। এটি কোনো তাত্ত্বিক আক্রমণ নয়। এটি আজ বাস্তবিকভাবেই কার্যকর। এই দুর্বলতা UDP-র মাধ্যমে PAP - পাসওয়ার্ড অথেন্টিকেশন প্রোটোকল - CHAP এবং MS-CHAP প্রমাণীকরণ মোড ব্যবহার করা সমস্ত RADIUS ডেপ্লয়মেন্টকে প্রভাবিত করে। এগুলো এন্টারপ্রাইজ পরিবেশে অত্যন্ত সাধারণ, বিশেষ করে লিগ্যাসি ডেপ্লয়মেন্টে। একমাত্র প্রমাণীকরণ মোড যা সুরক্ষিত তা হলো EAP - এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল - ব্যবহারকারী মোডগুলো, কারণ EAP নিজস্ব ক্রিপ্টোগ্রাফিক টানেল স্থাপন করে যা MD5 Response Authenticator থেকে স্বাধীন। ব্যবসায়িক ঝুঁকিটিকে আমি একটু সহজভাবে ব্যাখ্যা করি। একটি হোটেল চেইনের কথা চিন্তা করুন। একজন আক্রমণকারী যে কর্পোরেট নেটওয়ার্কে অননুমোদিত অ্যাক্সেস পায়, সে প্রপার্টি ম্যানেজমেন্ট সিস্টেমে পৌঁছানোর জন্য ল্যাটারালি মুভ করতে পারে, অতিথিদের রেকর্ড অ্যাক্সেস করতে পারে, পয়েন্ট-অফ-সেল টার্মিনালে পৌঁছাতে পারে এবং সম্ভাব্যভাবে পেমেন্ট কার্ডের ডেটা চুরি করতে পারে। হসপিটালিটি সেক্টরে ডেটা লঙ্ঘনের গড় খরচ তিন মিলিয়ন পাউন্ড ছাড়িয়ে যায়। GDPR-এর অধীনে, অতিথিদের ব্যক্তিগত ডেটা জড়িত এমন লঙ্ঘনের জন্য বিশ্বব্যাপী বার্ষিক টার্নওভারের চার শতাংশ পর্যন্ত জরিমানা হতে পারে। PCI DSS-এর অধীনে, কার্ডহোল্ডার ডেটা জড়িত লঙ্ঘনের ফলে বাধ্যতামূলক ফরেনসিক তদন্ত, কার্ড ব্র্যান্ডের জরিমানা এবং পেমেন্ট প্রসেসিং সুবিধা হারানোর সম্ভাবনা থাকতে পারে। আর্থিক এবং সুনামগত ঝুঁকি এখানে অত্যন্ত বেশি। এবার বাস্তবায়নের সুপারিশমালা। আপনি কীভাবে এর বিরুদ্ধে প্রতিরোধ গড়ে তুলবেন? এর প্রতিকার দুটি স্তরে রয়েছে: তাৎক্ষণিক হার্ডেনিং এবং দীর্ঘমেয়াদী আধুনিকীকরণ।করণ।।করণ।॰ণ।‌করণ। তাৎক্ষণিক পদক্ষেপ হলো CVE-2024-3596-এর জন্য ভেন্ডর প্যাচগুলি প্রয়োগ করা। প্রতিটি প্রধান RADIUS ভেন্ডর - Cisco ISE, Microsoft NPS, FreeRADIUS, Juniper, Aruba, Ruckus - আপডেট রিলিজ করেছে। প্যাচিংয়ের পাশাপাশি, সমস্ত RADIUS ক্লায়েন্ট এবং সার্ভারে Message-Authenticator অ্যাট্রিবিউট প্রয়োগ করা অত্যন্ত গুরুত্বপূর্ণ কনফিগারেশন পরিবর্তন। RFC 2869-এ সংজ্ঞায়িত এই অ্যাট্রিবিউটটি সম্পূর্ণ RADIUS প্যাকেটের উপর একটি HMAC-ভিত্তিক ইন্টিগ্রিটি চেক প্রদান করে। Response Authenticator-এর বিপরীতে, HMAC গঠনটি chosen-prefix কলিশন অ্যাটাকের শিকার হয় না। এই অ্যাট্রিবিউটটি বাধ্যতামূলক করতে এবং এটি ছাড়া আসা যেকোনো বার্তা প্রত্যাখ্যান করতে আপনার ইনফ্রাস্ট্রাকচার কনফিগার করা হলে তা তাৎক্ষণিক অ্যাটাক ভেক্টরটিকে বন্ধ করে দেয়। FreeRADIUS-এর জন্য, এর অর্থ হলো আপনার ক্লায়েন্ট কনফিগারেশন ফাইলে require_message_authenticator equals yes সেট করা। Microsoft NPS-এর জন্য, এটি আপনার Network Policy কনফিগারেশনের একটি পলিসি সেটিং। এটি একটি কম ব্যাঘাত সৃষ্টিকারী পরিবর্তন যা সাধারণত একটি রক্ষণাবেক্ষণ উইন্ডোর মধ্যেই প্রয়োগ করা যেতে পারে। যাইহোক, Message-Authenticator প্রয়োগ করা একটি সাময়িক ব্যবস্থা মাত্র, কোনো স্থায়ী সমাধান নয়। দীর্ঘমেয়াদী কৌশলগত প্রতিক্রিয়া হলো EAP-ভিত্তিক অথেন্টিকেশনে মাইগ্রেট করা। এর গোল্ড স্ট্যান্ডার্ড হলো EAP-TLS সহ WPA3-Enterprise। EAP-TLS সার্টিফিকেট-ভিত্তিক পারস্পরিক অথেন্টিকেশন ব্যবহার করে - ক্লায়েন্ট ডিভাইস এবং RADIUS সার্ভার উভয়কেই একটি বিশ্বস্ত Certificate Authority থেকে বৈধ ডিজিটাল সার্টিফিকেট প্রদর্শন করতে হবে। এটি শেয়ার্ড সিক্রেট সম্পূর্ণভাবে দূর করে, MD5-এর উপর নির্ভরতা সরিয়ে দেয় এবং এমন এক স্তরের নিরাপত্তা প্রদান করে যা Blast-RADIUS যে ধরনের আক্রমণের প্রতিনিধিত্ব করে সেই সমস্ত আক্রমণের বিরুদ্ধে প্রতিরোধী। এমন পরিবেশের জন্য যেখানে একটি সম্পূর্ণ PKI ইনফ্রাস্ট্রাকচার স্থাপন করা জটিল - বিশেষ করে উচ্চ ডিভাইস টার্নওভার বা ব্রিং-ইউর-ওন-ডিভাইস পলিসি সহ ভেন্যুগুলিতে - MSCHAPv2 সহ PEAP একটি গ্রহণযোগ্য অন্তর্বর্তীকালীন পদক্ষেপ হতে পারে, যদি ক্লায়েন্টদের RADIUS সার্ভার সার্টিফিকেট যাচাই করার জন্য কনফিগার করা হয়। সার্ভার সার্টিফিকেট যাচাইকরণ ছাড়া, PEAP রোগ অ্যাক্সেস পয়েন্ট অ্যাটাকের শিকার হতে পারে, যা একটি পৃথক কিন্তু সমানভাবে গুরুতর ঝুঁকি। আধুনিকীকরণ রোডম্যাপের চূড়ান্ত ধাপ হলো TLS-এর মাধ্যমে