Mitigación de vulnerabilidades de RADIUS: Guía de fortalecimiento de seguridad

Resumen ejecutivo

RADIUS (Remote Authentication Dial-In User Service) sigue siendo el protocolo principal para el control de acceso a la red en implementaciones de WiFi empresariales, dando soporte a la autenticación 802.1X en hoteles, tiendas minoristas, estadios, centros de convenciones y edificios del sector público. Sin embargo, la arquitectura de RADIUS se remonta a la década de 1990 y varias de sus decisiones de diseño fundamentales - la dependencia de los hashes MD5, el transporte UDP sin cifrado nativo y las claves compartidas estáticas - representan riesgos significativos en el panorama actual de amenazas.

En julio de 2024, la vulnerabilidad BlastRADIUS (CVE-2024-3596) demostró que un atacante intermedio (man-in-the-middle) puede falsificar una respuesta Access-Accept de RADIUS aprovechando las fallas de integridad de MD5 en los paquetes Access-Request. Esta vulnerabilidad afecta a todas las implementaciones principales de RADIUS, incluidas FreeRADIUS, Cisco ISE y Microsoft NPS. Las implementaciones sin parches siguen en riesgo.

Esta guía proporciona una hoja de ruta prioritaria de endurecimiento de seguridad que abarca la gestión de parches, la higiene de claves compartidas, la selección del método EAP, la implementación de RadSec, la autenticación multifactor para el acceso de administración y la integración con SIEM para la detección de anomalías. Está escrita para profesionales de TI que necesitan tomar decisiones sólidas en este trimestre, no el próximo año.

Análisis técnico profundo

Cómo funciona RADIUS y dónde se quiebra

RADIUS opera como un protocolo cliente - servidor entre un Servidor de Acceso a la Red (NAS) - típicamente un punto de acceso WiFi, switch o concentrador VPN - y un servidor RADIUS que valida las credenciales contra un almacén de identidad backend como Active Directory o LDAP. El intercambio de autenticación sigue un modelo de solicitud - desafío - respuesta definido en RFC 2865, mientras que la contabilidad se maneja por separado bajo RFC 2866.

El protocolo transporta paquetes de autenticación a través de UDP, utilizando el puerto 1812 para la autenticación y el puerto 1813 para la contabilidad. Un secreto compartido - una clave precompartida configurada tanto en el NAS como en el servidor RADIUS - se utiliza para generar el campo Response Authenticator y cifrar el atributo User-Password mediante un cifrado XOR basado en MD5. Esto no es cifrado en ningún sentido moderno; es una ofuscación que depende completamente del secreto y la fuerza de la clave compartida.

Las cinco categorías principales de vulnerabilidad en una implementación típica de RADIUS son las siguientes.

Colisiones de MD5 y fallas de integridad. El ataque BlastRADIUS (CVE-2024-3596) aprovecha la falta de protección de integridad en los paquetes Access-Request. Debido a que muchas configuraciones no incluyen por defecto el atributo Message-Authenticator del NAS, un atacante posicionado en medio puede inyectar atributos diseñados maliciosamente antes de que el paquete llegue al servidor RADIUS. Utilizando técnicas de colisión de prefijo elegido de MD5, el atacante puede manipular el paquete para que el servidor RADIUS calcule un Response Authenticator válido para el paquete modificado, devolviendo un Access-Accept para una solicitud que debió ser rechazada. La solución es forzar el atributo Message-Authenticator en todos los paquetes Access-Request, lo que proporciona protección de integridad HMAC-MD5 en todo el paquete. Esto requiere cambios de configuración tanto en el NAS como en el servidor RADIUS, no solo parches en el servidor.

Secretos compartidos débiles o estáticos. El secreto compartido es el anclaje criptográfico del intercambio RADIUS. Si la clave es corta, predecible o nunca se rota, un atacante que capture el tráfico RADIUS (lo cual se puede lograr mediante suplantación ARP o un dispositivo de red comprometido) puede descifrar por fuerza bruta el atributo User-Password de forma remota y sin conexión. Las pautas de NIST SP 800-63B para claves memorizadas aplican aquí: las claves deben tener al menos 20 personajes, generarse de forma aleatoria y almacenarse en un sistema de gestión de claves. Para redes grandes con decenas o millones de dispositivos NAS, la rotación manual no es viable operativamente; la automatización mediante HashiCorp Vault o un gestor de claves similar es el camino correcto.

Transporte UDP sin cifrar. El protocolo RADIUS estándar sobre UDP no proporciona confidencialidad en la capa de transporte. El atributo User-Password está ofuscado pero no cifrado. Todos los demás atributos - incluidos los nombres de usuario, las direcciones IP de los NAS y los metadatos de la sesión - se transmiten en texto claro. RadSec (RADIUS sobre TLS), definido en RFC 6614 y actualizado en RFC 7360, aborda esto envolviendo el protocolo RADIUS dentro de un túnel TLS en el puerto TCP 2083, estableciendo una sesión TLS 1.2 o TLS 1.3. RadSec proporciona autenticación mutua de certificados, cifrado completo de la carga útil y protección contra ataques de repetición entre el NAS y el servidor RADIUS. Es el método de transporte adecuado para cualquier tráfico RADIUS que cruce límites de red no confiables.

