মূল কন্টেন্টে যান
বাংলা

MD5 কলিশন অ্যাটাকের বিরুদ্ধে RADIUS বোঝা এবং সুরক্ষিত করা

এই গাইডটি RADIUS MD5 কলিশন দুর্বলতা (CVE-2024-3596, 'Blast-RADIUS') সম্পর্কে একটি বিস্তৃত টেকনিক্যাল রেফারেন্স প্রদান করে, যেখানে ব্যাখ্যা করা হয়েছে কীভাবে ম্যান-ইন-দ্য-মিডল আক্রমণকারীরা ব্যবহারকারীর ক্রেডেনশিয়াল না জেনেই অথেন্টিকেশন অনুমোদন জাল করতে MD5-ভিত্তিক Response Authenticator-এর দুর্বলতাগুলো ব্যবহার করতে পারে। হসপিটালিটি, রিটেইল, ইভেন্ট এবং পাবলিক-সেক্টর পরিবেশে এন্টারপ্রাইজ WiFi পরিচালনাকারী IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট এবং CTO-দের জন্য এটি একটি অত্যন্ত গুরুত্বপূর্ণ পাঠ, যাদের নিজেদের ঝুঁকি মূল্যায়ন করতে হবে, তাত্ক্ষণিক প্রশমন ব্যবস্থা প্রয়োগ করতে হবে এবং আধুনিক অথেন্টিকেশন স্ট্যান্ডার্ডে কৌশলগত স্থানান্তরের পরিকল্পনা করতে হবে। এই গাইডটিতে সম্পূর্ণ আক্রমণের জীবনচক্র, ধাপে ধাপে সুরক্ষা জোরদার করার রোডম্যাপ, বাস্তব-জগতের ডেপ্লয়মেন্ট পরিস্থিতি এবং PCI-DSS, GDPR ও ISO 27001-এর অধীনে কমপ্লায়েন্সের প্রভাবগুলো আলোচনা করা হয়েছে।