RADIUS স্থাপন করা, যা RADSEC নামে পরিচিত। RADSEC একটি পারস্পরিকভাবে অথেন্টিকেটেড TLS সেশনের মধ্যে সমস্ত RADIUS ট্রাফিককে এনক্যাপসুলেট করে, যা সম্পূর্ণ অথেন্টিকেশন বিনিময়ের জন্য সম্পূর্ণ গোপনীয়তা এবং ইন্টিগ্রিটি প্রদান করে। এটি Blast-RADIUS-এর মতো ট্রান্সপোর্ট-লেয়ার আক্রমণকে অসম্ভব করে তোলে, কারণ সেখানে ইন্টারসেপ্ট করার মতো কোনো আনএনক্রিপ্টেড RADIUS ট্রাফিক থাকে না। RADSEC বিশেষ করে ডিস্ট্রিবিউটেড পরিবেশের জন্য মূল্যবান - হোটেল চেইন, রিটেইল নেটওয়ার্ক, স্টেডিয়াম কমপ্লেক্স - যেখানে RADIUS ট্রাফিক অ্যাক্সেস পয়েন্ট এবং সেন্ট্রাল অথেন্টিকেশন সার্ভারের মধ্যে একাধিক নেটওয়ার্ক সেগমেন্ট অতিক্রম করতে পারে। চলুন দ্রুত কিছু প্রশ্নোত্তর দেখে নেওয়া যাক। প্রশ্ন এক: আমরা EAP ব্যবহার করি। আমরা কি নিরাপদ? আপনি যদি EAP-TLS, PEAP, বা EAP-TTLS ব্যবহার করেন, তাহলে আপনি নির্দিষ্ট Blast-RADIUS MD5 কলিশন অ্যাটাকের জন্য ঝুঁকিপূর্ণ নন। তবে, গভীরতর প্রতিরক্ষা ব্যবস্থা হিসাবে আপনার এখনও ভেন্ডর প্যাচগুলি প্রয়োগ করা উচিত এবং সমস্ত ক্লায়েন্টে সার্ভার সার্টিফিকেট যাচাইকরণ প্রয়োগ করা হয়েছে কিনা তা নিশ্চিত করতে আপনার কনফিগারেশন অডিট করা উচিত।প্রশ্ন দুই: আমাদের RADIUS ট্রাফিক একটি ডেডিকেটেড ম্যানেজমেন্ট VLAN-এর মধ্যে রয়েছে। এটি কি আমাদের সুরক্ষিত করে? এটি অ্যাটাক সারফেস কমায়, কিন্তু দুর্বলতা পুরোপুরি দূর করে না। যে আক্রমণকারী ইতিমধ্যেই ম্যানেজমেন্ট নেটওয়ার্কের যেকোনো ডিভাইসের নিরাপত্তা বিঘ্নিত করেছে, সে এখনও একটি ম্যান-ইন-দ্য-মিডল আক্রমণ চালাতে পারে। সেগমেন্টেশন প্রতিরক্ষার একটি মূল্যবান স্তর, তবে এটিকে অবশ্যই Message-Authenticator প্রয়োগ এবং EAP মাইগ্রেশনের সাথে একত্রিত করতে হবে। প্রশ্ন তিন: তাৎক্ষণিক প্রশমন কতটা কঠিন? বেশিরভাগ পরিবেশের জন্য, Message-Authenticator প্রয়োগ করা একটি সহজ কনফিগারেশন পরিবর্তন। প্রাথমিক চ্যালেঞ্জ হলো সমস্ত নেটওয়ার্ক ডিভাইস - অ্যাক্সেস পয়েন্ট, সুইচ, কন্ট্রোলার - এই অ্যাট্রিবিউটটি সমর্থন করে এবং এটি সক্রিয় রয়েছে কিনা তা নিশ্চিত করা। লেগ্যাসি হার্ডওয়্যারে অথেনটিকেশন ব্যর্থতা এড়াতে সার্ভার-সাইডে প্রয়োজনীয়তা প্রয়োগ করার আগে একটি ডিভাইস অডিট করা অপরিহার্য। প্রশ্ন চার: আমি কি আক্রমণ করা হয়েছে কিনা তা সনাক্ত করতে পারি? এটি অত্যন্ত কঠিন। জালিয়াতি করা Access-Accept প্যাকেটটি RADIUS ক্লায়েন্টের কাছে বৈধ বলে মনে হয় কারণ MD5 হ্যাশটি মিলে যায়। আপনার সেরা সনাক্তকরণ পদ্ধতি হলো অসঙ্গতিপূর্ণ সফল অথেনটিকেশনের জন্য RADIUS অ্যাকাউন্টিং লগগুলি পর্যবেক্ষণ করা - যেমন অপ্রত্যাশিত ডিভাইসের ধরন, MAC অ্যাড্রেস যা আপনার ইনভেন্টরির সাথে মেলে না, বা অস্বাভাবিক সময়ে সফল লগইন। স্বয়ংক্রিয় সতর্কতার জন্য আপনার SIEM-এর সাথে আপনার RADIUS অ্যাকাউন্টিং ডেটা সংযুক্ত করুন। সংক্ষেপে এবং আপনার পরবর্তী পদক্ষেপগুলির রূপরেখা জানাতে। Blast-RADIUS দুর্বলতা হলো UDP-র মাধ্যমে লেগ্যাসি RADIUS অথেনটিকেশন চালানো যেকোনো প্রতিষ্ঠানের জন্য একটি গুরুতর, বাস্তবিকভাবে ব্যবহারযোগ্য হুমকি। এই আক্রমণের জন্য কোনো ক্রেডেনশিয়াল তথ্যের প্রয়োজন হয় না এবং এটি মাত্র কয়েক মিনিটের মধ্যে কার্যকর করা যেতে পারে। আপনার তাৎক্ষণিক অগ্রাধিকার হলো আপনার পরিকাঠামো অডিট করা, ভেন্ডর প্যাচগুলি প্রয়োগ করা এবং সমস্ত RADIUS ক্লায়েন্ট ও সার্ভারে Message-Authenticator অ্যাট্রিবিউট প্রয়োগ করা। আপনার মধ্যমেয়াদী লক্ষ্য হলো EAP-TLS এবং WPA3-Enterprise-এ মাইগ্রেট করা। আপনার দীর্ঘমেয়াদী আর্কিটেকচারাল লক্ষ্য হলো RADSEC। Purple-এ, আমরা সেই ইন্টেলিজেন্স লেয়ার প্রদান করি যা আপনাকে আপনার ভেন্যুর WiFi নেটওয়ার্ক বুঝতে এবং সুরক্ষিত করতে সাহায্য করে। আমাদের প্ল্যাটফর্ম আপনাকে ডিভাইসের ধরন সনাক্ত করতে, অথেনটিকেশন প্যাটার্ন নিরীক্ষণ করতে এবং আপনার এস্টেটের প্রতিটি অ্যাক্সেস পয়েন্ট জুড়ে আপনার নিরাপত্তা নীতিগুলি কার্যকরভাবে প্রয়োগ করা হচ্ছে তা নিশ্চিত করার দৃশ্যমানতা দেয়। আপনার কর্মপরিকল্পনা হলো তিনটি শব্দ: অডিট, প্যাচ এবং আধুনিকীকরণ। একটি ৩০ বছরের পুরানো প্রোটোকলকে আপনার নিরাপত্তা ব্যবস্থার দুর্বল লিঙ্ক হতে দেবেন না। এই Purple টেকনিক্যাল ব্রিফিংয়ে যোগ দেওয়ার জন্য ধন্যবাদ। সুরক্ষিত থাকুন।

