Mitigación de vulnerabilidades de RADIUS: guía de securización

Resumen Ejecutivo

RADIUS (Remote Authentication Dial-In User Service) sigue siendo el protocolo dominante para el control de acceso a la red en los despliegues de WiFi empresariales, sirviendo de base para la autenticación IEEE 802.1X en hoteles, establecimientos minoristas, estadios, centros de conferencias y edificios del sector público. Sin embargo, RADIUS se diseñó en la década de 1990 y varias de sus decisiones de diseño fundamentales (la dependencia del hashing MD5, el transporte UDP sin cifrado nativo y los secretos compartidos estáticos) se han convertido en vulnerabilidades críticas en el panorama de amenazas actual.

En julio de 2024, la vulnerabilidad BlastRADIUS (CVE-2024-3596) demostró que un atacante intermediario (man-in-the-middle) puede falsificar respuestas Access-Accept de RADIUS explotando la debilidad de integridad de MD5 en los paquetes Access-Request. Esto afecta a las principales implementaciones de RADIUS, incluidas FreeRADIUS, Cisco ISE y Microsoft NPS. Los despliegues sin parchear siguen estando expuestos.

Esta guía proporciona una hoja de ruta de securización priorizada que abarca la gestión de parches, la higiene de secretos compartidos, la selección del método EAP, el despliegue de RadSec, la autenticación multifactor para el acceso administrativo y la integración con SIEM para la detección de anomalías. Está escrita para el profesional de TI que necesita tomar una decisión defendible este trimestre, no el año que viene.

Análisis Técnico Detallado

Cómo funciona RADIUS y dónde falla

RADIUS opera como un protocolo cliente-servidor entre un Servidor de Acceso a la Red (NAS) —normalmente un punto de acceso WiFi, un switch o un concentrador VPN— y un servidor RADIUS que valida las credenciales contra un almacén de identidad backend como Active Directory o LDAP. El intercambio de autenticación sigue un modelo de solicitud-desafío-respuesta definido en RFC 2865, y la contabilidad se gestiona por separado bajo RFC 2866.

El protocolo transmite paquetes de autenticación a través de UDP, utilizando el puerto 1812 para la autenticación y el puerto 1813 para la contabilidad. El secreto compartido (una clave precompartida configurada tanto en el NAS como en el servidor RADIUS) se utiliza para generar el campo Response Authenticator y para ofuscar el atributo User-Password mediante un cifrado XOR basado en MD5. Esto no es cifrado en ningún sentido moderno; es ofuscación y depende enteramente del secreto y la robustez del secreto compartido.

Las cinco clases principales de vulnerabilidad en un despliegue típico de RADIUS son las siguientes.

Vulnerabilidades de integridad y colisión MD5. El ataque BlastRADIUS (CVE-2024-3596) explota la ausencia de protección de integridad en los paquetes Access-Request. Dado que el NAS no incluye un atributo Message-Authenticator de forma predeterminada en muchas configuraciones, un atacante con una posición de intermediario (man-in-the-middle) puede inyectar un atributo manipulado en el paquete antes de que llegue al servidor RADIUS. Al explotar técnicas de colisión de prefijo elegido de MD5, el atacante puede manipular el paquete de modo que el servidor RADIUS calcule un Response Authenticator válido para el paquete modificado, devolviendo un Access-Accept para una solicitud que debería haber sido rechazada. La solución consiste en exigir el atributo Message-Authenticator en todos los paquetes Access-Request, lo que proporciona protección de integridad HMAC-MD5 sobre el paquete completo. Este es un cambio de configuración tanto en el NAS como en el servidor RADIUS, no solo un parche del servidor.

Secretos compartidos débiles o estáticos. El secreto compartido es el anclaje criptográfico del intercambio RADIUS. Si es corto, predecible o no se ha rotado, un atacante que capture el tráfico RADIUS (lo cual es factible mediante ARP spoofing o un dispositivo de red comprometido) puede realizar un ataque de fuerza bruta sin conexión contra el atributo User-Password. Las directrices de la norma NIST SP 800-63B sobre secretos memorizados se aplican en este caso: los secretos deben tener un mínimo de 20 caracteres, generarse de forma aleatoria y almacenarse en un sistema de gestión de secretos. Para grandes infraestructuras con decenas o cientos de dispositivos NAS, la rotación manual es inviable desde el punto de vista operativo; la automatización a través de HashiCorp Vault o un gestor de secretos comparable es el enfoque correcto.