📖 9 মিনিট পাঠ📝 1,980 শব্দ🔧 2 সমাধানকৃত উদাহরণ❓ 3 অনুশীলনী প্রশ্ন📚 9 মূল সংজ্ঞা

এই গাইডটি শুনুন

পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
Purple টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগত। আমি আপনার হোস্ট, Purple-এর একজন সিনিয়র টেকনিক্যাল কন্টেন্ট স্ট্র্যাটেজিস্ট। আজ আমরা এন্টারপ্রাইজ-গ্রেড WiFi চালানো যেকোনো প্রতিষ্ঠানের জন্য একটি অত্যন্ত গুরুত্বপূর্ণ এবং সময় সংবেদনশীল সমস্যা নিয়ে আলোচনা করছি: ৩০ বছরের পুরানো একটি প্রোটোকলের একটি নতুন ব্যবহারিক দুর্বলতা যা আক্রমণকারীদের সরাসরি আপনার ডিজিটাল সদর দরজা দিয়ে প্রবেশ করার সুযোগ দিতে পারে। আমরা কথা বলছি RADIUS প্রোটোকল এবং Blast-RADIUS নামে পরিচিত MD5 কলিশন আক্রমণ সম্পর্কে। হসপিটালিটি, রিটেইল এবং বড় পাবলিক ভেন্যুতে কর্মরত IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট এবং CTO-দের জন্য এটি কেবল কোনো তাত্ত্বিক সমস্যা নয়। এটি আপনার নেটওয়ার্কের সততা, ডেটা নিরাপত্তা এবং কমপ্লায়েন্সের জন্য একটি সরাসরি হুমকি। আগামী দশ মিনিটে আমরা এই দুর্বলতাটি কী, এটি কীভাবে কাজ করে তা বিশ্লেষণ করব এবং সবচেয়ে গুরুত্বপূর্ণভাবে, প্রশমনের জন্য একটি স্পষ্ট ও কার্যকর রোডম্যাপ প্রদান করব। আপনি ২০০ রুমের একটি হোটেল, একটি জাতীয় রিটেইল চেইন বা ৬০,০০০ আসনের স্টেডিয়ামের দায়িত্বে থাকুন না কেন, এই ব্রিফিংটি এই প্রান্তিকে আপনার নেওয়া সিদ্ধান্তের সাথে সরাসরি প্রাসঙ্গিক। আসুন কিছু প্রেক্ষাপট দিয়ে শুরু করি। RADIUS — Remote Authentication Dial-In User Service — ১৯৯১ সালে ডায়াল-আপ ইন্টারনেটের যুগে ডিজাইন করা হয়েছিল। এটি একটি ক্লায়েন্ট-সার্ভার প্রোটোকল যা নেটওয়ার্ক অ্যাক্সেসের জন্য অথেন্টিকেশন, অথরাইজেশন এবং অ্যাকাউন্টিং পরিচালনা করে। যখন কোনো স্টাফ মেম্বার বা ডিভাইস আপনার এন্টারপ্রাইজ WiFi-এ সংযুক্ত হয়, তখন অ্যাক্সেস পয়েন্টটি একটি RADIUS ক্লায়েন্ট হিসেবে কাজ করে এবং একটি সেন্ট্রাল RADIUS সার্ভারে অথেন্টিকেশনের অনুরোধ পাঠায়। সার্ভার ক্রেডেনশিয়াল পরীক্ষা করে এবং Access-Accept অথবা Access-Reject দিয়ে প্রতিক্রিয়া জানায়। এই আদান-প্রদান তিন দশকেরও বেশি সময় ধরে এন্টারপ্রাইজ নেটওয়ার্ক নিরাপত্তার মেরুদণ্ড হিসেবে কাজ করছে। সমস্যা হলো আধুনিক ক্রিপ্টোগ্রাফিক স্ট্যান্ডার্ড তৈরি হওয়ার আগে RADIUS ডিজাইন করা হয়েছিল। প্রোটোকলটি সার্ভার প্রতিক্রিয়াগুলোতে একটি মৌলিক সততা যাচাই প্রদানের জন্য MD5 হ্যাশিং অ্যালগরিদম ব্যবহার করে — যা Response Authenticator নামক একটি ফিল্ড। ২০০৪ সালে প্রথম দেখানো হয়েছিল যে MD5 ক্রিপ্টোগ্রাফিকভাবে ভেঙে পড়েছে। তবুও আমরা ২০২৪ সালে এসেও দেখছি যে RADIUS এখনও এর উপর নির্ভর করছে। ইন্ডাস্ট্রি জানত যে MD5 দুর্বল ছিল। প্রোটোকলটি কেবল কখনোই আপডেট করা হয়নি। এখন আসুন টেকনিক্যাল ডিপ-ডাইভে প্রবেশ করি। Blast-RADIUS আক্রমণটি, যা আনুষ্ঠানিকভাবে CVE-2024-3596 হিসেবে চিহ্নিত, ২০২৪ সালের জুলাই মাসে বস্টন ইউনিভার্সিটি, UC San Diego, CWI Amsterdam এবং Microsoft Research-এর গবেষকদের একটি দল প্রকাশ করেছিল। এটি একটি প্রোটোকল-স্তরের দুর্বলতাকে একটি MD5 চোজেন-প্রিফিক্স কলিশন আক্রমণের সাথে যুক্ত করে — এবং সবচেয়ে গুরুত্বপূর্ণভাবে, উল্লেখযোগ্য গতি বৃদ্ধির সাথে যা আক্রমণটিকে রিয়েল টাইমে ব্যবহারিক করে তোলে। এটি যেভাবে কাজ করে তা এখানে দেওয়া হলো। একজন ম্যান-ইন-দ্য-মিডল আক্রমণকারী RADIUS ক্লায়েন্ট — আপনার অ্যাক্সেস পয়েন্ট — এবং RADIUS সার্ভারের মধ্যকার নেটওয়ার্ক পাথে নিজেকে স্থাপন করেন। যখন কোনো ব্যবহারকারী অথেন্টিকেট করার চেষ্টা করেন, তখন আক্রমণকারী Access-Request প্যাকেটটি ইন্টারসেপ্ট করেন। তারা এই অনুরোধে একটি বিশেষভাবে তৈরি ক্ষতিকারক অ্যাট্রিবিউট ইনজেক্ট করেন। এই অ্যাট্রিবিউটটি একটি গাণিতিক কলিশন তৈরি করার জন্য ডিজাইন করা হয়েছে: এমন একটি পরিস্থিতি যেখানে দুটি ভিন্ন ইনপুট একই MD5 হ্যাশ তৈরি করে। আক্রমণকারী এই কলিশনটি আগে থেকেই গণনা করে রাখেন যাতে সার্ভার থেকে আসা বৈধ Access-Reject প্রতিক্রিয়ার MD5 হ্যাশ আক্রমণকারীর তৈরি করা একটি জাল Access-Accept প্রতিক্রিয়ার MD5 হ্যাশের সাথে মিলে যায়। সার্ভার যখন তার Access-Reject ফেরত পাঠায়, তখন আক্রমণকারী তাদের জাল করা Access-Accept প্রতিস্থাপন করেন। RADIUS ক্লায়েন্ট Response Authenticator পরীক্ষা করে, এটিকে বৈধ পায় — কারণ MD5 হ্যাশগুলো মিলে গেছে — এবং নেটওয়ার্ক অ্যাক্সেস মঞ্জুর করে। আক্রমণকারীর কখনোই ব্যবহারকারীর পাসওয়ার্ড জানার প্রয়োজন ছিল না। RADIUS ক্লায়েন্ট এবং সার্ভারের মধ্যকার শেয়ার্ড সিক্রেট জানারও তাদের প্রয়োজন ছিল না। তারা কেবল একটি জাল প্রতিক্রিয়াকে আসল দেখানোর জন্য MD5-এর গাণিতিক দুর্বলতাকে কাজে লাগিয়েছে। এবং আধুনিক হার্ডওয়্যারের সাহায্যে, প্রয়োজনীয় MD5 কলিশন পাঁচ মিনিটেরও কম সময়ে গণনা করা যেতে পারে। এটি কোনো তাত্ত্বিক আক্রমণ নয়। এটি আজ অপারেশনালভাবে কার্যকর। এই দুর্বলতাটি UDP-এর মাধ্যমে PAP — Password Authentication Protocol — CHAP এবং MS-CHAP অথেন্টিকেশন মোড ব্যবহার করা সমস্ত RADIUS ডেপ্লয়মেন্টকে প্রভাবিত করে। এগুলো এন্টারপ্রাইজ পরিবেশে অত্যন্ত সাধারণ, বিশেষ করে লেগাসি ডেপ্লয়মেন্টে। একমাত্র অথেন্টিকেশন মোড যা সুরক্ষিত তা হলো EAP — Extensible Authentication Protocol — ব্যবহার করা মোডগুলো, কারণ EAP নিজস্ব ক্রিপ্টোগ্রাফিক টানেল তৈরি করে যা MD5 Response Authenticator থেকে স্বাধীন। ব্যবসায়িক ঝুঁকিটি আমি সুনির্দিষ্টভাবে তুলে ধরি। একটি হোটেল চেইনের কথা বিবেচনা করুন। কর্পোরেট নেটওয়ার্কে অননুমোদিত অ্যাক্সেস privatisation কোনো আক্রমণকারী পরোক্ষভাবে প্রপার্টি ম্যানেজমেন্ট সিস্টেমে পৌঁছাতে পারে, অতিথিদের রেকর্ড অ্যাক্সেস করতে পারে, পয়েন্ট-অফ-সেল টার্মিনালে পৌঁছাতে পারে এবং সম্ভাব্যভাবে পেমেন্ট কার্ডের ডেটা চুরি করতে পারে। হসপিটালিটি সেক্টরে একটি ডেটা ব্রিচের গড় খরচ তিন মিলিয়ন পাউন্ড ছাড়িয়ে যায়। GDPR-এর অধীনে, অতিথিদের ব্যক্তিগত ডেটা জড়িত একটি ব্রিচ বৈশ্বিক বার্ষিক টার্নওভারের চার শতাংশ পর্যন্ত জরিমানা ঘটাতে পারে। PCI-DSS-এর অধীনে, কার্ডহোল্ডারের ডেটা জড়িত একটি ব্রিচ বাধ্যতামূলক ফরেনসিক তদন্ত, কার্ড ব্র্যান্ডের জরিমানা এবং পেমেন্ট প্রসেসিং সুবিধা হারানোর কারণ হতে পারে। আর্থিক এবং সুনামের ঝুঁকি এখানে অত্যন্ত বেশি। এখন বাস্তবায়নের সুপারিশগুলো আলোচনা করা যাক। আপনি কীভাবে এর বিরুদ্ধে রক্ষা করবেন? এর প্রতিক্রিয়ার দুটি স্তর রয়েছে: তাত্ক্ষণিক সুরক্ষা জোরদার করা এবং দীর্ঘমেয়াদী আধুনিকীকরণ। তাত্ক্ষণিক পদক্ষেপ হলো CVE-2024-3596-এর জন্য ভেন্ডর প্যাচ প্রয়োগ করা। প্রতিটি প্রধান RADIUS ভেন্ডর — Cisco ISE, Microsoft NPS, FreeRADIUS, Juniper, Aruba, Ruckus — আপডেট প্রকাশ করেছে। প্যাচিংয়ের পাশাপাশি, গুরুত্বপূর্ণ কনফিগারেশন পরিবর্তনটি হলো সমস্ত RADIUS ক্লায়েন্ট এবং সার্ভারে Message-Authenticator অ্যাট্রিবিউট প্রয়োগ করা। RFC 2869-এ সংজ্ঞায়িত এই অ্যাট্রিবিউটটি সম্পূর্ণ RADIUS প্যাকেটের উপর একটি HMAC-ভিত্তিক সততা যাচাই প্রদান করে। Response Authenticator-এর বিপরীতে, HMAC কনস্ট্রাকশনটি চোজেন-প্রিফিক্স কলিশন আক্রমণের প্রতি ঝুঁকিপূর্ণ নয়। এই অ্যাট্রিবিউটটি বাধ্যতামূলক করতে এবং এটি ছাড়া আসা যেকোনো মেসেজ প্রত্যাখ্যান করতে আপনার ইনফ্রাস্ট্রাকচার কনফিগার করলে তাত্ক্ষণিক আক্রমণের পথ বন্ধ হয়ে যায়। FreeRADIUS-এর জন্য, এর অর্থ হলো আপনার ক্লায়েন্ট কনফিগারেশন ফাইলে require_message_authenticator equals yes সেট করা। Microsoft NPS-এর জন্য, এটি আপনার Network Policy কনফিগারেশনের একটি পলিসি সেটিং। এটি একটি কম-বিঘ্নকারী পরিবর্তন যা সাধারণত একটি মেইনটেন্যান্স উইন্ডোর মধ্যে ডেপ্লয় করা যেতে পারে। তবে, Message-Authenticator প্রয়োগ করা একটি সাময়িক ব্যবস্থা, কোনো স্থায়ী সমাধান নয়। দীর্ঘমেয়াদী কৌশলগত প্রতিক্রিয়া হলো EAP-ভিত্তিক অথেন্টিকেশনে স্থানান্তরিত হওয়া। গোল্ড স্ট্যান্ডার্ড হলো EAP-TLS সহ WPA3-Enterprise। EAP-TLS সার্টিফিকেট-ভিত্তিক পারস্পরিক অথেন্টিকেশন ব্যবহার করে — ক্লায়েন্ট ডিভাইস এবং RADIUS সার্ভার উভয়কেই একটি বিশ্বস্ত Certificate Authority থেকে বৈধ ডিজিটাল সার্টিফিকেট উপস্থাপন করতে হবে। এটি শেয়ার্ড সিক্রেটকে সম্পূর্ণরূপে দূর করে, MD5-এর উপর নির্ভরশীলতা সরিয়ে দেয় এবং এমন একটি নিরাপত্তা স্তর প্রদান করে যা Blast-RADIUS প্রতিনিধিত্ব করে এমন সমস্ত আক্রমণের শ্রেণী থেকে সম্পূর্ণ সুরক্ষিত। যেসব পরিবেশে একটি সম্পূর্ণ PKI ইনফ্রাস্ট্রাকচার ডেপ্লয় করা জটিল — বিশেষ করে উচ্চ ডিভাইস টার্নওভার বা ব্রিং-ইউর-ওন-ডিভাইস (BYOD) পলিসি সহ ভেন্যু — সেখানে MSCHAPv2 সহ PEAP একটি গ্রহণযোগ্য অন্তর্বর্তী পদক্ষেপ, যদি ক্লায়েন্টদের RADIUS সার্ভার সার্টিফিকেট যাচাই করার জন্য কনফিগার করা হয়। সার্ভার সার্টিফিকেট যাচাইকরণ ছাড়া, PEAP রোগ (rogue) অ্যাক্সেস পয়েন্ট আক্রমণের প্রতি ঝুঁকিপূর্ণ, যা একটি পৃথক কিন্তু সমানভাবে গুরুতর ঝুঁকি। আধুনিকীকরণ রোডম্যাপের চূড়ান্ত ফেজ হলো RADIUS over TLS ডেপ্লয় করা, যা RADSEC নামে পরিচিত। RADSEC একটি পারস্পরিকভাবে অথেন্টিকেটেড TLS সেশনের মধ্যে সমস্ত RADIUS ট্রাফিককে এনক্যাপসুলেট করে, যা সম্পূর্ণ অথেন্টিকেশন আদান-প্রদানের জন্য পূর্ণ গোপনীয়তা এবং সততা প্রদান করে। এটি Blast-RADIUS-এর মতো ট্রান্সপোর্ট-লেয়ার আক্রমণগুলোকে অসম্ভব করে তোলে, কারণ ইন্টারসেপ্ট করার মতো কোনো আনএনক্রিপ্টেড RADIUS ট্রাফিক থাকে না। RADSEC বিশেষ করে ডিস্ট্রিবিউটেড পরিবেশে মূল্যবান — হোটেল চেইন, রিটেইল নেটওয়ার্ক, স্টেডিয়াম কমপ্লেক্স — যেখানে RADIUS ট্রাফিক অ্যাক্সেস পয়েন্ট এবং সেন্ট্রাল অথেন্টিকেশন সার্ভারের মধ্যে একাধিক নেটওয়ার্ক সেগমেন্ট অতিক্রম করতে পারে। আসুন একটি দ্রুত প্রশ্নোত্তর পর্বে চলে যাই। প্রশ্ন এক: আমরা EAP ব্যবহার করি। আমরা কি নিরাপদ? আপনি যদি EAP-TLS, PEAP বা EAP-TTLS ব্যবহার করেন, তবে আপনি নির্দিষ্ট Blast-RADIUS MD5 কলিশন আক্রমণের প্রতি ঝুঁকিপূর্ণ নন। তবে, ডিফেন্স-ইন-ডেপথ ব্যবস্থা হিসেবে আপনার এখনও ভেন্ডর প্যাচ প্রয়োগ করা উচিত এবং সমস্ত ক্লায়েন্টে সার্ভার সার্টিফিকেট যাচাইকরণ প্রয়োগ করা হয়েছে কিনা তা নিশ্চিত করতে আপনার কনফিগারেশন অডিট করা উচিত। প্রশ্ন দুই: আমাদের RADIUS ট্রাফিক একটি ডেডিকেটেড ম্যানেজমেন্ট VLAN-এ রয়েছে। এটি কি আমাদের রক্ষা করে? এটি আক্রমণের পরিধি কমায়, কিন্তু দুর্বলতা দূর করে না। ম্যানেজমেন্ট নেটওয়ার্কের যেকোনো ডিভাইস ইতিমধ্যেই হ্যাক করা কোনো আক্রমণকারী এখনও ম্যান-ইন-দ্য-মিডল আক্রমণ চালাতে পারেন। সেগমেন্টেশন প্রতিরক্ষার একটি মূল্যবান স্তর, তবে এটিকে অবশ্যই Message-Authenticator প্রয়োগ এবং EAP মাইগ্রেশনের সাথে যুক্ত করতে হবে। প্রশ্ন তিন: তাত্ক্ষণিক প্রশমন কতটা কঠিন? বেশিরভাগ পরিবেশের জন্য, Message-Authenticator প্রয়োগ করা একটি সহজ কনফিগারেশন পরিবর্তন। প্রধান চ্যালেঞ্জ হলো সমস্ত নেটওয়ার্ক ডিভাইস — অ্যাক্সেস পয়েন্ট, সুইচ, কন্ট্রোলার — এই অ্যাট্রিবিউটটি সমর্থন করে এবং এটি সক্রিয় করেছে কিনা তা নিশ্চিত করা। লেগাসি হার্ডওয়্যারে অথেন্টিকেশন ব্যর্থতা এড়াতে সার্ভার-সাইডে প্রয়োজনীয়তা প্রয়োগ করার আগে একটি ডিভাইস অডিট করা অত্যন্ত জরুরি। প্রশ্ন চার: আমি কি আক্রান্ত হয়েছি কিনা তা সনাক্ত করতে পারি? এটি অত্যন্ত কঠিন। জাল করা Access-Accept প্যাকেটটি RADIUS ক্লায়েন্টের কাছে বৈধ বলে মনে হয় কারণ MD5 হ্যাশ মিলে যায়। আপনার সেরা সনাক্তকরণ পদ্ধতি হলো অসঙ্গতিপূর্ণ সফল অথেন্টিকেশনের জন্য RADIUS অ্যাকাউন্টিং লগ পর্যবেক্ষণ করা — অপ্রত্যাশিত ডিভাইসের ধরন, আপনার ইনভেন্টরির সাথে মেলে না এমন MAC অ্যাড্রেস বা অস্বাভাবিক সময়ে সফল লগইন। স্বয়ংক্রিয় অ্যালার্টের জন্য আপনার SIEM-এর সাথে আপনার RADIUS অ্যাকাউন্টিং ডেটা একীভূত করুন। সংক্ষেপে এবং আপনার পরবর্তী পদক্ষেপগুলোর রূপরেখা দিতে: Blast-RADIUS দুর্বলতা হলো UDP-এর মাধ্যমে লেগাসি RADIUS অথেন্টিকেশন চালানো যেকোনো প্রতিষ্ঠানের জন্য একটি গুরুতর, ব্যবহারিক ক্ষেত্রে শোষণযোগ্য হুমকি। এই আক্রমণের জন্য কোনো ক্রেডেনশিয়াল জানার প্রয়োজন হয় না এবং এটি কয়েক মিনিটের মধ্যে চালানো যেতে পারে। আপনার তাত্ক্ষণিক অগ্রাধিকার হলো আপনার ইনফ্রাস্ট্রাকচার অডিট করা, ভেন্ডর প্যাচ প্রয়োগ করা এবং সমস্ত RADIUS ক্লায়েন্ট ও সার্ভারে Message-Authenticator অ্যাট্রিবিউট প্রয়োগ করা। আপনার মধ্যমেয়াদী লক্ষ্য হলো EAP-TLS এবং WPA3-Enterprise-এ স্থানান্তরিত হওয়া। আপনার দীর্ঘমেয়াদী আর্কিটেকচারাল লক্ষ্য হলো RADSEC। Purple-এ, আমরা ইন্টেলিজেন্স লেয়ার প্রদান করি যা আপনাকে আপনার ভেন্যুর WiFi নেটওয়ার্ক বুঝতে এবং সুরক্ষিত করতে সাহায্য করে। আমাদের প্ল্যাটফর্ম আপনাকে ডিভাইসের ধরন সনাক্ত করতে, অথেন্টিকেশন প্যাটার্ন পর্যবেক্ষণ করতে এবং আপনার এস্টেটের প্রতিটি অ্যাক্সেস পয়েন্ট জুড়ে আপনার নিরাপত্তা পলিসিগুলো কার্যকরভাবে প্রয়োগ করা হচ্ছে কিনা তা নিশ্চিত করার ভিজিবিলিটি দেয়। আপনার অ্যাকশন প্ল্যানটি তিনটি শব্দে: অডিট, প্যাচ এবং আধুনিকীকরণ। ৩০ বছরের পুরানো একটি প্রোটোকলকে আপনার নিরাপত্তা ব্যবস্থার দুর্বল লিঙ্ক হতে দেবেন না। এই Purple টেকনিক্যাল ব্রিফিংয়ে যোগ দেওয়ার জন্য আপনাকে ধন্যবাদ। সুরক্ষিত থাকুন।