আমাদের মূল সিরিজের অংশ: এন্টারপ্রাইজ WiFi সিকিউরিটি গাইড →

Interactive Security Diagnostic

BlastRADIUS audit and RADIUS hardening readiness calculator

Evaluate your authentication servers, Message-Authenticator policy, and transport encryption to calculate CVE-2024-3596 MD5 collision exposure and generate an enterprise remediation playbook.

Network authentication profile

BlastRADIUS risk score

Critical Risk
Hardened (0%)Calculated exposure: 95%Critical (100%)

Immediate action required. Your RADIUS infrastructure is susceptible to BlastRADIUS authentication bypass. Enforce Message-Authenticator and restrict unencrypted UDP transport immediately.

MD5 chosen-prefix collision risk:

Vulnerable to BlastRADIUS (CVE-2024-3596): an on-path attacker can forge Access-Accept responses by injecting chosen-prefix MD5 collisions within 3 to 5 minutes.

In-transit interception attack surface:

High Exposure: unencrypted UDP ports 1812/1813 allow passive packet capture, ARP spoofing, and rogue gateway injection anywhere on the path between the NAS and the RADIUS server.

NAS fleet interoperability:

Moderate Operational Risk: Legacy switches or older wireless access points may lack support, causing failed logins if strict enforcement is enabled globally without testing.

Useful? Link to this tool

MD5 কলিশন অ্যাটাকের বিরুদ্ধে RADIUS সুরক্ষিত করা

এক্সিকিউটিভ সামারি

IETF RFC 2865-এ সংজ্ঞায়িত রিমোট অথেন্টিকেশন ডায়াল-ইন ইউজার সার্ভিস (RADIUS) প্রোটোকলটি তিন দশকেরও বেশি সময় ধরে এন্টারপ্রাইজ নেটওয়ার্কগুলোর জন্য কেন্দ্রীয় অথেন্টিকেশন ফ্রেমওয়ার্ক হিসেবে কাজ করছে। তবে, CVE-2024-3596 (যা BlastRADIUS নামে পরিচিত) এর প্রকাশ একটি অত্যন্ত ঝুঁকিপূর্ণ প্রোটোকল ত্রুটি সামনে এনেছে, যা নির্দেশ করে যে RADIUS কীভাবে MD5-ভিত্তিক Response Authenticator ফিল্ডগুলো প্রসেস করে।

MD5 চোজেন-প্রিফিক্স কলিশন টেকনিকগুলো ব্যবহার করে, একটি RADIUS ক্লায়েন্ট (যেমন একটি ওয়্যারলেস অ্যাক্সেস পয়েন্ট বা সুইচ) এবং একটি RADIUS সার্ভারের মধ্যে নেটওয়ার্ক পাথে অবস্থানকারী একজন ম্যান-ইন-দ্য-মিডল (MitM) আক্রমণকারী জাল অথেন্টিকেশন অনুমোদন তৈরি করতে পারে। একজন আক্রমণকারী ব্যবহারকারীর ক্রেডেনশিয়াল না জেনেই বা শেয়ার করা RADIUS সিক্রেট না জেনেই রিয়েল টাইমে একটি বৈধ Access-Reject প্যাকেটকে একটি Access-Accept প্যাকেটে রূপান্তরিত করতে পারে।

এই টেকনিক্যাল গাইডটিতে BlastRADIUS আক্রমণের ক্রিপ্টোগ্রাফিক মেকানিক্সের রূপরেখা দেওয়া হয়েছে, Message-Authenticator প্রয়োগের মাধ্যমে তাৎক্ষণিক ভেন্ডর প্রশমন কৌশলগুলো বিস্তারিতভাবে আলোচনা করা হয়েছে এবং ওয়াইফাই (WiFi) ইনফ্রাস্ট্রাকচারকে জিরো-ট্রাস্ট EAP-TLS এবং Purple ক্লাউড RADIUS-এ স্থানান্তরিত করার জন্য একটি এন্টারপ্রাইজ রোডম্যাপ প্রদান করা হয়েছে।