Transporte UDP no cifrado. El estándar RADIUS sobre UDP no proporciona confidencialidad en la capa de transporte. El atributo User-Password se ofusca pero no se cifra. Todos los demás atributos, incluidos el nombre de usuario, la IP del NAS y los metadatos de la sesión, se transmiten en texto plano. RadSec (RADIUS sobre TLS), definido en RFC 6614 y actualizado en RFC 7360, soluciona esto envolviendo el protocolo RADIUS en una sesión TLS 1.2 o TLS 1.3 sobre el puerto TCP 2083. RadSec proporciona autenticación mutua de certificados entre el NAS y el servidor RADIUS, cifrado completo de la carga útil y protección contra la reproducción. Es el transporte correcto para cualquier tráfico RADIUS que cruce un límite de red no seguro.

Selección del método EAP. El Protocolo de Autenticación Extensible (EAP) define el método de autenticación interno utilizado dentro del marco 802.1X. EAP-MD5 está obsoleto y debe eliminarse de todas las implementaciones de inmediato: no proporciona autenticación mutua ni protección contra la recopilación de credenciales. PEAP (EAP protegido) y EAP-TTLS establecen un túnel TLS utilizando un certificado de servidor antes de transmitir las credenciales, lo que proporciona autenticación mutua y protege el método interno contra la escucha no autorizada. EAP-TLS elimina las contraseñas por completo, requiriendo que tanto el servidor como el cliente presenten certificados X.509. Es inmune al phishing y a los ataques de fuerza bruta, y es el método recomendado para entornos de alta seguridad.

Registro y monitorización insuficientes. El registro de RADIUS registra cada evento de autenticación: éxito, fallo, inicio de sesión, parada de sesión. Estos datos son valiosos desde el punto de vista operativo para la planificación de la capacidad y comercialmente valiosos para WiFi Analytics , pero también son una fuente de telemetría de seguridad crítica. Las tormentas de autenticación fallidas, las autenticaciones desde direcciones MAC inesperadas y los patrones de acceso fuera de horario son detectables a partir de los registros de RADIUS. La mayoría de las organizaciones no están integrando estos datos en un SIEM, y las que lo hacen a menudo no tienen configurados umbrales de alerta.

El ataque BlastRADIUS en detalle

BlastRADIUS fue revelado en julio de 2024 por investigadores de la Universidad de Boston y la Universidad de California en Diego. El ataque requiere una posición de intermediario (man-in-the-middle) entre el NAS y el servidor RADIUS, lo cual se puede lograr mediante envenenamiento ARP en un segmento de red compartido, un router comprometido o un usuario interno malicioso con acceso a la red.

El ataque se desarrolla de la siguiente manera: el atacante intercepta un paquete Access-Request del NAS. Dado que el paquete carece de un atributo Message-Authenticator (el valor predeterminado en muchas configuraciones), el atacante tiene libertad para modificar la lista de atributos del paquete. Utilizando una colisión de prefijo elegido de MD5, el atacante diseña un paquete modificado que, al ser procesado por el servidor RADIUS, produce el mismo Response Authenticator que habría producido el paquete original. Por lo tanto, el servidor devuelve un Access-Accept para una solicitud que contiene atributos controlados por el atacante, incluido un Service-Type de tipo Administrative, que otorga acceso total a la red.

El ataque es viable contra implementaciones PEAP y EAP-TTLS donde el método interno utiliza MSCHAPv2. No afecta a las implementaciones EAP-TLS, ya que la autenticación mutua basada en certificados proporciona una protección de integridad que MD5 no puede debilitar.

Para las organizaciones que ejecutan Guest WiFi junto con el 802.1X corporativo, la instancia RADIUS de la red de invitados también debe ser parcheada, incluso si utiliza MAC Authentication Bypass en lugar de EAP. Los requisitos de higiene de secretos compartidos y Message-Authenticator se aplican por igual.

