Mitigación de vulnerabilidades de RADIUS: guía de securización de red

Resumen ejecutivo

RADIUS (Remote Authentication Dial-In User Service) sigue siendo el protocolo principal para el control de acceso a la red en despliegues de WiFi corporativos, dando soporte a la autenticación 802.1X en hoteles, tiendas, estadios, centros de convenciones y edificios del sector público. Sin embargo, la arquitectura de RADIUS se remonta a la década de 1990 y varias de sus decisiones de diseño fundamentales - la dependencia de los hashes MD5, el transporte UDP sin cifrado nativo y las claves compartidas estáticas - representan riesgos significativos en el panorama de amenazas actual.

En julio de 2024, la vulnerabilidad BlastRADIUS (CVE-2024-3596) demostró que un atacante intermediario (man-in-the-middle) puede falsificar una respuesta Access-Accept de RADIUS explotando la vulnerabilidad de integridad de MD5 en los paquetes Access-Request. Esta vulnerabilidad afecta a todas las implementaciones principales de RADIUS, incluidas FreeRADIUS, Cisco ISE y Microsoft NPS. Los despliegues sin parchear siguen estando expuestos a riesgos.

Esta guía proporciona una hoja de ruta prioritaria de endurecimiento de seguridad que abarca la gestión de parches, la higiene de claves compartidas, la selección del método EAP, el despliegue de RadSec, la autenticación multifactor para el acceso de administración y la integración con SIEM para la detección de anomalías. Está escrita para profesionales de TI que necesitan tomar decisiones sólidas en el trimestre actual, no el año que viene.

Análisis técnico detallado

Cómo funciona RADIUS y sus puntos débiles

RADIUS funciona como un protocolo cliente - servidor entre un servidor de acceso a la red (NAS) - normalmente un punto de acceso WiFi, switch o concentrador VPN - y un servidor RADIUS que valida las credenciales frente a un almacén de identidad backend como Active Directory o LDAP. El intercambio de autenticación sigue el modelo de solicitud - desafío - respuesta definido en RFC 2865, mientras que la contabilidad se gestiona por separado bajo RFC 2866.

El protocolo transmite paquetes de autenticación a través de UDP, utilizando el puerto 1812 para la autenticación y el puerto 1813 para la contabilidad. Un secreto compartido - una clave precompartida configurada tanto en el NAS como en el servidor RADIUS - se utiliza para generar el campo Response Authenticator y para cifrar el atributo User-Password mediante un cifrado XOR basado en MD5. Esto no es cifrado en ningún sentido moderno; se trata puramente de una ofuscación que depende de la confidencialidad y la fortaleza del secreto compartido.

Las cinco categorías principales de vulnerabilidad en un despliegue típico de RADIUS son las siguientes.

Colisiones MD5 y vulnerabilidad de integridad. El ataque BlastRADIUS (CVE-2024-3596) explota la falta de protección de integridad en los paquetes Access-Request. Dado que muchas configuraciones no incluyen por defecto el atributo Message-Authenticator del NAS, un atacante posicionado en el medio puede inyectar atributos manipulados antes de que el paquete llegue al servidor RADIUS. Utilizando técnicas de colisión de prefijo elegido de MD5, el atacante puede manipular el paquete para que el servidor RADIUS calcule un Response Authenticator válido para el paquete modificado, devolviendo un Access-Accept para una solicitud que de otro modo habría sido rechazada. La solución consiste en exigir el atributo Message-Authenticator en todos los paquetes Access-Request, lo que proporciona protección de integridad HMAC-MD5 sobre todo el paquete. Esto requiere cambios de configuración tanto en el NAS como en el servidor RADIUS, no solo parches en el servidor.

Secretos compartidos débiles o estáticos. El secreto compartido es el ancla criptográfica del intercambio RADIUS. Si la clave es corta, predecible o nunca se rota, un atacante que capture el tráfico RADIUS (lo que se puede lograr mediante suplantación ARP o un dispositivo de red comprometido) puede descifrar por fuerza bruta el atributo User-Password de forma local y sin conexión. Las directrices de NIST SP 800-63B sobre claves memorizadas se aplican aquí: las claves deben tener al menos 20 caracteres, generarse de forma aleatoria y almacenarse en un sistema de gestión de claves. Para redes grandes con decenas o millones de dispositivos NAS, la rotación manual es inviable a nivel operativo; la automatización mediante HashiCorp Vault o un gestor de claves similar es el camino correcto.