MD5 কলিশন আক্রমণের টেকনিক্যাল মেকানিক্স (CVE-2024-3596)

BlastRADIUS বোঝার জন্য RFC 2865 এর অধীনে প্রতিষ্ঠিত RADIUS প্যাকেট হেডার স্ট্রাকচার পরীক্ষা করা প্রয়োজন:

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|     Code      |  Identifier   |            Length             |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                                                               |
|                     Request Authenticator                     |
|                                                               |
|                                                               |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|  Attributes...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

RFC 2865-এ ক্রিপ্টোগ্রাফিক ত্রুটি

যখন একটি RADIUS সার্ভার কোনো Access-Request-এ সাড়া দেয়, তখন এটি রেসপন্স কোড, আইডেন্টিফায়ার, লেন্থ, রিকোয়েস্ট অথেন্টিকেটর, অ্যাট্রিবিউট এবং শেয়ার্ড সিক্রেটের ওপর একটি MD5 হ্যাশ গণনা করে:

Response Authenticator = MD5(Code + ID + Length + Request Authenticator + Attributes + Shared Secret)

যেহেতু MD5 চোজেন-প্রিফিক্স কলিশনের প্রতি সংবেদনশীল, তাই একজন আক্রমণকারী নিম্নলিখিত ধাপগুলো সম্পাদন করে:

  1. Access-Request ইন্টারসেপ্ট করা: একটি অ্যাক্সেস পয়েন্ট দ্বারা পাঠানো একটি বৈধ Access-Request ইন্টারসেপ্ট বা মাঝপথে আটকে দেওয়া।
  2. কলিশন প্রিফিক্স ইনজেক্ট করা: রিকোয়েস্ট প্যাকেটটি RADIUS সার্ভারে ফরোয়ার্ড করার আগে সেটিতে ক্রাফট করা Proxy-State অ্যাট্রিবিউট যুক্ত করা।
  3. Intercept Access-Reject: যখন RADIUS সার্ভার প্রমাণীকরণের প্রচেষ্টা প্রত্যাখ্যান করে এবং একটি Access-Reject ফেরত দেয়, তখন আক্রমণকারী প্যাকেটটি ইন্টারসেপ্ট করে।
  4. Forge Access-Accept: আক্রমণকারী রেসপন্স কোড পরিবর্তন করে Access-Accept-এ রূপান্তর করে এবং অ্যাট্রিবিউট পে-লোডগুলি পরিবর্তন করে। যেহেতু আগে থেকে গণনা করা কলিশন প্রিফিক্স একটি অভিন্ন MD5 আউটপুট ডাইজেস্ট তৈরি করে, অ্যাক্সেস পয়েন্টটি জাল করা Access-Accept-কে আসল হিসেবে যাচাই করে।

ধাপে ধাপে প্রশমন রোডম্যাপ

ধাপ ১: Message-Authenticator (RFC 2869) বাধ্যতামুলক করা

Message-Authenticator অ্যাট্রিবিউট (অ্যাট্রিবিউট ৮০) হেডার ফিল্ড এবং পে-লোড অ্যাট্রিবিউট সহ সম্পূর্ণ RADIUS প্যাকেটের উপর একটি ডিজিটাল স্বাক্ষর গণনা করতে HMAC-MD5 ব্যবহার করে:

Message-Authenticator = HMAC-MD5(RADIUS Packet, Shared Secret)

যেহেতু HMAC-MD5 চোজেন-প্রিফিক্স কলিশন অ্যাটাকের বিরুদ্ধে প্রতিরোধী, তাই সমস্ত ক্লায়েন্ট রিকোয়েস্ট এবং সার্ভার রেসপন্সে অ্যাট্রিবিউট ৮০ বাধ্যতামূলক করলে BlastRADIUS এক্সপ্লয়টেশন অসম্ভব হয়ে পড়ে।

ভেন্ডর ইমপ্লিমেন্টেশন কমান্ড

RADIUS ভেন্ডর কনফিগারেশন কমান্ড / অ্যাকশন সর্বনিম্ন সমর্থিত সংস্করণ
FreeRADIUS clients.conf-এ require_message_authenticator-কে yes হিসেবে সেট করুন v3.0.27 / v3.2.5
Cisco ISE Require Message-Authenticator for all RADIUS Requests সক্রিয় করুন v3.1 Patch 8 / v3.2 Patch 4
Aruba ClearPass RADIUS সার্ভিসে Enforce Message-Authenticator টগল করুন v6.11.7 / v6.12.2
Microsoft NPS রেজিস্ট্রি DWORD RequireMessageAuthenticator মান 1 প্রয়োগ করুন Windows Server 2019/2022 KB5040442
Ruckus SmartZone AAA সার্ভারের অধীনে Message-Authenticator Enforcement সক্রিয় করুন v6.1.2 Patch 1 
# FreeRADIUS clients.conf hardening snippet
# Ensure require_message_authenticator is set to yes for client blocks
client branch_ap_cluster {
    ipaddr_range: 192.168.10.0/24
    secret_key: EnterpriseSecret2026!
    require_message_authenticator_option: yes
    limit_connections: 16
    idle_timeout_sec: 30
}

# Microsoft NPS Registry Hardening via PowerShell
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\RemoteAccess\Policy" `
    -Name "RequireMessageAuthenticator" -Value 1 -PropertyType DWORD -Force
Restart-Service IAS

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।

তুলনামূলক নিরাপত্তা ম্যাট্রিক্স: RADIUS হার্ডেনিং বিকল্পসমূহ

হার্ডেনিং ব্যবস্থা দুর্বলতা সুরক্ষা বাস্তবায়ন প্রচেষ্টা ক্লায়েন্ট সামঞ্জস্যতা কর্মক্ষম প্রভাব
Message-Authenticator (RFC 2869) CVE-2024-3596 ব্লক করে কম (কনফিগারেশন পরিবর্তন) আধুনিক AP-এর সাথে সামঞ্জস্যপূর্ণ ন্যূনতম ডাউনটাইম
RADSEC (RFC 6614) সম্পূর্ণ WAN TLS 1.3 এনক্রিপশন মাঝারি (প্রক্সি ডেপ্লয়মেন্ট) TCP 2083 সমর্থন প্রয়োজন MitM ঝুঁকি দূর করে
802.1X EAP-TLS Migration জিরো-ট্রাস্ট পারস্পরিক সার্টিফিকেট প্রমাণীকরণ মাঝারি থেকে উচ্চ (PKI / SCEP) সমস্ত কর্পোরেট OS সমর্থিত পাসওয়ার্ডের প্রয়োজনীয়তা দূর করে
Purple Cloud RADIUS এন্ড-টু-এন্ড ক্লাউড RADIUS + RADSEC কম (টার্নকি ক্লাউড ইন্টিগ্রেশন) ইউনিভার্সাল 802.1X সমর্থন স্বয়ংক্রিয় সার্টিফিকেট লাইফসাইকেল