header_image.png

এক্সিকিউটিভ সামারি

১৯৯১ সাল থেকে এন্টারপ্রাইজ নেটওয়ার্ক অথেন্টিকেশনের অন্যতম ভিত্তি RADIUS প্রোটোকলটিতে একটি গুরুতর এবং বর্তমানে ব্যবহারিক ক্ষেত্রে শোষণযোগ্য দুর্বলতা রয়েছে। ২০২৪ সালের জুলাই মাসে CVE-2024-3596-এর অধীনে প্রকাশিত এবং 'Blast-RADIUS' নামে পরিচিত এই ত্রুটিটি একজন ম্যান-ইন-দ্য-মিডল (MitM) আক্রমণকারীকে (যিনি RADIUS ক্লায়েন্ট এবং সার্ভারের মাঝে অবস্থান করেন) ব্যবহারকারীর পাসওয়ার্ড বা শেয়ার্ড RADIUS সিক্রেট না জেনেই একটি বৈধ অথেন্টিকেশন অনুমোদন জাল করার সুযোগ দেয় — যা একটি বৈধ 'Access-Reject'-কে 'Access-Accept'-এ রূপান্তর করে। এই আক্রমণটি MD5 চোজেন-প্রিফিক্স কলিশন কৌশল ব্যবহার করে, যা আধুনিক হার্ডওয়্যারের সাহায্যে মাত্র কয়েক মিনিটের মধ্যে সম্পন্ন করা সম্ভব।

ভেন্যু অপারেটর এবং এন্টারপ্রাইজ IT টিমের জন্য ব্যবসায়িক ঝুঁকিটি সরাসরি: অননুমোদিত নেটওয়ার্ক অ্যাক্সেস পাওয়া কোনো আক্রমণকারী পরোক্ষভাবে ইনফ্রাস্ট্রাকচারের এক অংশ থেকে অন্য অংশে যেতে পারে, পয়েন্ট-অফ-সেল সিস্টেম অ্যাক্সেস করতে পারে, অতিথিদের ডেটা চুরি করতে পারে এবং PCI-DSS ও GDPR-এর অধীনে কমপ্লায়েন্স লঙ্ঘন ঘটাতে পারে। প্যাচ প্রয়োগ এবং আর্কিটেকচারাল পরিবর্তন পরিকল্পনা না করা পর্যন্ত PAP, CHAP, বা MS-CHAP অথেন্টিকেশন মোড সহ RADIUS/UDP চালানো প্রতিটি প্রতিষ্ঠান ঝুঁকির মধ্যে রয়েছে। তাত্ক্ষণিক প্রশমন — সমস্ত RADIUS ট্রাফিকের উপর Message-Authenticator অ্যাট্রিবিউট প্রয়োগ করা — একটি কম বিঘ্নকারী কনফিগারেশন পরিবর্তন যা সমস্ত প্রধান ভেন্ডরদের কাছ থেকে পাওয়া যাচ্ছে। কৌশলগত প্রতিক্রিয়া হলো ধাপে ধাপে EAP-TLS এবং RADIUS over TLS (RADSEC)-এ স্থানান্তরিত হওয়া।

mitigation_roadmap.png

টেকনিক্যাল ডিপ-ডাইভ

RADIUS প্রোটোকল এবং এর ক্রিপ্টোগ্রাফিক ঐতিহ্য

RFC 2865-এ স্ট্যান্ডার্ডাইজড RADIUS (Remote Authentication Dial-In User Service) এমন এক যুগে ডিজাইন করা হয়েছিল যখন নেটওয়ার্ক নিরাপত্তার প্রয়োজনীয়তা মৌলিকভাবে ভিন্ন ছিল। প্রোটোকলটি UDP-এর মাধ্যমে কাজ করে এবং মেসেজের সততা বজায় রাখতে RADIUS ক্লায়েন্ট (সাধারণত একটি অ্যাক্সেস পয়েন্ট বা নেটওয়ার্ক অ্যাক্সেস সার্ভার) এবং RADIUS সার্ভারের মধ্যে একটি শেয়ার্ড সিক্রেট ব্যবহার করে। নির্দিষ্টভাবে বলতে গেলে, সার্ভারের প্রতিক্রিয়াগুলো Response Authenticator নামক একটি কনস্ট্রাক্ট ব্যবহার করে 'অথরাইজড' করা হয়, যা এভাবে গণনা করা হয়:

MD5(Code || ID || Length || RequestAuthenticator || Attributes || SharedSecret)

এই কনস্ট্রাকশনটি কখনোই একটি সঠিক মেসেজ অথেন্টিকেশন কোড (MAC) ছিল না। এটি HMAC-এর পূর্ববর্তী, যা ১৯৯৭ সালে মূলত র হ্যাশ-ভিত্তিক MAC-এর দুর্বলতাগুলো দূর করার জন্য স্ট্যান্ডার্ডাইজড করা হয়েছিল। HMAC প্রবর্তনের সময় বা ২০০৪ সালে যখন প্রথম MD5 কলিশন প্রদর্শিত হয়েছিল, তখনও RADIUS স্পেসিফিকেশন আপডেট করা হয়নি। এই আর্কিটেকচারাল ঘাটতি এখন একটি গুরুতর ঝুঁকিতে পরিণত হয়েছে।

Blast-RADIUS আক্রমণের কার্যপ্রণালী

Blast-RADIUS আক্রমণটি (CVE-2024-3596) তিনটি উপাদানের সমন্বয়: RADIUS যেভাবে তার Response Authenticator তৈরি করে তার একটি প্রোটোকল-স্তরের দুর্বলতা, একটি MD5 চোজেন-প্রিফিক্স কলিশন কৌশল এবং কলিশন গণনার উল্লেখযোগ্য গতি বৃদ্ধি যা রিয়েল-টাইম নেটওয়ার্ক ইন্টারসেপশন পরিস্থিতিতে আক্রমণটিকে ব্যবহারিক করে তোলে।

আক্রমণটি নিম্নরূপভাবে অগ্রসর হয়। একজন MitM আক্রমণকারী RADIUS ক্লায়েন্ট থেকে সার্ভারে পাঠানো একটি Access-Request প্যাকেট ইন্টারসেপ্ট করেন। আক্রমণকারী এই অনুরোধে একটি ক্ষতিকারক অ্যাট্রিবিউট ইনজেক্ট করেন — একটি সতর্কতার সাথে তৈরি করা পে-লোড যা বৈধ সার্ভার প্রতিক্রিয়ার MD5 হ্যাশ এবং আক্রমণকারীর কাঙ্ক্ষিত জাল প্রতিক্রিয়ার MD5 হ্যাশের মধ্যে একটি কলিশন তৈরি করবে। সার্ভার যখন একটি Access-Reject (একটি ব্যর্থ অথেন্টিকেশন) ফেরত পাঠায়, তখন আক্রমণকারী পূর্ব-গণনাকৃত কলিশনটি ব্যবহার করে একটি বৈধ Access-Accept প্যাকেট জাল করেন, যার সাথে একটি Response Authenticator থাকে যা RADIUS ক্লায়েন্ট আসল হিসেবে গ্রহণ করবে। আক্রমণকারীর শেয়ার্ড সিক্রেট বা ব্যবহারকারীর ক্রেডেনশিয়াল জানার প্রয়োজন নেই।

বস্টন ইউনিভার্সিটি, UC San Diego, CWI Amsterdam এবং Microsoft-এর গবেষকরা দেখিয়েছেন যে অপ্টিমাইজড অ্যালগরিদমের সাহায্যে, এই আক্রমণের জন্য প্রয়োজনীয় MD5 চোজেন-প্রিফিক্স কলিশন সাধারণ হার্ডওয়্যারে পাঁচ মিনিটেরও কম সময়ে গণনা করা যেতে পারে। এটি RADIUS ক্লায়েন্ট এবং সার্ভারের মধ্যকার নেটওয়ার্ক পাথে অ্যাক্সেস থাকা একজন দৃঢ়প্রতিজ্ঞ শত্রুর জন্য আক্রমণটিকে কার্যকর করে তোলে।

attack_vector_diagram.png

আক্রান্ত অথেন্টিকেশন মোডসমূহ

এই দুর্বলতাটি নন-EAP অথেন্টিকেশন পদ্ধতি ব্যবহার করা সমস্ত RADIUS/UDP ডেপ্লয়মেন্টকে প্রভাবিত করে। নিচের টেবিলে অথেন্টিকেশন মোড অনুযায়ী ঝুঁকির বিবরণ সংক্ষেপে দেওয়া হলো:

অথেন্টিকেশন মোড প্রোটোকল Blast-RADIUS-এর প্রতি ঝুঁকিপূর্ণ? নোট
PAP Password Authentication Protocol হ্যাঁ লেগাসি ডেপ্লয়মেন্টে সবচেয়ে সাধারণ
CHAP Challenge Handshake Authentication Protocol হ্যাঁ PAP-এর চেয়ে কিছুটা শক্তিশালী, তবুও ঝুঁকিপূর্ণ
MS-CHAP / MS-CHAPv2 Microsoft CHAP হ্যাঁ Windows পরিবেশে সাধারণ
EAP-MD5 EAP with MD5 হ্যাঁ অবচিত (Deprecated); সম্পূর্ণরূপে এড়িয়ে চলুন
PEAP (MSCHAPv2 inner) Protected EAP না (EAP টানেল রক্ষা করে) সঠিক সার্ভার সার্টিফিকেট যাচাইকরণ প্রয়োজন
EAP-TLS EAP with TLS না প্রস্তাবিত গোল্ড স্ট্যান্ডার্ড
EAP-TTLS EAP Tunnelled TLS না গ্রহণযোগ্য বিকল্প

গুরুত্বপূর্ণ পার্থক্য হলো EAP-ভিত্তিক পদ্ধতিগুলো অথেন্টিকেশনের জন্য নিজস্ব ক্রিপ্টোগ্রাফিক টানেল তৈরি করে, যা MD5 Response Authenticator-এর উপর নির্ভরশীল নয়। এটি তাদের নির্দিষ্ট Blast-RADIUS আক্রমণ থেকে সুরক্ষিত রাখে।

কেন VLAN সেগমেন্টেশন যথেষ্ট নয়

একটি সাধারণ ভুল ধারণা হলো একটি ডেডিকেটেড ম্যানেজমেন্ট VLAN-এ RADIUS ট্রাফিক আলাদা করে রাখলে তা পর্যাপ্ত সুরক্ষা প্রদান করে। যদিও নেটওয়ার্ক সেগমেন্টেশন একটি ভালো নিরাপত্তা অনুশীলন, এটি Blast-RADIUS ঝুঁকি দূর করে না। ফিশিং আক্রমণ, সাপ্লাই-চেইন আপস বা অন্য কোনো দুর্বলতার সুযোগ নিয়ে ম্যানেজমেন্ট নেটওয়ার্কের কোনো ডিভাইস ইতিমধ্যেই হ্যাক করা কোনো আক্রমণকারী RADIUS ট্রাফিক পাথে নিজেকে MitM হিসেবে অবস্থান করাতে পারেন। এই আক্রমণের জন্য শুধুমাত্র নেটওয়ার্ক-পাথ অ্যাক্সেস প্রয়োজন, কোনো বাহ্যিক ইন্টারনেট অ্যাক্সেসের প্রয়োজন নেই। সেগমেন্টেশন আক্রমণের পরিধি কমায় কিন্তু অন্তর্নিহিত ক্রিপ্টোগ্রাফিক দুর্বলতা দূর করে না।