Transporte UDP no cifrado. El estándar RADIUS sobre UDP no proporciona confidencialidad en la capa de transporte. El atributo User-Password se ofusca pero no se cifra. Todos los demás atributos - incluidos los nombres de usuario, las IP de los NAS y los metadatos de la sesión - se transmiten en texto claro. RadSec (RADIUS sobre TLS), definido en RFC 6614 y actualizado en RFC 7360, resuelve este problema envolviendo el protocolo RADIUS dentro de un túnel TLS en el puerto TCP 2083, estableciendo una sesión TLS 1.2 o TLS 1.3. RadSec proporciona autenticación bidireccional basada en certificados, cifrado completo de la carga útil y protección contra ataques de reproducción entre el NAS y el servidor RADIUS. Es el método de transporte adecuado para cualquier tráfico RADIUS que cruce límites de red no confiables.

Selección del método EAP. El Protocolo de Autenticación Extensible (EAP) define los métodos internos de autenticación utilizados dentro del marco 802.1X. EAP-MD5 está obsoleto y debe eliminarse de inmediato de todos los despliegues - no ofrece autenticación mutua ni resistencia contra ataques de recolección de credenciales. PEAP (Protected EAP) y EAP-TTLS establecen un túnel TLS utilizando un certificado de servidor antes de transmitir las credenciales, proporcionando autenticación mutua y protegiendo el método interno contra la interceptación. EAP-TLS elimina por completo las contraseñas, requiriendo certificados X.509 tanto en el servidor como en el cliente. Es inmune al phishing y a los ataques de fuerza bruta, y es el método recomendado para entornos de alta seguridad. Registro y monitorización insuficientes. El registro de contabilidad de RADIUS registra cada evento de autenticación: éxitos, fallos, inicios y finales de sesión. Estos datos son muy valiosos operativamente para la planificación de capacidad, comercialmente para WiFi Analytics , y también son una fuente crítica de telemetría de seguridad. Los picos inusuales de autenticaciones fallidas, las autenticaciones de direcciones MAC desconocidas y los patrones de acceso fuera del horario laboral pueden detectarse a partir de los registros de contabilidad de RADIUS. La mayoría de las organizaciones no integran estos datos en un SIEM, y aquellas que lo hacen rara vez configuran umbrales de alerta.

Detalles del ataque BlastRADIUS

BlastRADIUS fue divulgado en julio de 2024 por investigadores de la Universidad de Boston y de la Universidad de California en San Diego. El ataque requiere una posición de intermediario (Man-in-the-Middle) entre el NAS y el servidor RADIUS, lo cual puede lograrse mediante suplantación ARP en un segmento de red compartido, un router comprometido o un usuario interno malicioso con acceso a la red.

El ataque funciona de la siguiente manera: el atacante intercepta un paquete Access-Request del NAS. Dado que este paquete carece del atributo Message-Authenticator (la configuración predeterminada en muchas instalaciones), el atacante es libre de modificar la lista de atributos del paquete. Utilizando una colisión de prefijo elegido de MD5, el atacante construye un paquete modificado para el cual el servidor RADIUS calculará el mismo Response Authenticator que para el paquete original. Como resultado, el servidor devuelve un Access-Accept para la solicitud que contiene los atributos controlados por el atacante, incluido el Administrative Service-Type que otorga acceso total a la red.

El ataque es eficaz contra despliegues de PEAP y EAP-TTLS que utilicen MSCHAPv2 como método interno. No afecta a los despliegues de EAP-TLS, ya que la autenticación mutua basada en certificados proporciona una protección de integridad que MD5 no puede romper.

Para las organizaciones que operan tanto Guest WiFi como 802.1X empresarial, la instancia RADIUS de la red de invitados también debe recibir el parche, incluso si utiliza MAC Authentication Bypass en lugar de EAP. Se aplican las mismas especificaciones de seguridad de clave compartida y los requisitos de Message-Authenticator.