RADSEC (RFC 6614) এবং EAP-TLS-এ উত্তরণ

ঐতিহ্যগত RADIUS এনক্রিপ্টবিহীন UDP পোর্ট 1812 এবং 1813 এর মাধ্যমে কাজ করে। অবিশ্বস্ত WAN লিঙ্কের মাধ্যমে প্রমাণীকরণ ট্র্যাফিক পাঠানো হলে তা প্যাকেট হেডারগুলিকে সক্রিয় বাধার মুখে ফেলে।

RADSEC (RADIUS over TLS) স্থাপন করলে তা RADIUS প্যাকেটগুলিকে একটি এনক্রিপ্টেড TCP TLS 1.3 টানেলের মধ্যে সুরক্ষিত করে:

  • পোর্ট: TCP 2083
  • এনক্রিপশন: AES-256-GCM সাইফার স্যুট সহ TLS 1.3
  • প্রমাণীকরণ: ক্লায়েন্ট প্রক্সি এবং সার্ভার এন্ডপয়েন্টের মধ্যে পারস্পরিক X.509 সার্টিফিকেট যাচাইকরণ
flowchart LR
    A[\"Wireless Endpoints (Laptops/IoT)\"] -->|WPA3-Enterprise 802.1X| B[\"Access Points / Switches\"]
    B -->|RADSEC TLS 1.3 Port 2083| C[\"Purple Cloud RADIUS\"]
    C -->|REST / SCIM API| D[\"Cloud IdP (Entra ID / Okta / Google)\"]

Purple Cloud RADIUS এর মূল আর্কিটেকচারাল সুবিধাসমূহ

  1. জিরো-টাচ 802.1X সার্টিফিকেট অনবোর্ডিং: পরিচালিত ডিভাইসগুলির জন্য SCEP এবং EST সার্টিফিকেট প্রদানকে স্বয়ংক্রিয় করে, যা ম্যানুয়াল পাসওয়ার্ড কনফিগারেশনের প্রয়োজনীয়তা দূর করে।
  2. বিল্ট-ইন RADSEC প্রক্সি আর্কিটেকচার: জটিল সাইট-টু-সাইট IPsec টানেল ছাড়াই এনক্রিপ্ট করা TCP সংযোগের মাধ্যমে দূরবর্তী শাখার ট্র্যাফিক সুরক্ষিত করে।
  3. ব্যাপক গেস্ট এবং কর্পোরেট নিরাপত্তা: GDPR-সম্মত Captive Portal গেস্ট অনবোর্ডিংয়ের সাথে এন্টারপ্রাইজ 802.1X প্রমাণীকরণকে একত্রিত করে।

এন্টারপ্রাইজ কমপ্লায়েন্স এবং অডিট প্রভাব

PCI DSS v4.0 প্রয়োজনীয়তা

PCI DSS v4.0 এর অধীনে, অনিরাময়কৃত RADIUS অবকাঠামো পেমেন্ট কার্ড পরিবেশকে মারাত্মক অডিট অ-সম্মতির ঝুঁকিতে ফেলে:

  • প্রয়োজনীয়তা 8.3: সমস্ত প্রশাসনিক অ্যাক্সেসের জন্য মাল্টি-ফ্যাক্টর অথেন্টিকেশন এবং শক্তিশালী শংসাপত্র পরিচালনা বাধ্যতামূলক করে।
  • প্রয়োজনীয়তা 8.6: দুর্বল ক্রিপ্টোগ্রাফিক অ্যালগরিদম (যেমন আনকিড MD5 ডাইজেস্ট) এর উপর নির্ভরতা নিষিদ্ধ করে।
  • প্রয়োজনীয়তা 1.3: গেস্ট, IoT এবং কার্ডহোল্ডার ডেটা পরিবেশের (CDE) মধ্যে কঠোর নেটওয়ার্ক সেগমেন্টেশন প্রয়োজন।

ISO 27001 এবং GDPR সমন্বয়

এনক্রিপ্টবিহীন বা দুর্বল RADIUS প্রমাণীকরণ বজায় রাখা ISO 27001:2022 কন্ট্রোল A.8.20 (নেটওয়ার্ক নিরাপত্তা) এবং GDPR আর্টিকেল 32 (প্রসেসিংয়ের নিরাপত্তা) লঙ্ঘন করে। EAP-TLS এবং RADSEC-এ আপগ্রেড করা একটি নথিভুক্ত ক্রিপ্টোগ্রাফিক কমপ্লায়েন্স প্রতিষ্ঠা করে।

Purple এর সাথে আপনার RADIUS সিকিউরিটি পোসচার মূল্যায়ন করুন

আপনার এন্টারপ্রাইজ WiFi অবকাঠামো কি BlastRADIUS (CVE-2024-3596) এর কাছে ঝুঁকিপূর্ণ? Purple বিল্ট-ইন RADSEC এনক্রিপশন, স্বয়ংক্রিয় SCEP সার্টিফিকেট প্রভিশনিং এবং নির্বিঘ্ন আইডেন্টিটি প্রোভাইডার ইন্টিগ্রেশন সহ জিরো-ট্রাস্ট ক্লাউড RADIUS সমাধান প্রদান করে।

  • স্বয়ংক্রিয় 802.1X EAP-TLS অনবোর্ডিং: কর্পোরেট এন্ডপয়েন্ট জুড়ে লিগ্যাসি পাসওয়ার্ডের প্রয়োজনীয়তা দূর করুন।
  • টার্নকি RADSEC ক্লাউড প্রক্সি: VPN ওভারহেড ছাড়াই TLS 1.3 এর মাধ্যমে ব্রাঞ্চ অথেন্টিকেশন ট্র্যাফিক এনক্রিপ্ট করুন।
  • একীভূত নিরাপত্তা এবং অ্যানালিটিক্স: GDPR-সম্মত গেস্ট WiFi এর পাশাপাশি কর্পোরেট 802.1X নিরাপত্তা পরিচালনা করুন।

একজন RADIUS নিরাপত্তা বিশেষজ্ঞের সাথে কথা বলুন

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

EAP-TLS কি BlastRADIUS এর কাছে ঝুঁকিপূর্ণ?