ইমপ্লিমেন্টেশন গাইড

ফেজ ১: তাত্ক্ষণিক সুরক্ষা জোরদার করা (সপ্তাহ ১–২)

প্রথম অগ্রাধিকার হলো সমস্ত RADIUS ইনফ্রাস্ট্রাকচার জুড়ে CVE-2024-3596-এর জন্য ভেন্ডর প্যাচ প্রয়োগ করা। Cisco ISE, Microsoft NPS, FreeRADIUS, Juniper, Aruba এবং Ruckus সহ সমস্ত প্রধান ভেন্ডররা আপডেট প্রকাশ করেছে। প্যাচিংয়ের পাশাপাশি, গুরুত্বপূর্ণ কনফিগারেশন পরিবর্তনটি হলো সমস্ত RADIUS ক্লায়েন্ট এবং সার্ভারে Message-Authenticator অ্যাট্রিবিউট প্রয়োগ করা।

Message-Authenticator অ্যাট্রিবিউটটি (RFC 2869-এ সংজ্ঞায়িত) সম্পূর্ণ RADIUS প্যাকেটের উপর একটি HMAC-MD5 ইন্টিগ্রিটি চেক প্রদান করে। Response Authenticator-এর বিপরীতে, এই কনস্ট্রাকশনটি চোজেন-প্রিফিক্স কলিশন আক্রমণের প্রতি ঝুঁকিপূর্ণ নয় কারণ HMAC কনস্ট্রাকশনটি হ্যাশকে শেয়ার্ড সিক্রেটের সাথে এমনভাবে আবদ্ধ করে যা আক্রমণকারীকে কোনো বৈধ জালিয়াতি তৈরি করতে বাধা দেয়। এই অ্যাট্রিবিউটটি বাধ্যতামূলক করতে এবং এটি অন্তর্ভুক্ত না থাকা যেকোনো মেসেজ প্রত্যাখ্যান করতে ক্লায়েন্ট এবং সার্ভার কনফিগার করলে তাত্ক্ষণিক আক্রমণের পথ বন্ধ হয়ে যায়।

FreeRADIUS-এর জন্য, এর অর্থ হলো clients.conf ফাইলে require_message_authenticator = yes সেট করা। Microsoft NPS-এর জন্য, সমতুল্য পলিসিটি Network Policy সেটিংসের মাধ্যমে প্রয়োগ করা হয়। Cisco ISE-এর জন্য, সেটিংটি অথেন্টিকেশন পলিসির অধীনে RADIUS ক্লায়েন্ট কনফিগারেশনে পাওয়া যায়। সঠিক কনফিগারেশন পদক্ষেপের জন্য CVE-2024-3596-এর জন্য আপনার ভেন্ডরের নির্দিষ্ট অ্যাডভাইজরি দেখুন।

ফেজ ২: অথেন্টিকেশন আধুনিকীকরণ (মাস ১–৩)

মধ্যমেয়াদী উদ্দেশ্য হলো WiFi অথেন্টিকেশনকে লেগাসি PAP/CHAP মোড থেকে EAP-ভিত্তিক পদ্ধতিতে স্থানান্তরিত করা। এন্টারপ্রাইজ WiFi পরিবেশের জন্য, প্রস্তাবিত পথ হলো EAP-TLS সহ WPA3-Enterprise। এর জন্য ডিভাইস এবং/অথবা ব্যবহারকারী সার্টিফিকেট ইস্যু করতে একটি Public Key Infrastructure (PKI) ডেপ্লয় করা, এই সার্টিফিকেটগুলো যাচাই করতে আপনার RADIUS সার্ভার কনফিগার করা এবং উপযুক্ত সার্টিফিকেট ও RADIUS সার্ভার ট্রাস্ট অ্যাঙ্কর সহ ক্লায়েন্ট ডিভাইসগুলো প্রস্তুত করা প্রয়োজন।

যেসব পরিবেশে সার্টিফিকেট ডেপ্লয়মেন্ট জটিল — যেমন উচ্চ ডিভাইস টার্নওভার বা BYOD পলিসি সহ ভেন্যু — সেখানে MSCHAPv2 সহ PEAP একটি গ্রহণযোগ্য অন্তর্বর্তী পদক্ষেপ প্রদান করে, যদি ক্লায়েন্টদের RADIUS সার্ভার সার্টিফিকেট যাচাই করার জন্য কনফিগার করা হয়। সার্ভার সার্টিফিকেট যাচাইকরণ ছাড়া, PEAP রোগ (rogue) অ্যাক্সেস পয়েন্ট আক্রমণের প্রতি ঝুঁকিপূর্ণ। নেটওয়ার্ক জুড়ে সামঞ্জস্যপূর্ণ অথেন্টিকেশন পলিসি নিশ্চিত করতে একই সাথে ওয়্যার্ড ইনফ্রাস্ট্রাকচারে IEEE 802.1X পোর্ট-ভিত্তিক অ্যাক্সেস কন্ট্রোল প্রয়োগ করা উচিত।

ফেজ ৩: ট্রান্সপোর্ট লেয়ার সিকিউরিটি (মাস ৩–১২)

দীর্ঘমেয়াদী আর্কিটেকচারাল লক্ষ্য হলো RFC 6614-এ স্ট্যান্ডার্ডাইজড RADIUS over TLS (RADSEC) ব্যবহার করে একটি TLS টানেলের মধ্যে সমস্ত RADIUS ট্রাফিক এনক্যাপসুলেট করা। RADSEC মূলত UDP-কে TCP দ্বারা প্রতিস্থাপন করে এবং সম্পূর্ণ RADIUS সেশনটিকে একটি পারস্পরিকভাবে অথেন্টিকেটেড TLS কানেকশনে মুড়িয়ে দেয়। এটি সমস্ত অথেন্টিকেশন ট্রাফিকের জন্য গোপনীয়তা, সততা এবং রিপ্লে সুরক্ষা প্রদান করে, যার ফলে MD5 Response Authenticator অপ্রাসঙ্গিক হয়ে পড়ে কারণ ট্রান্সপোর্ট লেয়ার নিজেই ক্রিপ্টোগ্রাফিকভাবে সুরক্ষিত থাকে।

RADSEC বিশেষ করে ডিস্ট্রিবিউটেড ডেপ্লয়মেন্টে মূল্যবান — যেমন হোটেল চেইন, রিটেইল নেটওয়ার্ক বা স্টেডিয়াম পরিবেশ — যেখানে RADIUS ট্রাফিক মধ্যবর্তী নেটওয়ার্ক সেগমেন্ট অতিক্রম করতে পারে। IETF বর্তমানে RADIUS over TLS এবং DTLS-কে স্ট্যান্ডার্ডস-ট্র্যাক স্ট্যাটাসে উন্নীত করছে, যা সংবেদনশীল ডেপ্লয়মেন্টের জন্য RADIUS/UDP অবচিত (deprecated) করা উচিত বলে ইন্ডাস্ট্রির ঐকমত্যকে প্রতিফলিত করে।

সেরা অনুশীলনসমূহ

নিচের ভেন্ডর-নিরপেক্ষ সেরা অনুশীলনগুলো এন্টারপ্রাইজ WiFi অথেন্টিকেশন নিরাপত্তার জন্য বর্তমান ইন্ডাস্ট্রির মানদণ্ড এবং নিয়ন্ত্রক নির্দেশিকাকে প্রতিফলিত করে।

Message-Authenticator সর্বজনীনভাবে প্রয়োগ করুন। আপনার এস্টেটের প্রতিটি RADIUS ক্লায়েন্ট এবং সার্ভারকে Message-Authenticator অ্যাট্রিবিউট পাঠাতে এবং বাধ্যতামূলক করতে কনফিগার করা উচিত। এটি বর্তমানে উপলব্ধ সবচেয়ে উচ্চ-প্রভাবশালী এবং কম-বিঘ্নকারী পদক্ষেপ। Blast-RADIUS গবেষণা দলের নির্দেশিকা অনুসারে, এই অ্যাট্রিবিউটটি Access-Accept এবং Access-Reject প্রতিক্রিয়াগুলোতে প্রথম অ্যাট্রিবিউট হিসেবে উপস্থিত হওয়া উচিত।

অথেন্টিকেশন স্ট্যান্ডার্ড হিসেবে EAP-TLS গ্রহণ করুন। EAP-TLS সহ IEEE 802.1X পারস্পরিক সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন প্রদান করে যা Blast-RADIUS আক্রমণ থেকে সুরক্ষিত এবং ওয়্যারলেস নেটওয়ার্ক অ্যাক্সেসে EAP পদ্ধতির জন্য NIST SP 800-120 সুপারিশগুলোর সাথে সামঞ্জস্যপূর্ণ। WPA3-Enterprise সর্বোচ্চ নিরাপত্তা স্তরের জন্য EAP-TLS সহ ১৯২-বিট সিকিউরিটি মোড বাধ্যতামূলক করে।

নিয়মিত RADIUS শেয়ার্ড সিক্রেট পরিবর্তন (Rotate) করুন। যদিও Blast-RADIUS আক্রমণের জন্য শেয়ার্ড সিক্রেট জানার প্রয়োজন হয় না, তবুও শক্তিশালী, অনন্য শেয়ার্ড সিক্রেট (নূন্যতম ৩২টি ক্যারেক্টার, র্যান্ডমলি জেনারেটেড) অন্যান্য আক্রমণ থেকে ঝুঁকি কমায়। সিক্রেটগুলো অন্তত প্রতি বছর এবং যেকোনো সম্ভাব্য আপসের সন্দেহে অবিলম্বে পরিবর্তন করা উচিত।

RADIUS অ্যাকাউন্টিং এবং অসঙ্গতি পর্যবেক্ষণ প্রয়োগ করুন। RADIUS অ্যাকাউন্টিং লগ অথেন্টিকেশন ইভেন্টগুলোর একটি অডিট ট্রেইল প্রদান করে। অপ্রত্যাশিত ডিভাইসের ধরন, MAC অ্যাড্রেস বা অস্বাভাবিক সময়ে সফল অথেন্টিকেশনের মতো অসঙ্গতিপূর্ণ প্যাটার্নগুলো পর্যবেক্ষণ করা শোষণের প্রাথমিক সতর্কতা প্রদান করতে পারে। স্বয়ংক্রিয় অ্যালার্টের জন্য আপনার SIEM-এর সাথে RADIUS অ্যাকাউন্টিং একীভূত করুন।

RADIUS ট্রাফিক সেগমেন্ট করুন। সম্পূর্ণ প্রশমন না হলেও, কঠোর ACL সহ একটি ডেডিকেটেড ম্যানেজমেন্ট VLAN-এ RADIUS ট্রাফিক রাখা এমন ডিভাইসের সংখ্যা কমিয়ে দেয় যা MitM পিভট পয়েন্ট হিসেবে ব্যবহৃত হতে পারে। শুধুমাত্র অনুমোদিত ডিভাইসগুলো যাতে RADIUS সার্ভারে পৌঁছাতে পারে তা নিশ্চিত করতে নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের সাথে এটি যুক্ত করুন।