Guía de implementación

Fase 1: Remediación inmediata (semanas 1 y 2)

La aplicación de parches es el primer paso. FreeRADIUS 3.2.5 y 3.0.27 incluyen la solución para BlastRADIUS y aplican Message-Authenticator de forma predeterminada. Cisco ISE 3.1 Patch 8, 3.2 Patch 4 y 3.3 Patch 1 resuelven la vulnerabilidad. Microsoft lanzó KB5040434 para Windows Server 2022 NPS en julio de 2024. Verifique sus versiones actuales y aplique estos parches en su próxima ventana de cambios programada.

Simultáneamente, audite el firmware de sus dispositivos NAS. La aplicación de Message-Authenticator solo es efectiva si el NAS también envía el atributo. Revise los boletines de sus proveedores de puntos de acceso y switches - Aruba, Ruckus, Cisco y Juniper han publicado actualizaciones de firmware para BlastRADIUS. Si utiliza hardware Ruckus, la wireless access point Ruckus guide proporciona información de contexto relevante para la gestión del firmware.

En cuanto a la resolución de problemas que puedan surgir tras la instalación de parches al troubleshooting Windows 11 802.1X authentication issues , la causa más común es que el servidor NPS rechace las conexiones de clientes que no incluyan Message-Authenticator, lo cual es el comportamiento de seguridad correcto y puede requerir la reconfiguración del suplicante en clientes Windows más antiguos.

Fase 2: Saneamiento de claves compartidas (semanas 2 a 4)

Exporte la lista completa de clientes NAS registrados en sus servidores RADIUS. Registre la longitud de la clave compartida de cada entrada y la fecha de su último cambio. Cualquier clave que tenga menos de 20 personajes o que no se haya cambiado en más de 24 meses debe rotarse inmediatamente.

Para las nuevas claves, utilice un generador criptográficamente aleatorio - openssl rand -base64 32 genera una cadena base64 de 44 caracteres idónea para una clave compartida de RADIUS. Almacene todas las claves en un sistema de gestión de claves. Implemente un calendario de rotación: anualmente para los dispositivos NAS de bajo riesgo y semestralmente para los dispositivos NAS que se encuentren dentro del alcance de PCI-DSS.

Fase 3: Racionalización de los métodos EAP (meses 1 y 2)

Audite los métodos EAP permitidos en su servidor RADIUS. Desactive EAP-MD5. Si utiliza PEAP-MSCHAPv2, verifique que todos los suplicantes exijan la validación del certificado del servidor - los suplicantes mal configurados que aceptan cualquier certificado de servidor son vulnerables a ataques de servidores RADIUS falsos. Para entornos dentro del alcance de PCI-DSS, se recomienda EAP-TLS. Si actualmente carece de una infraestructura de certificados, comience con la planificación de la PKI.

Para securing guest WiFi networks, tenga en cuenta que las redes de invitados suelen utilizar la autenticación de Captive Portal en lugar de 802.1X, por lo que el endurecimiento del método EAP se aplica principalmente a los SSID corporativos y de empleados.

Fase 4: Despliegue de RadSec (meses 2 y 3)

Identifique cada ruta de tráfico RADIUS que atraviese límites de red no confiables. Los escenarios habituales incluyen un servidor RADIUS central que presta servicio a hoteles remotos a través de Internet; dispositivos NAS locales que se conectan a un servicio de RADIUS en la nube; y cadenas de proxies RADIUS donde el tráfico atraviesa múltiples dominios de red.

Configure RadSec para cada ruta identificada. En FreeRADIUS, esto implica habilitar el listener tls en el puerto 2083 y configurar TLS mutuo con certificados de su PKI. En Cisco ISE, RadSec se configura en Administration > Network Devices. Asegúrese de utilizar al menos TLS 1.2; desactive explícitamente TLS 1.0 y 1.1.

Fase 5: Autenticación multifactor para el acceso de gestión (meses 2 y 3)

Las interfaces de administración de sus servidores RADIUS son un objetivo de gran valor. Un atacante que comprometa un servidor RADIUS puede modificar las políticas de autenticación, extraer claves compartidas y redirigir el tráfico de autenticación. Obligue el uso de MFA para todos los inicios de sesión de administradores en los servidores RADIUS y sus sistemas operativos subyacentes. Restrinja el acceso de gestión a una VLAN de gestión dedicada fuera de banda. Implemente un control de acceso basado en roles: los ingenieros de red no deben tener los mismos privilegios que los administradores de seguridad.