না। EAP-TLS, PEAP, এবং EAP-TTLS ক্লায়েন্ট ডিভাইস এবং RADIUS সার্ভারের মধ্যে একটি স্বাধীন TLS টানেল স্থাপন করে। এই ক্রিপ্টোগ্রাফিক টানেলটি লিগ্যাসি RADIUS Response Authenticator MD5 ডাইজেস্ট থেকে স্বাধীনভাবে কাজ করে, যা EAP প্রমাণীকরণকে CVE-2024-3596 থেকে সুরক্ষিত করে।

Message-Authenticator (RFC 2869) কীভাবে CVE-2024-3596 প্রতিরোধ করে?

Message-Authenticator (Attribute 80) শেয়ারড সিক্রেট ব্যবহার করে সম্পূর্ণ RADIUS প্যাকেট স্বাক্ষর করতে HMAC-MD5 ব্যবহার করে। স্ট্যান্ডার্ড MD5 Response Authenticators-এর বিপরীতে, HMAC-MD5 ক্রিপ্টোগ্রাফিকভাবে chosen-prefix কোলিশন অ্যাটাক প্রতিরোধী, যা প্যাকেট জালিয়াতি অসম্ভব করে তোলে।

UDP RADIUS এবং RADSEC (RFC 6614)-এর মধ্যে পার্থক্য কী?

স্ট্যান্ডার্ড RADIUS আনএনক্রিপ্টেড UDP পোর্ট 1812 এবং 1813-এর মাধ্যমে প্লেইনটেক্সটে প্রমাণীকরণ প্যাকেট পরিবহন করে। RADSEC পোর্ট 2083-এ একটি এনক্রিপ্টেড TLS 1.3 TCP স্ট্রিমের ভিতরে RADIUS প্যাকেটগুলিকে এনক্যাপসুলেট করে, যা বিশ্বস্ত নয় এমন নেটওয়ার্কের মাধ্যমে পারস্পরিক X.509 সার্টিফিকেট প্রমাণীকরণ এবং সম্পূর্ণ গোপনীয়তা প্রদান করে।

কীভাবে নেটওয়ার্ক টিমগুলি Message-Authenticator সমর্থনের জন্য লিগ্যাসি অ্যাক্সেস পয়েন্ট অডিট করে?

নেটওয়ার্ক টিমগুলির tcpdump -i eth0 -n port 1812 ব্যবহার করে আগত RADIUS ট্র্যাফিক ক্যাপচার করা উচিত এবং radius.Message_Authenticator-এর জন্য ফিল্টার করা উচিত। সমস্ত অ্যাক্সেস পয়েন্ট মডেলে Attribute 80-এর উপস্থিতি নিশ্চিত করলে সার্ভার-সাইড প্রয়োগ ক্লায়েন্ট সংযোগে বাধা সৃষ্টি করবে না।

পরবর্তী পদক্ষেপ এবং সম্পর্কিত রিসোর্স

সম্পর্কিত এন্টারপ্রাইজ WiFi সিকিউরিটি আর্কিটেকচার এবং ডায়াগনস্টিক গাইডগুলি অন্বেষণ করতে, নিম্নলিখিত রিসোর্সগুলি পর্যালোচনা করুন:

মূল সংজ্ঞাসমূহ

BlastRADIUS (CVE-2024-3596)

RADIUS (RFC 2865)-এর একটি অত্যন্ত গুরুত্বপূর্ণ প্রোটোকল-স্তরের দুর্বলতা যা আক্রমণকারীকে MD5 চোজেন-প্রিফিক্স কলিশন কৌশল ব্যবহার করে জাল প্রমাণীকরণ প্রতিক্রিয়া তৈরি করতে সক্ষম করে।

জুলাই ২০২৪-এ প্রকাশিত হয়েছে, যা UDP-এর মাধ্যমে আনএনক্রিপ্টেড RADIUS প্রমাণীকরণ চালিত এন্টারপ্রাইজ নেটওয়ার্ক অবকাঠামোকে প্রভাবিত করে।

Message-Authenticator (Attribute 80)

RFC 2869-এ সংজ্ঞায়িত একটি RADIUS হেডার অ্যাট্রিবিউট যা সম্পূর্ণ RADIUS প্যাকেটের উপর একটি ডিজিটাল সিগনেচার গণনা করতে HMAC-MD5 ব্যবহার করে।

Attribute 80 প্রয়োগ করা BlastRADIUS আক্রমণ প্রতিরোধ করে কারণ HMAC-MD5 ক্রিপ্টোগ্রাফিকভাবে চোজেন-প্রিফিক্স কলিশন ম্যানিপুলেশনের বিরুদ্ধে সুরক্ষিত।

Response Authenticator

RFC 2865 RADIUS প্যাকেট হেডারের একটি ১৬-বাইট ক্ষেত্র যা অনুরোধ প্রমাণীকরণকারী, অ্যাট্রিবিউট এবং শেয়ার্ড সিক্রেটের উপর MD5 ডাইজেস্টের মাধ্যমে গণনা করা হয়।

গ্রাহক অ্যাক্সেস পয়েন্ট প্যাকেটের সত্যতা যাচাই করতে এই ডাইজেস্টের উপর নির্ভর করে, যা BlastRADIUS অপব্যবহার করে।

RADSEC (RADIUS over TLS)

একটি RFC 6614 স্ট্যান্ডার্ড যা পোর্ট ২০৮৩-এ একটি এনক্রিপ্টেড TLS 1.3 TCP স্ট্রিমের ভিতরে RADIUS প্রমাণীকরণ প্যাকেটগুলিকে এনক্যাপসুলেট করে।

অ্যাক্সেস পয়েন্ট এবং RADIUS সার্ভারের মধ্যে অরক্ষিত WAN লিঙ্কের মাধ্যমে ম্যান-ইন-দ্য-মিডল প্যাকেট ইন্টারসেপশন প্রতিরোধ করে।

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security। একটি IEEE 802.1X পারস্পরিক প্রমাণীকরণ স্ট্যান্ডার্ড যা X.509 ডিজিটাল সার্টিফিকেট ব্যবহার করে।

NIST এবং ISO 27001 ফ্রেমওয়ার্ক দ্বারা লেগ্যাসি PAP/CHAP RADIUS প্রমাণীকরণের প্রাথমিক প্রতিস্থাপন হিসাবে প্রস্তাবিত।

সমাধানকৃত উদাহরণসমূহ

RADIUS সার্ভারে বাধ্যতামূলক প্রয়োগ সক্রিয় করার আগে নেটওয়ার্ক অ্যাডমিনিস্ট্রেটররা কীভাবে যাচাই করবেন যে বিদ্যমান ওয়্যারলেস অ্যাক্সেস পয়েন্ট এবং সুইচগুলি Message-Authenticator প্রয়োগ করে কি না?