PCI-DSS প্রয়োজনীয়তার সাথে সামঞ্জস্যপূর্ণ করুন। PCI-DSS v4.0-এর Requirement 8.6 সমস্ত অ্যাকাউন্টের জন্য শক্তিশালী অথেন্টিকেশন বাধ্যতামূলক করে। Requirement 1.3-এর জন্য নেটওয়ার্ক সেগমেন্টেশন কন্ট্রোল প্রয়োজন। পেমেন্ট কার্ড ডেটা প্রসেস করা প্রতিষ্ঠানগুলোকে অবশ্যই নিশ্চিত করতে হবে যে তাদের WiFi অথেন্টিকেশন আর্কিটেকচার এই প্রয়োজনীয়তাগুলো পূরণ করে, এবং Blast-RADIUS দুর্বলতা সরাসরি আওতাভুক্ত যেকোনো নেটওয়ার্ক সেগমেন্টের কমপ্লায়েন্সের উপর প্রভাব ফেলে।

ট্রাবলশুটিং এবং ঝুঁকি প্রশমন

সুরক্ষা জোরদার করার সময় সাধারণ ব্যর্থতার মোডসমূহ

Message-Authenticator প্রয়োগ করার সময় সবচেয়ে বেশি যে সমস্যার সম্মুখীন হতে হয় তা হলো লেগাসি ডিভাইসের অসঙ্গতি। পুরানো অ্যাক্সেস পয়েন্ট, সুইচ বা VPN কনসেন্ট্রেটরগুলো এই অ্যাট্রিবিউটটি সমর্থন নাও করতে পারে, যার ফলে সার্ভারটি এটি বাধ্যতামূলক করার জন্য কনফিগার করার পর অথেন্টিকেশন ব্যর্থ হতে পারে। প্রস্তাবিত পদ্ধতি হলো সার্ভার-সাইডে প্রয়োজনীয়তা প্রয়োগ করার আগে সমস্ত RADIUS ক্লায়েন্ট অডিট করা এবং যেসব ডিভাইসের ফার্মওয়্যার আপডেট বা প্রতিস্থাপন প্রয়োজন সেগুলোর একটি তালিকা তৈরি করা।

দ্বিতীয় সাধারণ সমস্যাটি হলো EAP-TLS মাইগ্রেশনের সময় সার্টিফিকেট যাচাইকরণ ব্যর্থতা। যদি ক্লায়েন্ট ডিভাইসগুলো সঠিক RADIUS সার্ভার সার্টিফিকেট ট্রাস্ট অ্যাঙ্কর সহ প্রস্তুত না করা হয়, তবে তারা সার্ভার সার্টিফিকেট প্রত্যাখ্যান করবে এবং অথেন্টিকেশন ব্যর্থ হবে। এটি বিশেষ করে BYOD পরিবেশে বেশি দেখা যায়। সার্টিফিকেট প্রোফাইলগুলো পুশ করার জন্য একটি Mobile Device Management (MDM) সলিউশন ডেপ্লয় করা হলো এর স্ট্যান্ডার্ড সমাধান।

RADSEC মাইগ্রেশনের সময় শেয়ার্ড সিক্রেট অমিল ঘটতে পারে যদি TLS সার্টিফিকেটের Common Name প্রত্যাশিত ক্লায়েন্ট আইডেন্টিফায়ারের সাথে না মেলে। সার্টিফিকেটের সাবজেক্ট নামগুলো সার্ভারে কনফিগার করা RADIUS ক্লায়েন্ট IP অ্যাড্রেস বা হোস্টনামের সাথে সামঞ্জস্যপূর্ণ কিনা তা নিশ্চিত করুন।

যেসব পরিবেশে অবিলম্বে প্যাচ করা সম্ভব নয় সেগুলোর জন্য ঝুঁকি প্রশমন

যেসব পরিবেশে অবিলম্বে প্যাচ করা সম্ভব নয় — যেমন লেগাসি ইন্ডাস্ট্রিয়াল কন্ট্রোল সিস্টেম বা এমবেডেড নেটওয়ার্ক ডিভাইস — সেখানে কঠোর নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল প্রয়োগ করে ঝুঁকি আংশিকভাবে কমানো যেতে পারে, যা কোন হোস্টগুলো RADIUS সার্ভারের সাথে যোগাযোগ করতে পারে তা সীমাবদ্ধ করে এবং একজন MitM আক্রমণকারীর ট্রাফিক ইন্টারসেপ্ট করার সুযোগ কমিয়ে দেয়। এটি কেবল একটি সাময়িক ব্যবস্থা; একটি প্যাচিং এবং প্রতিস্থাপনের রোডম্যাপ অবশ্যই তৈরি করতে করতে হবে।

ROI এবং ব্যবসায়িক প্রভাব

ঝুঁকির পরিমাণ নির্ধারণ

ব্রিচ খরচ এবং কমপ্লায়েন্স দায়ের পরিপ্রেক্ষিতে বিবেচনা করলে RADIUS সুরক্ষা জোরদার করার ব্যবসায়িক যুক্তিটি অত্যন্ত স্পষ্ট। হোটেল বা রিটেইল পরিবেশে একটি সফল Blast-RADIUS শোষণের মাধ্যমে আক্রমণকারী কর্পোরেট নেটওয়ার্কে অ্যাক্সেস পেতে পারে, যা সম্ভাব্যভাবে পয়েন্ট-অফ-সেল সিস্টেম, গেস্ট ডেটা রিপোজিটরি এবং ব্যাক-অফিস ইনফ্রাস্ট্রাকচারে পৌঁছাতে পারে। ইন্ডাস্ট্রি বেঞ্চমার্ক অনুসারে, হসপিটালিটি সেক্টরে ডেটা ব্রিচের গড় খরচ ৩ মিলিয়ন পাউন্ড ছাড়িয়ে যায়, সাথে GDPR-এর অধীনে নিয়ন্ত্রক জরিমানা সম্ভাব্যভাবে বৈশ্বিক বার্ষিক টার্নওভারের ৪% পর্যন্ত হতে পারে।

PCI-DSS-এর আওতাভুক্ত প্রতিষ্ঠানগুলোর জন্য, একটি নেটওয়ার্ক অথেন্টিকেশন ব্যর্থতা যার ফলে কার্ডহোল্ডারের ডেটা উন্মুক্ত হয়ে যায়, তা বাধ্যতামূলক ফরেনসিক তদন্ত, কার্ড ব্র্যান্ডের জরিমানা এবং কার্ড প্রসেসিং সুবিধা হারানোর মতো পরিস্থিতি তৈরি করতে পারে — এই খরচগুলো EAP-TLS এবং RADSEC বাস্তবায়নের জন্য প্রয়োজনীয় বিনিয়োগের চেয়ে অনেক বেশি।

বাস্তবায়ন খরচের বেঞ্চমার্ক

নিচের টেবিলটি সাধারণ ভেন্যু পরিবেশ জুড়ে তিন-ফেজের সুরক্ষা রোডম্যাপের জন্য নির্দেশক খরচ এবং প্রচেষ্টার অনুমান প্রদান করে:

ফেজ পদক্ষেপ আনুমানিক প্রচেষ্টা আনুমানিক খরচ ঝুঁকি হ্রাস
ফেজ ১ প্যাচ + Message-Authenticator প্রয়োগ ১–৩ দিন (IT টিম) কেবল কর্মীদের সময় উচ্চ (তাত্ক্ষণিক CVE বন্ধ করে)
ফেজ ২ EAP-TLS / WPA3-Enterprise মাইগ্রেশন ২–৬ সপ্তাহ PKI + MDM লাইসেন্সিং অত্যন্ত উচ্চ
ফেজ ৩ RADSEC ডেপ্লয়মেন্ট ৪–১২ সপ্তাহ ইনফ্রাস্ট্রাকচার আপগ্রেড সামগ্রিক

নিরাপত্তার বাইরেও অপারেশনাল সুবিধাসমূহ

EAP-TLS এবং RADSEC-এ স্থানান্তরিত হওয়া নিরাপত্তা জোরদার করার বাইরেও অপারেশনাল সুবিধা প্রদান করে। সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন বিশাল ডিভাইস বহর জুড়ে শেয়ার্ড পাসওয়ার্ড পরিচালনা এবং পরিবর্তনের অপারেশনাল ঝামেলা দূর করে। WPA3-Enterprise ঘন পরিবেশে কানেকশনের নির্ভরযোগ্যতা উন্নত করে — স্টেডিয়াম এবং কনফারেন্স সেন্টারগুলোর জন্য এটি একটি পরিমাপযোগ্য সুবিধা যেখানে শত শত ডিভাইস অথেন্টিকেশনের জন্য প্রতিযোগিতা করে। RADSEC-এর TCP ট্রান্সপোর্ট উচ্চ-লেটেন্সি বা দুর্বল নেটওয়ার্ক পরিস্থিতিতে UDP-এর চেয়ে ভালো নির্ভরযোগ্যতা প্রদান করে, যা শেষ ব্যবহারকারীদের জন্য অথেন্টিকেশনের অভিজ্ঞতা উন্নত করে।

hospitality_implementation.png

মূল সংজ্ঞাসমূহ

RADIUS (Remote Authentication Dial-In User Service)

একটি ক্লায়েন্ট-সার্ভার নেটওয়ার্কিং প্রোটোকল (RFC 2865) যা নেটওয়ার্কে সংযুক্ত ব্যবহারকারীদের জন্য সেন্ট্রালাইজড অথেন্টিকেশন, অথরাইজেশন এবং অ্যাকাউন্টিং (AAA) প্রদান করে। RADIUS ক্লায়েন্টগুলো (অ্যাক্সেস পয়েন্ট, সুইচ, VPN কনসেন্ট্রেটর) অথেন্টিকেশনের অনুরোধগুলো একটি সেন্ট্রাল RADIUS সার্ভারে ফরোয়ার্ড করে, যা ক্রেডেনশিয়াল যাচাই করে এবং একটি Access-Accept বা Access-Reject প্রতিক্রিয়া ফেরত পাঠায়।

IT টিমগুলো এন্টারপ্রাইজ WiFi (802.1X), VPN অ্যাক্সেস এবং নেটওয়ার্ক ডিভাইস অ্যাডমিনিস্ট্রেশনের জন্য অথেন্টিকেশন ব্যাকবোন হিসেবে RADIUS-এর মুখোমুখি হয়। এর বয়স এবং আর্কিটেকচারাল সীমাবদ্ধতাগুলো এখন CVE-2024-3596-এর অধীনে সরাসরি একটি নিরাপত্তা ঝুঁকি।

MD5 Chosen-Prefix Collision Attack

MD5 হ্যাশ ফাংশনের বিরুদ্ধে একটি ক্রিপ্টোগ্রাফিক আক্রমণ যেখানে একজন আক্রমণকারী একই MD5 হ্যাশ সহ দুটি ভিন্ন মেসেজ তৈরি করেন, যেখানে উভয় মেসেজই আক্রমণকারীর নির্বাচিত প্রিফিক্স দিয়ে শুরু হয়। এটি একটি সাধারণ কলিশন আক্রমণের চেয়ে বেশি শক্তিশালী কারণ আক্রমণকারী উভয় কলিশন মেসেজের অর্থপূর্ণ বিষয়বস্তু নিয়ন্ত্রণ করতে পারেন।

এটি Blast-RADIUS-এ ব্যবহৃত নির্দিষ্ট আক্রমণ কৌশল। আক্রমণকারী এটি ব্যবহার করে একটি RADIUS Response Authenticator জাল করে যা ক্লায়েন্ট আসল হিসেবে গ্রহণ করবে, যদিও প্রতিক্রিয়ার বিষয়বস্তু Access-Reject থেকে Access-Accept-এ পরিবর্তিত করা হয়েছে।