Guía de implementación

Fase 1: Corrección inmediata (Semanas 1 y 2)

La primera prioridad es el parcheo. FreeRADIUS 3.2.5 y 3.0.27 incluyen la corrección para BlastRADIUS y aplican Message-Authenticator por defecto. Cisco ISE 3.1 Parche 8, 3.2 Parche 4 y 3.3 Parche 1 solucionan la vulnerabilidad. Microsoft lanzó KB5040434 para Windows Server 2022 NPS en julio de 2024. Verifique sus versiones actuales y aplique los parches en su próxima ventana de cambios programada.

Simultáneamente, audite el firmware de sus dispositivos NAS. La aplicación de Message-Authenticator solo es efectiva si el NAS también envía el atributo. Consulte los avisos de seguridad de los proveedores de sus puntos de acceso y switches: Aruba, Ruckus, Cisco y Juniper han lanzado actualizaciones de firmware que abordan BlastRADIUS. Si utiliza hardware Ruckus, la guía de puntos de acceso inalámbricos Ruckus proporciona un contexto relevante para la gestión del firmware.

Para la Resolución de problemas de autenticación 802.1X en Windows 11 que puedan surgir tras el parcheo, la causa más común es que el servidor NPS rechace las conexiones de clientes que no incluyen Message-Authenticator, un comportamiento de seguridad correcto que puede requerir la reconfiguración del suplicante en clientes Windows más antiguos.

Fase 2: Higiene de secretos compartidos (Semanas 2 a 4)

Exporte la lista completa de clientes NAS registrados en su servidor RADIUS. Para cada entrada, registre la longitud del secreto compartido y la fecha en que se cambió por última vez. Cualquier secreto de menos de 20 caracteres o que no se haya cambiado en más de 24 meses debe rotarse de inmediato.

Para los nuevos secretos, utilice un generador criptográficamente aleatorio: openssl rand -base64 32 produce una cadena base64 de 44 caracteres adecuada para su uso como secreto compartido de RADIUS. Almacene todos los secretos en un sistema de gestión de secretos. Implemente un calendario de rotación: anualmente para dispositivos NAS de bajo riesgo, cada seis meses para dispositivos NAS dentro del alcance de PCI DSS.

Fase 3: Racionalización del método EAP (Meses 1 y 2)

Audite los métodos EAP permitidos en su servidor RADIUS. Desactive EAP-MD5. Si utiliza PEAP-MSCHAPv2, verifique que se aplique la validación del certificado del servidor en todos los suplicantes; un suplicante mal configurado que acepte cualquier certificado de servidor es vulnerable a ataques de servidores RADIUS no autorizados. Para entornos dentro del alcance de PCI DSS, EAP-TLS es la vía recomendada. Comience la planificación de la PKI si no dispone de una infraestructura de certificados existente.

Para la Seguridad en redes Guest WiFi , tenga en cuenta que las redes de invitados suelen utilizar la autenticación mediante Captive Portal en lugar de 802.1X, por lo que el endurecimiento del método EAP se aplica principalmente a los SSIDs corporativos y del personal.

Fase 4: Despliegue de RadSec (Meses 2 y 3)

Identifique todas las rutas de tráfico RADIUS que crucen límites de red no seguros. Los escenarios comunes incluyen: un servidor RADIUS central que presta servicio a propiedades hoteleras remotas a través de internet; un servicio RADIUS alojado en la nube al que acceden dispositivos NAS locales; y cadenas de proxy RADIUS donde el tráfico pasa por múltiples dominios de red.

Para cada ruta identificada, configure RadSec. En FreeRADIUS, esto requiere habilitar el agente de escucha tls en el puerto 2083 y configurar TLS mutuo con certificados de su PKI. En Cisco ISE, RadSec se configura en Administración > Dispositivos de red. Asegúrese de que TLS 1.2 sea la versión mínima; deshabilite explícitamente TLS 1.0 y 1.1.

Fase 5: MFA para acceso administrativo (Meses 2–3)

La interfaz de gestión del servidor RADIUS es un objetivo de gran valor. Un atacante que comprometa el servidor RADIUS puede modificar las políticas de autenticación, extraer secretos compartidos y redirigir el tráfico de autenticación. Aplique MFA para todos los inicios de sesión administrativos en el servidor RADIUS y su sistema operativo subyacente. Restrinja el acceso de gestión a una VLAN de gestión dedicada fuera de banda. Implemente el control de acceso basado en roles: los ingenieros de red no deben tener los mismos privilegios que los administradores de seguridad.