প্রোডাকশন WiFi অ্যাক্সেস ব্যাহত না করে Message-Authenticator কমপ্লায়েন্স অডিট করতে:

  1. প্যাকেট ক্যাপচার অডিট: ইনকামিং Access-Request প্যাকেট ক্যাপচার করতে RADIUS সার্ভার ইন্টারফেসে (UDP পোর্ট 1812) Wireshark বা tcpdump রান করুন: tcpdump -i eth0 -n port 1812 -w radius_audit.pcap।
  2. অ্যাট্রিবিউট ফিল্টার পরিদর্শন: ক্যাপচার করা প্যাকেটগুলি radius.Message_Authenticator দিয়ে ফিল্টার করুন। নিশ্চিত করুন যে প্রতিটি ক্লায়েন্ট হার্ডওয়্যার টাইপ (অ্যাক্সেস পয়েন্ট, সুইচ, ওয়্যারলেস কন্ট্রোলার) প্রাথমিক অনুরোধে Attribute 80 অন্তর্ভুক্ত করে।
  3. ভেন্ডর পলিসি টেস্ট: প্রোডাকশন FreeRADIUS, Cisco ISE, বা Microsoft NPS সার্ভার জুড়ে গ্লোবাল প্রয়োগ করার আগে একটি একক টেস্ট RADIUS ক্লায়েন্ট প্রোফাইলে Message-Authenticator প্রয়োজনীয়তা সক্রিয় করুন।
পরীক্ষকের মন্তব্য: সার্ভার-সাইড প্রয়োগের আগে ক্লায়েন্টদের সক্ষমতা অডিট করা হলে মেইনটেইনেন্স উইন্ডোর সময় লেগ্যাসি নেটওয়ার্ক সুইচ বা লেগ্যাসি AP-গুলি লক আউট হওয়া প্রতিরোধ করা যায়।

একটি মাল্টি-সাইট ভেন্যু অপারেটর কীভাবে একটি জিরো-ট্রাস্ট EAP-TLS মাইগ্রেশনের পরিকল্পনা করার সাথে সাথে BlastRADIUS ব্লক করতে লেগ্যাসি FreeRADIUS ইনস্টলেশনগুলি আপগ্রেড করতে পারে?

একটি দ্বি-পর্যায়ের প্রতিকার পরিকল্পনা নেটওয়ার্ক অপারেশনাল ধারাবাহিকতা বজায় রাখে:

  1. পর্যায় ১ (তাত্ক্ষণিক সুরক্ষাকরণ): FreeRADIUS সংস্করণ 3.0.27 বা 3.2.5-এ আপডেট করুন। require_message_authenticator = yes সেট করতে clients.conf এডিট করুন এবং প্রমাণীকরণহীন প্যাকেটগুলি প্রত্যাখ্যান করতে radiusd.conf আপডেট করুন।
  2. পর্যায় ২ (আর্কিটেকচার আপগ্রেড): TLS 1.3 টানেলে (TCP পোর্ট 2083) RADIUS ট্র্যাফিক মোড়ানোর জন্য ব্রাঞ্চ অ্যাক্সেস পয়েন্টগুলিতে RADSEC প্রক্সি স্থাপন করুন এবং কর্পোরেট ডিভাইসগুলির জন্য স্বয়ংক্রিয় SCEP এনরোলমেন্টের সাথে Purple Cloud RADIUS একীভূত করুন।
পরীক্ষকের মন্তব্য: পর্যায় ১ কোনো হার্ডওয়্যার খরচ ছাড়াই অবিলম্বে CVE-2024-3596 এক্সপ্লয়েট ভেক্টর বন্ধ করে, অন্যদিকে পর্যায় ২ WAN প্যাকেট ইন্টারসেপশনের বিরুদ্ধে দীর্ঘমেয়াদী ক্রিপ্টোগ্রাফিক আইসোলেশন প্রতিষ্ঠা করে।

অনুশীলনী প্রশ্নসমূহ

Q1. কেন MD5 চোজেন-প্রিফিক্স কলিশন একজন আক্রমণকারীকে শেয়ার্ড সিক্রেট না জেনেই RADIUS প্রমাণীকরণ বাইপাস করতে দেয়?

ইঙ্গিত: ওয়্যারলেস অ্যাক্সেস পয়েন্ট দ্বারা কীভাবে MD5 Response Authenticator ডাইজেস্ট যাচাই করা হয় তার উপর ফোকাস করুন।

মডেল উত্তর দেখুন

RFC 2865 RADIUS-এ, Access-Reject এবং Access-Accept প্যাকেট ডাইজেস্টগুলি শেয়ার্ড সিক্রেটের সাথে যুক্ত প্যাকেট সামগ্রীর একটি MD5 হ্যাশের উপর নির্ভর করে। ম্যান-ইন-দ্য-মিডল অ্যাক্সেস থাকা একজন আক্রমণকারী Access-Request ফরোয়ার্ড করার আগে প্রক্সি স্টেট অ্যাট্রিবিউটে কোলিশন প্রিফিক্স যুক্ত করে। সার্ভার যখন Access-Reject রিটার্ন করে, তখন আক্রমণকারী প্যাকেট কোডটি পরিবর্তন করে Access-Accept করে দেয়। যেহেতু MD5 চোজেন-প্রিফিক্স কোলিশন বিভিন্ন ইনপুটের জন্য একই হ্যাশ আউটপুট ডাইজেস্ট তৈরি করে, তাই অ্যাক্সেস পয়েন্টটি শেয়ার্ড সিক্রেট না জেনেই জাল করা Access-Accept-কে আসল হিসেবে যাচাই করে নেয়।

Q2. কোন RADIUS প্রমাণীকরণ পদ্ধতিগুলি BlastRADIUS-এর কাছে ঝুঁকিপূর্ণ, এবং কোন পদ্ধতিগুলি ক্রিপ্টোগ্রাফিকভাবে সুরক্ষিত?