Fase 6: Integración con SIEM y alertas (meses 3 y 4)

Configure sus servidores RADIUS para que reenvíen los registros de contabilidad a su SIEM en tiempo real. Defina los siguientes umbrales de alerta base:

Mejores prácticas

Las siguientes recomendaciones sintetizan el consenso de IEEE 802.1X, NIST SP 800-63B, PCI-DSS v4.0 y los boletines de seguridad de los fabricantes.

Gestión de certificados. Cualquier despliegue que utilice EAP-TLS o RadSec tiene certificados X.509 en su ruta de autenticación. En los despliegues de WiFi corporativos, la caducidad de los certificados es la causa única más común de fallos de autenticación repentinos y completos. Implemente una gestión automatizada del ciclo de vida de los certificados. Configure alertas de monitorización a los 90, 30 y 7 días antes de la caducidad. Para los certificados del servidor RADIUS, utilice claves RSA de al menos 2048 bits o ECDSA de 256 bits, junto con SHA-256 o algoritmos de firma más potentes. No utilice SHA-1.

Segmentación de red. El servidor RADIUS debe ubicarse en un segmento de red de gestión dedicado, aislado de las redes de invitados y corporativas generales. El acceso a los puertos RADIUS (UDP 1812, 1813 y TCP 2083 para RadSec) debe limitarse mediante ACL de firewall a las direcciones IP específicas de los dispositivos NAS registrados. No permita el acceso directo a los puertos RADIUS desde Internet.

Redundancia y alta disponibilidad. Un único servidor RADIUS es un punto único de fallo para toda su infraestructura de control de acceso a la red. Despliegue al menos dos servidores RADIUS en configuración activo-pasivo o activo-activo. Para despliegues en el sector de hotelería con necesidades de conexión de invitados las 24 horas del día, los 7 días de la semana, la inactividad del servidor RADIUS se traduce directamente en la caída de la WiFi de invitados, lo que supone un riesgo reputacional y comercial. WPA3 y 802.1X. WPA3-Enterprise incorpora un modo de seguridad de 192 bits, que es un requisito imprescindible para despliegues gubernamentales y de alta seguridad, el cual obliga al uso de AES-256-GCMP para el cifrado de datos y HMAC-SHA-384 para la autenticación. Para la mayoría de los despliegues corporativos, WPA3-Enterprise combinado con la protección de seguridad estándar de 128 bits ya ofrece una mejora significativa en comparación con WPA2-Enterprise, especialmente cuando se utiliza junto con EAP-TLS. Los entornos de comercio minorista que procesan pagos con tarjeta deben considerar la adopción de WPA3-Enterprise como una medida para mitigar los riesgos de PCI-DSS.

Ritmo de parches del fabricante. Suscríbase a los boletines de seguridad de los fabricantes de sus servidores RADIUS y dispositivos NAS. FreeRADIUS, Cisco, Microsoft, Aruba y Ruckus publican notificaciones CVE. Integre esta información en su programa de gestión de vulnerabilidades y defina SLA claros: parches para vulnerabilidades críticas (CVSS ≥ 9.0) en 72 horas; vulnerabilidades altas (CVSS 7.0 - 8.9) en 14 días.

Resolución de problemas y mitigación de riesgos

Modos de fallo comunes

Fallo de autenticación tras aplicar parches. Tras aplicar los parches para BlastRADIUS, si el firmware de algunos dispositivos NAS no es compatible con Message-Authenticator, puede provocar fallos de autenticación. Síntomas: aumento repentino de respuestas Access-Reject sin cambios en las credenciales de los usuarios. Diagnóstico: habilite los registros de depuración de RADIUS y compruebe si existe el error "Message-Authenticator required but not present" (se requiere Message-Authenticator pero no está presente). Solución: actualice el firmware del NAS o, como medida temporal durante la ventana de actualización planificada, configure el servidor RADIUS para aceptar solicitudes sin Message-Authenticator de IP de NAS específicas.