Fase 6: Integración con SIEM y alertas (Meses 3–4)

Configure su servidor RADIUS para reenviar los registros de contabilidad (accounting logs) a su SIEM en tiempo real. Defina los siguientes umbrales de alerta como línea base:

Buenas prácticas

Las siguientes recomendaciones representan el consenso de IEEE 802.1X, NIST SP 800-63B, PCI DSS v4.0 y los avisos de seguridad de los proveedores.

Gestión de certificados. Cualquier despliegue que utilice EAP-TLS o RadSec cuenta con certificados X.509 en la ruta de autenticación. La caducidad de los certificados es la causa más común de fallos de autenticación repentinos y totales en los despliegues de WiFi empresariales. Implemente la gestión automatizada del ciclo de vida de los certificados. Establezca alertas de monitorización a los 90, 30 y 7 días antes de la caducidad. Para los certificados del servidor RADIUS, utilice un tamaño de clave mínimo de RSA de 2048 bits o ECDSA de 256 bits, con algoritmos de firma SHA-256 o superiores. No utilice SHA-1.

Segmentación de red. El servidor RADIUS debe residir en un segmento de red de gestión dedicado, aislado tanto de la red de invitados como de la red corporativa general. El acceso a los puertos RADIUS (UDP 1812, 1813, TCP 2083 para RadSec) debe estar restringido mediante ACL de cortafuegos a las direcciones IP específicas de los dispositivos NAS registrados. No permita el acceso directo a internet a los puertos RADIUS. Redundancia y alta disponibilidad. Un único servidor RADIUS representa un punto único de fallo para toda su infraestructura de control de acceso a la red. Despliegue un mínimo de dos servidores RADIUS en una configuración activo-pasivo o activo-activo. Para despliegues en el sector de Hostelería con requisitos de conectividad para huéspedes las 24 horas, el tiempo de inactividad del servidor RADIUS equivale directamente al tiempo de inactividad de la WiFi de los huéspedes, lo que supone un riesgo reputacional y comercial.

WPA3 y 802.1X. WPA3-Enterprise exige el uso del modo de seguridad de 192 bits para despliegues gubernamentales y de alta seguridad, requiriendo AES-256-GCMP para el cifrado de datos y HMAC-SHA-384 para la autenticación. Para la mayoría de los despliegues empresariales, WPA3-Enterprise con seguridad estándar de 128 bits supone una mejora significativa respecto a WPA2-Enterprise, especialmente en combinación con EAP-TLS. Los entornos de Retail que procesan pagos con tarjeta deberían considerar la adopción de WPA3-Enterprise como una medida de reducción de riesgos de PCI DSS.

Frecuencia de parches del proveedor. Suscríbase a los avisos de seguridad del proveedor de su servidor RADIUS y de los proveedores de sus dispositivos NAS. FreeRADIUS, Cisco, Microsoft, Aruba y Ruckus publican notificaciones CVE. Intégrelas en su programa de gestión de vulnerabilidades con un SLA definido: vulnerabilidades críticas (CVSS ≥ 9.0) parcheadas en un plazo de 72 horas; vulnerabilidades altas (CVSS 7.0–8.9) en un plazo de 14 días.

Resolución de problemas y mitigación de riesgos

Modos de fallo comunes

Fallos de autenticación tras la aplicación de parches. Tras aplicar los parches de BlastRADIUS, es posible que algunos dispositivos NAS no se autentiquen si su firmware no es compatible con Message-Authenticator. Síntomas: aumento repentino de respuestas Access-Reject sin cambios en las credenciales de los usuarios. Diagnóstico: habilite el registro de depuración de RADIUS y busque errores del tipo "Message-Authenticator required but not present". Resolución: actualice el firmware del NAS o, como medida temporal, configure el servidor RADIUS para que acepte solicitudes sin Message-Authenticator de IPs de NAS específicas mientras se programan las actualizaciones de firmware.