Response Authenticator

RADIUS প্রতিক্রিয়া প্যাকেটে (Access-Accept, Access-Reject, Access-Challenge) একটি ১৬-বাইটের ফিল্ড যা MD5(Code || ID || Length || RequestAuthenticator || Attributes || SharedSecret) হিসেবে গণনা করা হয়। এটি সার্ভার প্রতিক্রিয়ার সততা যাচাই করার উদ্দেশ্যে তৈরি করা হয়েছে কিন্তু এটি কোনো সঠিক ক্রিপ্টোগ্রাফিক MAC নয় এবং Blast-RADIUS আক্রমণের প্রতি ঝুঁকিপূর্ণ।

নেটওয়ার্ক আর্কিটেক্টদের বুঝতে হবে যে Response Authenticator হলো সেই নির্দিষ্ট ফিল্ড যা Blast-RADIUS আক্রমণে জাল করা হয়। Message-Authenticator অ্যাট্রিবিউট প্রয়োগ করা একটি শক্তিশালী ইন্টিগ্রিটি চেক প্রদান করে যা একই কলিশন কৌশলের প্রতি ঝুঁকিপূর্ণ নয়।

Message-Authenticator Attribute

একটি RADIUS অ্যাট্রিবিউট (অ্যাট্রিবিউট ৮০, RFC 2869-এ সংজ্ঞায়িত) যা সমস্ত অ্যাট্রিবিউট সহ সম্পূর্ণ RADIUS প্যাকেটের উপর একটি HMAC-MD5 ইন্টিগ্রিটি চেক প্রদান করে। Response Authenticator-এর বিপরীতে, HMAC কনস্ট্রাকশনটি ইন্টিগ্রিটি চেকটিকে শেয়ার্ড সিক্রেটের সাথে এমনভাবে আবদ্ধ করে যা চোজেন-প্রিফিক্স কলিশন জালিয়াতি প্রতিরোধ করে।

সমস্ত RADIUS ক্লায়েন্ট এবং সার্ভারে Message-Authenticator অ্যাট্রিবিউট প্রয়োগ করা হলো CVE-2024-3596-এর প্রাথমিক স্বল্পমেয়াদী প্রশমন। IT টিমগুলোর উচিত কোনো প্রতিক্রিয়া গ্রহণ করার আগে সমস্ত RADIUS ইনফ্রাস্ট্রাকচার প্যাচ করা এবং এই অ্যাট্রিবিউটটি বাধ্যতামূলকের জন্য কনফিগার করা হয়েছে কিনা তা যাচাই করা।

EAP-TLS (Extensible Authentication Protocol – Transport Layer Security)

একটি EAP পদ্ধতি (RFC 5216) যা ক্লায়েন্ট এবং RADIUS সার্ভারের মধ্যে পারস্পরিক সার্টিফিকেট-ভিত্তিক অথেন্টিকেশনের জন্য TLS ব্যবহার করে। উভয় পক্ষকেই একটি বিশ্বস্ত Certificate Authority থেকে বৈধ ডিজিটাল সার্টিফিকেট উপস্থাপন করতে হবে। এটি Blast-RADIUS আক্রমণ থেকে সম্পূর্ণ সুরক্ষিত এবং এন্টারপ্রাইজ WiFi অথেন্টিকেশনের জন্য প্রস্তাবিত গোল্ড স্ট্যান্ডার্ড।

CTO এবং নেটওয়ার্ক আর্কিটেক্টদের উচিত EAP-TLS-কে সমস্ত এন্টারপ্রাইজ WiFi অথেন্টিকেশনের জন্য লক্ষ্য হিসেবে বিবেচনা করা। এর জন্য একটি PKI ইনফ্রাস্ট্রাকচার প্রয়োজন কিন্তু এটি শেয়ার্ড সিক্রেট, পাসওয়ার্ড-ভিত্তিক আক্রমণ এবং MD5 দুর্বলতার শ্রেণীকে সম্পূর্ণরূপে দূর করে।

RADSEC (RADIUS over TLS)

একটি প্রোটোকল এক্সটেনশন (RFC 6614) যা ঐতিহ্যবাহী UDP ট্রান্সপোর্টকে প্রতিস্থাপন করে TCP-এর মাধ্যমে একটি পারস্পরিকভাবে অথেন্টিকেটেড TLS সেশনের মধ্যে RADIUS মেসেজগুলোকে এনক্যাপসুলেট করে। RADSEC সমস্ত RADIUS ট্রাফিকের জন্য গোপনীয়তা, সততা এবং রিপ্লে সুরক্ষা প্রদান করে, যা Blast-RADIUS-এর মতো ট্রান্সপোর্ট-লেয়ার আক্রমণগুলোকে অসম্ভব করে তোলে।

RADSEC হলো RADIUS নিরাপত্তার জন্য দীর্ঘমেয়াদী আর্কিটেকচারাল সমাধান। এটি বিশেষ করে ডিস্ট্রিবিউটেড ডেপ্লয়মেন্টে (হোটেল চেইন, রিটেইল নেটওয়ার্ক) মূল্যবান যেখানে RADIUS ট্রাফিক একাধিক নেটওয়ার্ক সেগমেন্ট অতিক্রম করে। Cisco, Juniper, Aruba এবং FreeRADIUS সহ ভেন্ডররা RADSEC সমর্থন করে।

IEEE 802.1X

পোর্ট-ভিত্তিক Network Access Control (PNAC)-এর জন্য একটি IEEE স্ট্যান্ডার্ড যা LAN বা WLAN-এ সংযোগ করতে চাওয়া ডিভাইসগুলোর জন্য একটি অথেন্টিকেশন মেকানিজম প্রদান করে। এটি অথেন্টিকেশন ফ্রেমওয়ার্ক হিসেবে EAP এবং ব্যাকএন্ড অথেন্টিকেশন সার্ভার হিসেবে RADIUS ব্যবহার করে। 802.1X নিশ্চিত করে যে কেবল অথেন্টিকেটেড ডিভাইসগুলোই নেটওয়ার্ক রিসোর্স অ্যাক্সেস করতে পারে।

802.1X হলো এমন একটি ফ্রেমওয়ার্ক যার মধ্যে এন্টারপ্রাইজ WiFi-এর জন্য RADIUS এবং EAP কাজ করে। WPA2/WPA3-Enterprise বাস্তবায়নকারী IT ম্যানেজাররা মূলত 802.1X ডেপ্লয় করছেন। অথেন্টিকেশন পলিসি কনফিগার করার জন্য এবং অ্যাক্সেস সংক্রান্ত সমস্যা সমাধানের জন্য এই সম্পর্কটি বোঝা অত্যন্ত জরুরি।

WPA3-Enterprise

Wi-Fi Protected Access 3 (WPA3) নিরাপত্তা স্ট্যান্ডার্ডের এন্টারপ্রাইজ সংস্করণ, যা 802.1X অথেন্টিকেশন বাধ্যতামূলক করে এবং এর সর্বোচ্চ নিরাপত্তা মোডে (১৯২-বিট), একটি ৩৮৪-বিট উপবৃত্তাকার কার্ভ (elliptic curve) সাইফার সুইট সহ EAP-TLS প্রয়োজন হয়। WPA3-Enterprise, WPA2-Enterprise-এর চেয়ে উল্লেখযোগ্যভাবে শক্তিশালী নিরাপত্তা গ্যারান্টি প্রদান করে এবং সঠিকভাবে কনফিগার করা হলে Blast-RADIUS আক্রমণ থেকে সম্পূর্ণ সুরক্ষিত থাকে।

নতুন WiFi ডেপ্লয়মেন্ট বা বড় ধরনের ইনফ্রাস্ট্রাকচার রিফ্রেশের পরিকল্পনা করা নেটওয়ার্ক আর্কিটেক্টদের ন্যূনতম নিরাপত্তা মান হিসেবে WPA3-Enterprise নির্ধারণ করা উচিত। এটি ২০২০ সালের পরে তৈরি সমস্ত আধুনিক অ্যাক্সেস পয়েন্ট এবং ক্লায়েন্ট ডিভাইস দ্বারা সমর্থিত।

Man-in-the-Middle (MitM) Attack

এমন একটি আক্রমণ যেখানে শত্রু গোপনে এমন দুটি পক্ষের মধ্যে যোগাযোগ ইন্টারসেপ্ট এবং সম্ভাব্যভাবে পরিবর্তন করে যারা বিশ্বাস করে যে তারা একে অপরের সাথে সরাসরি যোগাযোগ করছে। Blast-RADIUS-এর প্রেক্ষাপটে, MitM-কে RADIUS ক্লায়েন্ট (অ্যাক্সেস পয়েন্ট) এবং RADIUS সার্ভারের মধ্যে স্থাপন করা হয়, যা তাদের অথেন্টিকেশন প্রতিক্রিয়াগুলো ইন্টারসেপ্ট এবং জাল করতে সক্ষম করে।

Blast-RADIUS আক্রমণের জন্য MitM পজিশনিং প্রয়োজন। এটি একটি শেয়ার্ড নেটওয়ার্ক সেগমেন্টে ARP স্পুফিং, একটি মধ্যবর্তী নেটওয়ার্ক ডিভাইসের আপস বা নেটওয়ার্ক ইনফ্রাস্ট্রাকচারে ফিজিক্যাল অ্যাক্সেসের মাধ্যমে অর্জন করা সম্ভব। এই থ্রেট মডেলটি বোঝা IT টিমগুলোকে RADIUS-নির্দিষ্ট প্রশমনের পাশাপাশি নেটওয়ার্ক সেগমেন্টেশন এবং ডিভাইস সুরক্ষা জোরদার করাকে অগ্রাধিকার দিতে সাহায্য করে।

সমাধানকৃত উদাহরণসমূহ

১২টি প্রপার্টি সহ একটি ৩৫০-রুমের লাক্সারি হোটেল চেইন স্টাফ WiFi-এর জন্য RADIUS সার্ভার হিসেবে Microsoft NPS সহ Cisco Meraki অ্যাক্সেস পয়েন্ট চালাচ্ছে। অথেন্টিকেশন MSCHAPv2-এর মাধ্যমে সম্পন্ন হয়। IT ডিরেক্টরকে CVE-2024-3596 সম্পর্কে সতর্ক করা হয়েছে এবং ২৪/৭ হোটেল কার্যক্রম ব্যাহত না করে ঝুঁকি মূল্যায়ন ও প্রশমন ব্যবস্থা বাস্তবায়ন করতে হবে।

তাত্ক্ষণিক অগ্রাধিকার হলো Microsoft NPS-এ Message-Authenticator প্রয়োগের প্যাচ (জুলাই ২০২৪-এ প্রকাশিত) অন্তর্ভুক্ত করার জন্য আপডেট করা হয়েছে কিনা তা নিশ্চিত করা। NPS-এ, RADIUS Clients and Servers কনফিগারেশনে যান এবং সমস্ত কনফিগার করা RADIUS ক্লায়েন্টের জন্য 'Require Message-Authenticator' সেটিংটি সক্রিয় করুন। Meraki-এর ক্ষেত্রে, নিশ্চিত করুন যে ফার্মওয়্যার সংস্করণটি Access-Request প্যাকেটে Message-Authenticator অ্যাট্রিবিউট পাঠানো সমর্থন করে — Meraki ২০২৪ সালের ৩য় প্রান্তিকে (Q3) CVE-2024-3596 সমাধান করে একটি ফার্মওয়্যার আপডেট প্রকাশ করেছে। এই কনফিগারেশন পরিবর্তনটি কম ট্রাফিকের সময়ে (সাধারণত স্থানীয় সময় ০৩:০০–০৫:০০) অতিথিদের উপর ন্যূনতম প্রভাব ফেলে ডেপ্লয় করা যেতে পারে, কারণ এটি কেবল স্টাফ অথেন্টিকেশনকে প্রভাবিত করে। ফেজ ১ স্থিতিশীল হয়ে গেলে, MSCHAPv2 থেকে EAP-TLS-এ স্থানান্তরের পরিকল্পনা করুন। Group Policy-এর মাধ্যমে সমস্ত স্টাফ ডিভাইসে কম্পিউটার সার্টিফিকেট ইস্যু করতে একটি Microsoft Active Directory Certificate Services (ADCS) PKI ডেপ্লয় করুন। একটি EAP-TLS নেটওয়ার্ক পলিসি সহ NPS কনফিগার করুন এবং Meraki SSID সিকিউরিটি সেটিংস EAP-TLS সহ WPA2/WPA3-Enterprise-এ আপডেট করুন। সমস্ত পরিচালিত ডিভাইসে NPS সার্ভার সার্টিফিকেট ট্রাস্ট অ্যাঙ্কর পুশ করতে Meraki-এর Systems Manager MDM ব্যবহার করুন। ঝুঁকি পরিচালনা করতে সবচেয়ে কম অতিথি থাকা প্রপার্টি থেকে শুরু করে ধাপে ধাপে প্রপার্টি-বাই-প্রপার্টি রোল আউট করুন।