Fallo de validación de certificados en EAP-TLS. Síntomas: el cliente recibe un aviso de "fallo de autenticación", pero no hay un Access-Reject correspondiente en los registros de RADIUS. Diagnóstico: compruebe la cadena de certificados del servidor RADIUS - ¿la CA emisora es de confianza para el suplicante del cliente? ¿Está vigente el certificado del servidor? Solución: asegúrese de que la cadena de certificados completa (certificado de hoja + intermedio + raíz) esté configurada en el servidor RADIUS. Distribuya el certificado de la CA raíz a los dispositivos de los clientes a través de MDM o directivas de grupo.

Fallo en el apretón de manos (handshake) TLS de RadSec. Síntomas: tras un cambio de configuración, el dispositivo NAS no puede establecer la conexión RadSec. Diagnóstico: compruebe la compatibilidad de la versión de TLS - es posible que el firmware de los NAS más antiguos no admita TLS 1.2. Compruebe la validación mutua de certificados - ambas partes deben confiar en la CA de la otra. Solución: verifique la compatibilidad de la versión de TLS en las notas de lanzamiento del firmware del NAS; asegúrese de que el certificado del dispositivo NAS esté emitido por la misma CA en la que confía el servidor RADIUS.

Discrepancia en la clave secreta compartida. Síntomas: fallan todas las autenticaciones de un NAS específico con un error de "autenticador no válido". Diagnóstico: discrepancia en la clave secreta compartida entre la configuración del NAS y la entrada del cliente en el servidor RADIUS. Solución: vuelva a introducir la clave secreta compartida en ambos extremos, comprobando si hay espacios finales o problemas de codificación de caracteres. Copie y pegue desde su gestor de contraseñas para evitar errores de transcripción.

Matriz de registro de riesgos

Retorno de la inversión (ROI) e impacto empresarial

Cuantificación del riesgo

La justificación económica de la securización de RADIUS es más evidente cuando se analiza el coste de una brecha de datos. El coste medio de una brecha de datos en el Reino Unido en 2024 fue de 3,58 millones de libras, lo que incluye multas regulatorias, medidas de remediación, costes legales y daños a la reputación. Para las organizaciones dentro del alcance de PCI-DSS - que en la práctica incluye a todos los operadores de Retail y Hospitality que aceptan pagos con tarjeta a través de WiFi - una brecha en el control de acceso a la red que exponga datos de titulares de tarjetas desencadenará investigaciones forenses obligatorias, posibles multas de las marcas de tarjetas y la posible suspensión de la capacidad de procesar tarjetas.

Para las organizaciones de Healthcare , el acceso a los datos de los pacientes debido a un servidor RADIUS comprometido que resulte en una infracción del GDPR conlleva multas de hasta el 4 % de la facturación anual global según el artículo 83, apartado 5. El historial de sanciones de la ICO demuestra que los fallos de seguridad de la red se tratan como negligencia, no como una desgracia técnica.

Puntos de referencia de costes de implementación

Las siguientes estimaciones de costes se basan en una red de 500 dispositivos:

La inversión total de refuerzo para una mediana empresa se sitúa en torno a las 20.000 - 45.000 £. En comparación con el coste de referencia de una brecha de seguridad de 3,58 millones de libras, el ROI ajustado al riesgo sigue siendo sumamente atractivo, incluso bajo hipótesis conservadoras sobre la probabilidad de sufrir una brecha.

Beneficios operativos más allá de la seguridad

Una infraestructura RADIUS reforzada también aporta dividendos operativos. Una autenticación fiable y bien monitorizada reduce los tickets de soporte del servicio de atención al usuario relacionados con la conectividad WiFi. Cuando los datos de contabilidad de RADIUS se integran con WiFi Analytics , proporcionan una visualización a nivel de sesión sobre los patrones de uso de la red, los tiempos de permanencia y los tipos de dispositivos - datos que tienen un valor comercial directo para los operadores de espacios en los sectores de Hospitality y Transport .

Para las organizaciones del sector público y de atención sanitaria , un plan documentado de refuerzo de RADIUS aporta pruebas de control técnico para las evaluaciones de Cyber Essentials Plus, ISO 27001 y NHS DSPT - lo que reduce el esfuerzo de auditoría y demuestra la debida diligencia ante los organismos reguladores.