Fallos de validación de certificados en EAP-TLS. Síntomas: los clientes reciben "Authentication Failed" sin el correspondiente Access-Reject en los registros de RADIUS. Diagnóstico: compruebe la cadena de certificados del servidor RADIUS: ¿el suplicante del cliente confía en la CA emisora? ¿Está el certificado del servidor dentro de su periodo de validez? Resolución: asegúrese de que la cadena completa de certificados (hoja + intermedio + raíz) esté configurada en el servidor RADIUS. Distribuya el certificado de la CA raíz a los dispositivos cliente a través de MDM o directivas de grupo.

Fallos en el protocolo de enlace TLS de RadSec. Síntomas: los dispositivos NAS no logran establecer conexiones RadSec tras un cambio de configuración. Diagnóstico: compruebe la compatibilidad de la versión de TLS; es posible que el firmware de los NAS más antiguos no admita TLS 1.2. Compruebe la autenticación mutua de certificados: ambas partes deben confiar en la CA de la otra. Resolución: verifique la compatibilidad de la versión de TLS en las notas de la versión del firmware del NAS; asegúrese de que los certificados del dispositivo NAS estén emitidos por la misma CA en la que confía el servidor RADIUS. Discrepancia de secreto compartido (Shared Secret Mismatch). Síntomas: todos los intentos de autenticación desde un NAS específico fallan con errores de "Autenticador no válido". Diagnóstico: discrepancia de secreto compartido entre la configuración del NAS y la entrada del cliente en el servidor RADIUS. Resolución: vuelva a introducir el secreto compartido en ambos lados, asegurándose de que no haya espacios al final ni problemas de codificación de caracteres. Utilice copiar y pegar desde un gestor de secretos para evitar errores de transcripción.

Registro de riesgos

ROI e impacto empresarial

Cuantificación del riesgo

La justificación financiera para el endurecimiento (hardening) de RADIUS es evidente cuando se compara con los costes de una brecha de seguridad. El coste medio de una brecha de datos en el Reino Unido en 2024 fue de 3,58 millones de libras, incluyendo multas regulatorias, remediación, costes legales y daños a la reputación. Para las organizaciones dentro del alcance de PCI DSS —que incluye prácticamente a todos los operadores de Retail y Hospitality que procesan pagos con tarjeta a través de WiFi—, una brecha en el control de acceso a la red que exponga datos de titulares de tarjetas desencadena una investigación forense obligatoria, posibles multas de las marcas de tarjetas y la posible suspensión de los privilegios de procesamiento de tarjetas.

Para las organizaciones de Healthcare , una brecha de GDPR que afecte a datos de pacientes a los que se haya accedido a través de un servidor RADIUS comprometido conlleva multas de hasta el 4 % de la facturación anual global en virtud del artículo 83(5). El historial de sanciones de la ICO demuestra que los fallos de seguridad de red se tratan como negligencia, no como accidentes técnicos.

Parámetros de costes de implementación

Las siguientes estimaciones de costes son indicativas para un parque empresarial de 500 dispositivos:

Inversión total en endurecimiento para un parque de tamaño medio: aproximadamente entre 20.000 y 45.000 £. Frente a un coste de referencia por brecha de seguridad de 3,58 millones de libras, el ROI ajustado al riesgo es muy atractivo, incluso con estimaciones bajas de probabilidad de brecha.

Beneficios operativos más allá de la seguridad

Una infraestructura RADIUS robustecida también ofrece ventajas operativas. Una autenticación fiable y bien monitorizada reduce los tickets de soporte técnico relacionados con la conectividad WiFi. Los datos de contabilidad de RADIUS, cuando se integran con WiFi Analytics , proporcionan visibilidad a nivel de sesión sobre los patrones de uso de la red, los tiempos de permanencia y los tipos de dispositivos, datos que tienen un valor comercial directo para los operadores de recintos en los entornos de Hospitality y Transport .

Para las organizaciones del sector público y de Healthcare , un programa documentado de robustecimiento de RADIUS aporta pruebas de controles técnicos para las evaluaciones de Cyber Essentials Plus, ISO 27001 y NHS DSPT, lo que reduce la carga de trabajo de las auditorías y demuestra la debida diligencia ante los reguladores.