পরীক্ষকের মন্তব্য: এই পরিস্থিতিটি বেশিরভাগ মিড-মার্কেট হসপিটালিটি ডেপ্লয়মেন্টের প্রতিনিধিত্ব করে। মূল অন্তর্দৃষ্টি হলো MSCHAPv2 একটি 'চ্যালেঞ্জ-রেসপন্স' প্রোটোকল হওয়া সত্ত্বেও Blast-RADIUS-এর প্রতি ঝুঁকিপূর্ণ, কারণ দুর্বলতাটি RADIUS ট্রান্সপোর্ট লেয়ারে রয়েছে, অভ্যন্তরীণ অথেন্টিকেশন পদ্ধতিতে নয়। ২৪/৭ কার্যক্রমের জন্য ধাপে ধাপে রোলআউট পদ্ধতি অত্যন্ত গুরুত্বপূর্ণ — পুরো চেইন জুড়ে একযোগে স্থানান্তরের চেষ্টা করা হলে তা অগ্রহণযোগ্য অপারেশনাল ঝুঁকি তৈরি করে। বিদ্যমান Microsoft ইনফ্রাস্ট্রাকচার (ADCS, Group Policy, NPS) ব্যবহার অতিরিক্ত লাইসেন্সিং খরচ কমিয়ে দেয়। বিকল্প হিসেবে — বিল্ট-ইন EAP-TLS সমর্থন সহ একটি ক্লাউড-ভিত্তিক RADIUS সার্ভিস ডেপ্লয় করা বিদ্যমান PKI ইনফ্রাস্ট্রাকচার ছাড়া ছোট চেইনগুলোর জন্য কার্যকর, তবে এটি অথেন্টিকেশনের জন্য ইন্টারনেট কানেক্টিভিটির উপর নির্ভরশীলতা তৈরি করে।

২০০টি স্টোর সহ একটি জাতীয় রিটেইল চেইন তার স্টোর নেটওয়ার্ক ইনফ্রাস্ট্রাকচারে 802.1X অথেন্টিকেশনের জন্য একটি সেন্ট্রালাইজড FreeRADIUS সার্ভার ব্যবহার করে। প্রতিটি স্টোরে পরিচালিত কর্পোরেট ডিভাইস (Windows ল্যাপটপ, হ্যান্ডহেল্ড স্ক্যানার) এবং অনিয়ন্ত্রিত IoT ডিভাইস (ডিজিটাল সাইনেজ, পেমেন্ট টার্মিনাল)-এর মিশ্রণ রয়েছে। পেমেন্ট কার্ড এনভায়রনমেন্টের জন্য PCI-DSS কমপ্লায়েন্স বজায় রেখে নেটওয়ার্ক টিমকে Blast-RADIUS-এর বিরুদ্ধে সুরক্ষা জোরদার করতে হবে।

স্টোর অ্যাক্সেস পয়েন্ট এবং সেন্ট্রাল FreeRADIUS সার্ভারের মধ্যকার RADIUS ট্রাফিক পেমেন্ট কার্ড ডেটা এনভায়রনমেন্ট (CDE) থেকে আলাদা করা হয়েছে কিনা তা নিশ্চিত করতে প্রথমে একটি নেটওয়ার্ক সেগমেন্টেশন অডিট দিয়ে শুরু করুন। যদি RADIUS ট্রাফিক PCI-DSS-এর আওতাভুক্ত কোনো সেগমেন্ট অতিক্রম করে, তবে এটিকে অগ্রাধিকার হিসেবে সমাধান করতে হবে। FreeRADIUS-কে সংস্করণ ৩.২.৩ বা তার পরের সংস্করণে আপডেট করুন, যার মধ্যে Message-Authenticator প্রয়োগের সমাধান অন্তর্ভুক্ত রয়েছে। FreeRADIUS-এর clients.conf ফাইলে, সমস্ত স্টোর RADIUS ক্লায়েন্টের জন্য 'require_message_authenticator = yes' যোগ করুন। পরিচালিত ডিভাইস বহরের জন্য, একটি বিদ্যমান PKI বা ক্লাউড সার্টিফিকেট অথরিটি ব্যবহার করে EAP-TLS ডেপ্লয় করুন। যেসব অনিয়ন্ত্রিত IoT ডিভাইস 802.1X সমর্থন করতে পারে না, সেগুলোর জন্য CDE-তে পরোক্ষ মুভমেন্ট রোধ করতে কঠোর ফায়ারওয়াল নিয়ম সহ একটি পৃথক, আইসোলেটেড VLAN-এ MAC Authentication Bypass (MAB) প্রয়োগ করুন। এটি নিশ্চিত করে যে কোনো IoT ডিভাইসের MAC অ্যাড্রেস স্পুফ করা হলেও, আক্রমণকারী কেবল IoT VLAN-এ অ্যাক্সেস পাবে, কর্পোরেট বা পেমেন্ট নেটওয়ার্কে নয়। RADSEC মাইগ্রেশনের জন্য, প্রতিটি স্টোরে একটি RADSEC প্রক্সি ডেপ্লয় করুন যা স্থানীয় UDP RADIUS ট্রাফিক বন্ধ করে এবং এটি TLS-এর মাধ্যমে সেন্ট্রাল FreeRADIUS সার্ভারে ফরোয়ার্ড করে, যার ফলে প্রতিটি স্টোরের নেটওয়ার্ক ডিভাইসের ফার্মওয়্যার একযোগে আপগ্রেড করার প্রয়োজন এড়ানো যায়।

পরীক্ষকের মন্তব্য: রিটেইল পরিস্থিতিটি পরিচালিত এবং অনিয়ন্ত্রিত ডিভাইসের মিশ্র পরিবেশের গুরুত্বপূর্ণ চ্যালেঞ্জটি তুলে ধরে, যা মাল্টি-সাইট রিটেইলে ব্যতিক্রমের চেয়ে সাধারণ নিয়ম। মূল আর্কিটেকচারাল সিদ্ধান্ত হলো IoT ডিভাইসগুলোকে কখনোই কর্পোরেট ডিভাইসের মতো একই অথেন্টিকেশন পাথে না রাখা — এগুলোর জন্য আলাদা ট্রাস্ট লেভেল এবং আলাদা রিস্ক প্রোফাইল প্রয়োজন। RADSEC প্রক্সি পদ্ধতিটি বড় ডিস্ট্রিবিউটেড এস্টেটের জন্য একটি বাস্তবসম্মত সমাধান যেখানে স্বল্প মেয়াদে প্রতিটি এজ ডিভাইস আপগ্রেড করা সম্ভব নয়; এটি সবচেয়ে ঝুঁকিপূর্ণ সেগমেন্টের (স্টোর এবং সেন্ট্রাল সার্ভারের মধ্যকার WAN) জন্য ট্রান্সপোর্ট-লেয়ার সিকিউরিটি প্রদান করে এবং একই সাথে ধাপে ধাপে ডিভাইস আপগ্রেড করার সুযোগ দেয়। PCI-DSS কমপ্লায়েন্সের জন্য প্রয়োজন যে CDE-কে ঝুঁকিপূর্ণ অথেন্টিকেশন পাথ থেকে স্পষ্টভাবে আলাদা করা হোক, যা VLAN সেগমেন্টেশন এবং MAB পদ্ধতির মাধ্যমে অর্জন করা সম্ভব।

অনুশীলনী প্রশ্নসমূহ

Q1. আপনার প্রতিষ্ঠান একটি ৫০০ আসনের কনফারেন্স সেন্টার পরিচালনা করে যা কর্পোরেট ইভেন্টগুলো হোস্ট করে। ভেন্যুর WiFi-এ PEAP/MSCHAPv2 সহ WPA2-Enterprise এবং একটি FreeRADIUS সার্ভার ব্যবহৃত হয়। একজন নিরাপত্তা পরামর্শদাতা তাদের রিপোর্টে CVE-2024-3596 চিহ্নিত করেছেন। ভেন্যু ডিরেক্টর জানতে চান: (ক) আপনারা কি বর্তমানে ঝুঁকিপূর্ণ? (খ) তাত্ক্ষণিক ঝুঁকি বন্ধ করার জন্য ন্যূনতম কী পদক্ষেপ প্রয়োজন? (গ) প্রস্তাবিত দীর্ঘমেয়াদী আর্কিটেকচার কী?

ইঙ্গিত: PEAP, Blast-RADIUS থেকে সুরক্ষা প্রদান করে কিনা এবং সেই সুরক্ষা বজায় রাখার জন্য কী কী শর্ত পূরণ করতে হবে তা বিবেচনা করুন। এছাড়াও প্রতিকার সময়সীমা পরিকল্পনা করার সময় একটি ২৪/৭ ভেন্যু পরিবেশের অপারেশনাল সীমাবদ্ধতাগুলো বিবেচনা করুন।

মডেল উত্তর দেখুন

(ক) MSCHAPv2 সহ PEAP একটি EAP টানেল ব্যবহার করে যা অভ্যন্তরীণ অথেন্টিকেশনকে Blast-RADIUS আক্রমণ থেকে রক্ষা করে, তাই আপনি সরাসরি CVE-2024-3596-এর প্রতি ঝুঁকিপূর্ণ নন — যদি ক্লায়েন্টদের FreeRADIUS সার্ভার সার্টিফিকেট যাচাই করার জন্য সঠিকভাবে কনফিগার করা হয়। যদি সার্টিফিকেট যাচাইকরণ প্রয়োগ করা না হয়, তবে আপনি রোগ (rogue) অ্যাক্সেস পয়েন্ট আক্রমণের প্রতি ঝুঁকিপূর্ণ, যা একটি পৃথক কিন্তু সমানভাবে গুরুতর ঝুঁকি। ডিফেন্স-ইন-ডেপথ ব্যবস্থা হিসেবে আপনার এখনও FreeRADIUS-কে প্যাচ করা সংস্করণে আপডেট করা এবং Message-Authenticator প্রয়োগ করা উচিত। (খ) ন্যূনতম তাত্ক্ষণিক পদক্ষেপ হলো FreeRADIUS-কে সংস্করণ ৩.২.৩ বা তার পরের সংস্করণে আপডেট করা এবং clients.conf-এ Message-Authenticator প্রয়োগ করা। একই সাথে, সার্ভার সার্টিফিকেট যাচাইকরণ সক্রিয় আছে কিনা তা নিশ্চিত করতে সমস্ত ক্লায়েন্ট ডিভাইস অডিট করুন। (গ) প্রস্তাবিত দীর্ঘমেয়াদী আর্কিটেকচার হলো EAP-TLS সহ WPA3-Enterprise, যা সার্টিফিকেট ইস্যু করার জন্য একটি PKI দ্বারা সমর্থিত। উচ্চ ডিভাইস টার্নওভার এবং BYOD সহ একটি কনফারেন্স সেন্টারের জন্য, সার্টিফিকেট ব্যবস্থাপনার অপারেশনাল ঝামেলা কমাতে স্বয়ংক্রিয় প্রভিশনিং সহ একটি ক্লাউড-ভিত্তিক সার্টিফিকেট অথরিটি বিবেচনা করুন।