ইঙ্গিত: TLS-এ আবৃত EAP প্রোটোকল বনাম UDP-র উপর চালিত লিগ্যাসি PAP/CHAP-এর মধ্যে পার্থক্য করুন।

মডেল উত্তর দেখুন

UDP-র উপর চালিত PAP, CHAP এবং MS-CHAP-এর উপর নির্ভরশীল RADIUS প্রমাণীকরণ মোডগুলি ঝুঁকিপূর্ণ কারণ তারা সরাসরি MD5 Response Authenticator যাচাইকরণের উপর নির্ভর করে। EAP-TLS, PEAP এবং EAP-TTLS হল BlastRADIUS থেকে সুরক্ষিত কারণ EAP সাপ্লিক্যান্ট এবং সার্ভারের মধ্যে একটি স্বাধীন ক্রিপ্টোগ্রাফিক TLS সেশন স্থাপন করে, যা পরিচয় যাচাইয়ের জন্য লিগ্যাসি RADIUS Response Authenticator ডাইজেস্টের উপর নির্ভরতাকে এড়িয়ে চলে।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

What is BlastRADIUS (CVE-2024-3596) and how does it exploit MD5 collisions?

BlastRADIUS is a vulnerability (CVE-2024-3596) in the RADIUS protocol (RFC 2865). An attacker positioned as a man-in-the-middle between an access point or switch and the RADIUS server can forge an Access-Accept response packet. The attack exploits predictable request authenticators and weaknesses in MD5 to compute chosen-prefix hash collisions within minutes, allowing unauthorized network access without valid credentials.

How does the Message-Authenticator attribute prevent BlastRADIUS attacks?

The Message-Authenticator attribute (RFC 2869 and RFC 3579) calculates an HMAC-MD5 digital signature across the entire RADIUS packet using the shared secret. When a RADIUS server strictly requires and verifies Message-Authenticator on all Access-Request packets, any forged or modified packet injected by an attacker invalidates the cryptographic signature and is dropped before processing.

Why are non-EAP authentication methods like PAP and CHAP especially vulnerable?

RFC 3579 mandated Message-Authenticator for EAP packets in 2003, so compliant EAP handshakes already carried partial integrity protection. However, non-EAP authentication flows - such as PAP, CHAP, MS-CHAPv2, and MAC authentication bypass (MAB) - historically omitted Message-Authenticator, leaving their response authenticators exposed to MD5 chosen-prefix collision forgery.

What role does RadSec (RADIUS over TLS) play in hardening enterprise networks?

RadSec (RFC 6614) encapsulates RADIUS authentication traffic inside a mutual TLS tunnel over TCP port 2083. This eliminates cleartext UDP transmissions across untrusted networks, prevents packet interception and tampering, and provides cryptographic confidentiality between access points, switches, and authentication servers.

Why is transitioning to 802.1X EAP-TLS with Cloud RADIUS the permanent fix?

While requiring Message-Authenticator mitigates CVE-2024-3596, legacy shared-secret RADIUS remains susceptible to credential cracking and key leakage. Migrating to zero-trust 802.1X EAP-TLS with modern Cloud RADIUS replaces passwords and static pre-shared keys with cryptographic X.509 device certificates, providing mutual certificate validation and automated lifecycle management.

এই সিরিজে পড়া চালিয়ে যান

iOS এবং macOS 802.1X ট্রাবলশুটিং: Intune, Jamf এবং Entra ID-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট

iPhones, iPads এবং Macs কেন Intune বা Jamf Pro-তে 802.1X ব্যর্থ হয় তা সনাক্ত করতে এই চেকলিস্টটি ব্যবহার করুন। প্রতিটি ব্যর্থতার পিছনে চারটি কারণের যেকোনো একটি থাকে: সার্ভার ট্রাস্ট, আইডেন্টিটি সার্টিফিকেট, macOS মোড বা Entra ID গ্রুপ স্কোপিং। আপনি eapolclient এবং RADIUS লগ থেকে এর কারণ নিশ্চিত করবেন, সমাধান প্রয়োগ করবেন এবং ভবিষ্যতের সার্টিফিকেট রোটেশন পরিচালনা করবেন।

গাইডটি পড়ুন →

Intune WiFi প্রোফাইল সার্ভার ট্রাস্ট: Microsoft Entra ID -এর জন্য সার্টিফিকেট সার্ভার নাম এবং রুট CA চেকলিস্ট

আপনি একটি Intune WiFi প্রোফাইলের সার্ভার ভ্যালিডেশন অংশটি কনফিগার করতে পারবেন যাতে Windows, Apple এবং Android -এ EAP-TLS এবং PEAP কানেক্ট হয়। আপনি RADIUS সার্টিফিকেটের সাথে সার্টিফিকেট সার্ভারের নাম মেলাতে পারবেন, সঠিক রুট CA ডেপ্লয় করতে পারবেন, Microsoft Entra ID গ্রুপ অ্যাসাইনমেন্ট অ্যালাইন করতে পারবেন এবং সার্টিফিকেট রিনিউয়াল কানেকশন বন্ধ করার আগেই সেটিকে প্রস্তুত করতে পারবেন।

গাইডটি পড়ুন →

Android 802.1X এবং EAP-TLS ট্রাবলশুটিং: Intune এবং Entra ID-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট

আপনি সহজেই সনাক্ত করতে পারবেন কেন ম্যানেজড Android ফোনগুলো আপনার স্টাফ SSID-এ EAP-TLS সংযোগ করতে ব্যর্থ হচ্ছে এবং তা Intune-এ ঠিক করতে পারবেন। প্রতিটি লক্ষণকে চারটি সাধারণ কারণের সাথে মেলান - অনুপস্থিত CA বা ডোমেন, ভুল প্রোফাইলে থাকা ক্লায়েন্ট সার্টিফিকেট, একটি অমিল RADIUS সার্ভার নামের মান, অথবা একটি অপৌঁছানো ট্রাস্টেড রুট। তারপর একটি রোলআউট চেকলিস্ট প্রয়োগ করুন যা বারবার বিভ্রাট হওয়া বন্ধ করে।

গাইডটি পড়ুন →

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।