Q2. একটি রিটেইল চেইনের নিরাপত্তা দল একটি RADIUS অডিট সম্পন্ন করেছে এবং তাদের স্টোর নেটওয়ার্কে তিন ক্যাটাগরির ডিভাইস চিহ্নিত করেছে: (১) MS-CHAP ব্যবহার করা পরিচালিত Windows ল্যাপটপ, (২) PAP ব্যবহার করা Android হ্যান্ডহেল্ড স্ক্যানার, (৩) IoT ডিজিটাল সাইনেজ ডিভাইস যা মোটেও 802.1X সমর্থন করে না। প্রতিকারমূলক পদক্ষেপগুলোর অগ্রাধিকার নির্ধারণ করুন এবং প্রতিটি ডিভাইস ক্যাটাগরির যৌক্তিকতা ব্যাখ্যা করুন।

ইঙ্গিত: প্রতিটি অথেন্টিকেশন মোডের আপেক্ষিক ঝুঁকি, প্রতিটি ডিভাইস ক্যাটাগরিকে EAP-তে স্থানান্তরিত করার সম্ভাব্যতা এবং যেসব ডিভাইস 802.1X সমর্থন করতে পারে না সেগুলোর জন্য উপযুক্ত নেটওয়ার্ক আর্কিটেকচার বিবেচনা করুন।

মডেল উত্তর দেখুন

তিনটি ক্যাটাগরির জন্যই পদক্ষেপ নেওয়া প্রয়োজন, তবে পদ্ধতি ভিন্ন। ক্যাটাগরি ১ (Windows ল্যাপটপ, MS-CHAP): EAP-TLS মাইগ্রেশনের জন্য সর্বোচ্চ অগ্রাধিকার কারণ MS-CHAP সরাসরি Blast-RADIUS-এর প্রতি ঝুঁকিপূর্ণ। Group Policy-এর মাধ্যমে কম্পিউটার সার্টিফিকেট ডেপ্লয় করুন এবং ৩০–৬০ দিনের মধ্যে EAP-TLS-এ স্থানান্তরিত করুন। অন্তর্বর্তীকালীন ব্যবস্থা হিসেবে অবিলম্বে Message-Authenticator প্রয়োগ করুন। ক্যাটাগরি ২ (Android স্ক্যানার, PAP): এটিও সরাসরি ঝুঁকিপূর্ণ। PAP এমন একটি আকারে ক্রেডেনশিয়াল প্রেরণ করে যা RADIUS ট্রাফিক ইন্টারসেপ্ট করা হলে সহজেই পাঠযোগ্য হয়, যা ক্রেডেনশিয়াল উন্মুক্ত হওয়ার দৃষ্টিকোণ থেকেও এটিকে সর্বোচ্চ ঝুঁকিপূর্ণ ক্যাটাগরি করে তোলে। Android-এর বিল্ট-ইন 802.1X সমর্থন ব্যবহার করে PEAP বা EAP-TLS-এ স্থানান্তরিত করুন। স্ক্যানার ফার্মওয়্যার যদি EAP সমর্থন না করে, তবে ফার্মওয়্যার আপডেট বা ডিভাইস প্রতিস্থাপনকে অগ্রাধিকার দিন। ক্যাটাগরি ৩ (IoT সাইনেজ, কোনো 802.1X নেই): এটি EAP-তে স্থানান্তরিত করা যাবে না। কর্পোরেট নেটওয়ার্ক বা CDE-তে অ্যাক্সেস রোধ করতে কঠোর ফায়ারওয়াল নিয়ম সহ একটি ডেডিকেটেড IoT VLAN-এ MAC Authentication Bypass (MAB) প্রয়োগ করুন। এটি মেনে নিন যে MAB দুর্বল অথেন্টিকেশন প্রদান করে (MAC অ্যাড্রেস স্পুফ করা যেতে পারে) এবং নেটওয়ার্ক পর্যবেক্ষণ ও অসঙ্গতি সনাক্তকরণের মাধ্যমে এর ক্ষতিপূরণ করুন।

Q3. ৫০টি প্রপার্টি সহ একটি হোটেল চেইনের CTO আপনাকে ১২ মাসে আনুমানিক £১৮০,০০০ বাজেটের একটি সম্পূর্ণ RADIUS আধুনিকীকরণ প্রোগ্রামের (EAP-TLS + RADSEC) ব্যবসায়িক যুক্তি উপস্থাপন করতে বলেছেন। তিনি বুঝতে চান: প্রশমিত হওয়া ঝুঁকি, কমপ্লায়েন্সের সুবিধা এবং নিরাপত্তার বাইরে অপারেশনাল ROI। আপনি কীভাবে ব্যবসায়িক যুক্তিটি সাজাবেন?

ইঙ্গিত: ব্যবসায়িক যুক্তিটিকে তিনটি স্তম্ভের চারপাশে সাজান: ঝুঁকির পরিমাণ নির্ধারণ (ব্রিচের খরচ কত?), কমপ্লায়েন্সের মূল্য (এটি কোন জরিমানা বা অডিট খরচ এড়ায়?), এবং অপারেশনাল দক্ষতা (নিরাপত্তার বাইরে এটি কী সক্ষম করে?)। ৩৫০-রুমের হোটেলের পরিস্থিতিটিকে রেফারেন্স পয়েন্ট হিসেবে ব্যবহার করুন।

মডেল উত্তর দেখুন

ব্যবসায়িক যুক্তিটি তিনটি স্তম্ভের চারপাশে সাজান। ঝুঁকির পরিমাণ নির্ধারণ: একটি একক প্রপার্টিতে সফল Blast-RADIUS শোষণের মাধ্যমে অতিথিদের PII, পেমেন্ট সিস্টেম এবং ব্যাক-অফিস ইনফ্রাস্ট্রাকচারে নেটওয়ার্ক অ্যাক্সেস পাওয়া যেতে পারে। হসপিটালিটি সেক্টরে একটি গড় ডেটা ব্রিচের প্রতিকার, বিজ্ঞপ্তি এবং সুনামের ক্ষতি বাবদ £৩M+ খরচ হয়। ৫০টি প্রপার্টিতে সামগ্রিক ঝুঁকি অত্যন্ত বেশি। £১৮০,০০০-এর বিনিয়োগ একটি একক ব্রিচ খরচের ৬%-এরও কম। কমপ্লায়েন্সের মূল্য: PCI-DSS v4.0 আওতাভুক্ত সমস্ত সিস্টেমের জন্য শক্তিশালী অথেন্টিকেশন প্রয়োজন। EAP-TLS এবং RADSEC সরাসরি Requirements 8.6 (অথেন্টিকেশন ম্যানেজমেন্ট) এবং 1.3 (নেটওয়ার্ক সেগমেন্টেশন) পূরণ করে। একটি PCI-DSS লেভেল ১ ফরেনসিক তদন্ত (সাধারণত £৫০,০০০–£১৫০,০০০) এবং সম্ভাব্য কার্ড ব্র্যান্ডের জরিমানা এড়ানোই এই প্রোগ্রামের খরচকে যৌক্তিক করে তোলে। GDPR-এর Article 32-এর জন্য 'উপযুক্ত প্রযুক্তিগত ব্যবস্থা' প্রয়োজন — একটি ডকুমেন্টেড আধুনিকীকরণ প্রোগ্রাম কমপ্লায়েন্সের যথাযথ সতর্কতা প্রদর্শন করে। অপারেশনাল ROI: সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন ৫০টি প্রপার্টি জুড়ে শেয়ার্ড WiFi পাসওয়ার্ড পরিচালনা এবং পরিবর্তনের ঝামেলা দূর করে (পরিবর্তন এবং বিতরণের জন্য প্রতি বছর প্রপার্টি প্রতি আনুমানিক ২–৪ ঘণ্টা সাশ্রয় হয়)। WPA3-Enterprise উচ্চ-ঘনত্বের পরিবেশে কানেকশনের নির্ভরযোগ্যতা উন্নত করে, যা সরাসরি অতিথিদের সন্তুষ্টির স্কোর বাড়ায়। RADSEC-এর TCP ট্রান্সপোর্ট উচ্চ-লেটেন্সি WAN কানেকশন থাকা প্রপার্টিগুলোতে অথেন্টিকেশন ব্যর্থতা কমায়। সব মিলিয়ে, এই অপারেশনাল সুবিধাগুলো প্রতি বছর আনুমানিক ২০০–৩০০ IT ঘণ্টা প্রশাসনিক সময় বাঁচায়।

এই সিরিজে পড়া চালিয়ে যান

Guest এবং Staff WiFi নেটওয়ার্কের জন্য RADIUS Authentication কনফিগার করা

এই টেকনিক্যাল রেফারেন্স গাইডটি এন্টারপ্রাইজ guest এবং staff WiFi নেটওয়ার্কের জন্য RADIUS authentication-এর আর্কিটেকচার, কনফিগারেশন এবং ডিপ্লয়মেন্টের রূপরেখা প্রদান করে। এটি নেটওয়ার্ক আর্কিটেক্ট এবং IT ম্যানেজারদের সুরক্ষিত, স্কেলযোগ্য ওয়্যারলেস অ্যাক্সেস কন্ট্রোল সিস্টেম তৈরি করার জন্য প্রয়োজনীয় সঠিক প্রোটোকল, সিকিউরিটি স্ট্যান্ডার্ড এবং ট্রাবলশুটিং মেথডোলজি প্রদান করে।

গাইডটি পড়ুন →

Passpoint এবং OpenRoaming: সম্পূর্ণ নির্দেশিকা

এই প্রযুক্তিগত রেফারেন্স নির্দেশিকাটি এন্টারপ্রাইজ WiFi নেটওয়ার্কের মধ্যে Passpoint (Hotspot 2.0) এবং WBA OpenRoaming ফ্রেমওয়ার্কের একটি বিস্তৃত বিশ্লেষণ প্রদান করে। এটি একটি নিরাপদ, ঝামেলামুক্ত অতিথি সংযোগ স্থাপন করার জন্য প্রয়োজনীয় অন্তর্নিহিত প্রমাণীকরণ প্রোটোকল, আর্কিটেকচারাল উপাদান এবং স্থাপনার কৌশলগুলি বিস্তারিতভাবে বর্ণনা করে। নেটওয়ার্ক স্থপতি এবং IT লিডাররা এন্টারপ্রাইজ-গ্রেড নিরাপত্তা বজায় রেখে ম্যানুয়াল লগইন বাধাগুলি দূর করতে কীভাবে এই মানগুলি ডিজাইন, বাস্তবায়ন এবং সমস্যা সমাধান করবেন তা শিখবেন।

গাইডটি পড়ুন →

উচ্চশিক্ষায় সুরক্ষিত BYOD এবং নেটওয়ার্ক এনরোলমেন্টের জন্য কীভাবে SCEP বাস্তবায়ন করবেন

এই প্রযুক্তিগত নির্দেশিকাটি নেটওয়ার্ক আর্কিটেক্ট এবং IT ম্যানেজারদের উচ্চশিক্ষার ক্যাম্পাস নেটওয়ার্ক সুরক্ষিত করতে SCEP ভিত্তিক সার্টিফিকেট এনরোলমেন্ট স্থাপনের জন্য একটি ভেন্ডর - নিরপেক্ষ ব্লুপ্রিন্ট প্রদান করে। এটি কীভাবে পাসওয়ার্ড ভিত্তিক PEAP থেকে 802.1X EAP-TLS-এ স্থানান্তরিত হতে হবে, BYOD অনবোর্ডিং স্বয়ংক্রিয় করতে হবে এবং শক্তিশালী VLAN সেগমেন্টেশন কার্যকর করতে হবে তা বিস্তারিতভাবে বর্ণনা করে।

গাইডটি পড়ুন →