Selección del método EAP. El Protocolo de Autenticación Extensible (EAP) define el método interno de autenticación utilizado dentro del marco de trabajo de 802.1X. EAP-MD5 está obsoleto y debe eliminarse de inmediato de todas las implementaciones - no proporciona autenticación mutua ni resistencia contra ataques de recolección de credenciales. PEAP (Protected EAP) y EAP-TTLS utilizan un certificado de servidor para establecer un túnel TLS antes de transmitir credenciales, proporcionando autenticación mutua y protegiendo el método interno contra la interceptación. EAP-TLS elimina por completo las contraseñas, requiriendo certificados X.509 tanto en el servidor como en el cliente. Es inmune a los ataques de phishing y de fuerza bruta, y es el método recomendado para entornos de alta seguridad. Registro y monitoreo insuficientes. La contabilidad de RADIUS registra cada evento de autenticación: éxitos, fallas, inicios de sesión y finalizaciones de sesión. Estos datos son invaluables operativamente para la planificación de capacidad, comercialmente para WiFi Analytics , y críticamente como fuente de telemetría de seguridad. Los picos de autenticaciones fallidas, las autenticaciones de direcciones MAC desconocidas y los patrones de acceso fuera de horario se pueden detectar a partir de los registros de contabilidad de RADIUS. La mayoría de las organizaciones no integran estos datos en un SIEM, y las pocas que lo hacen rara vez configuran umbrales de alerta.

Detalles del ataque BlastRADIUS

BlastRADIUS fue revelado en julio de 2024 por investigadores de la Universidad de Boston y la Universidad de California en San Diego. El ataque requiere una posición de intermediario (Man-in-the-Middle) entre el NAS y el servidor RADIUS - lo cual se puede lograr a través de spoofing de ARP en un segmento de red compartido, un router comprometido o un infiltrado malicioso con acceso a la red.

El proceso de ataque funciona de la siguiente manera: un atacante intercepta un paquete Access-Request de un NAS. Dado que este paquete carece del atributo Message-Authenticator (la configuración predeterminada en muchas implementaciones), el atacante es libre de modificar la lista de atributos del paquete. Utilizando una colisión de prefijo elegido de MD5, el atacante construye un paquete modificado para el cual el servidor RADIUS calculará el mismo Response Authenticator que para el paquete original. Como resultado, el servidor devuelve un Access-Accept para la solicitud que contiene los atributos controlados por el atacante - incluyendo un Administrative Service-Type que otorga acceso total a la red.

El ataque es efectivo contra implementaciones de PEAP y EAP-TTLS que utilizan MSCHAPv2 como método interno. No afecta a las implementaciones de EAP-TLS, ya que la autenticación mutua basada en certificados proporciona una protección de integridad que MD5 no puede romper.

Para las organizaciones que operan tanto Guest WiFi como 802.1X de nivel empresarial, la instancia RADIUS de la red de invitados también debe recibir parches, incluso si utiliza MAC Authentication Bypass en lugar de EAP. Las especificaciones de seguridad de la clave compartida y los requisitos de Message-Authenticator se aplican por igual.

Guía de implementación

Fase 1: remediación inmediata (semanas 1 - 2)

Aplicar parches es el primer paso. FreeRADIUS 3.2.5 y 3.0.27 incluyen soluciones para BlastRADIUS y aplican Message-Authenticator de forma predeterminada. Cisco ISE 3.1 Patch 8, 3.2 Patch 4 y 3.3 Patch 1 resuelven la vulnerabilidad. Microsoft lanzó el KB5040434 en julio de 2024 para Windows Server 2022 NPS. Verifique sus versiones actuales y aplique estos parches dentro de su próxima ventana de mantenimiento programada.

Al mismo tiempo, audite el firmware de sus dispositivos NAS. La aplicación de Message-Authenticator solo es efectiva si el NAS también envía el atributo. Revise los avisos de sus proveedores de puntos de acceso y switches - Aruba, Ruckus, Cisco y Juniper han lanzado actualizaciones de firmware para BlastRADIUS. Si está operando hardware Ruckus, la wireless access point Ruckus guide proporciona información de contexto relevante para la gestión de firmware.

Para resolver cualquier problema de troubleshooting Windows 11 802.1X authentication issues que pueda surgir tras la aplicación de parches, la causa más común es que el servidor NPS rechace las conexiones de clientes que no incluyan Message-Authenticator - un comportamiento de seguridad correcto que puede requerir la reconfiguración del suplicante en clientes Windows más antiguos.

Fase 2: higiene de claves compartidas (semanas 2 - 4)

Exporte la lista completa de clientes NAS registrados en sus servidores RADIUS. Documente la longitud de la clave compartida para cada entrada y la fecha de su último cambio. Cualquier clave con menos de 20 caracteres o que no haya sido modificada en más de 24 meses debe rotarse inmediatamente.

Para las nuevas claves, utilice un generador criptográfico aleatorio - openssl rand -base64 32 genera una cadena base64 de 44 caracteres idónea para una clave compartida de RADIUS. Almacene todas las claves en un sistema de gestión de secretos. Implemente un esquema de rotación: anualmente para dispositivos NAS de bajo riesgo y cada seis meses para dispositivos NAS que entren en el alcance de PCI-DSS.

Fase 3: racionalización de métodos EAP (meses 1 - 2)

Audite los métodos EAP permitidos en sus servidores RADIUS. Desactive EAP-MD5. Si está operando PEAP-MSCHAPv2, verifique que todos los suplicantes exijan la validación del certificado del servidor - los suplicantes mal configurados que aceptan cualquier certificado de servidor son vulnerables a ataques de servidores RADIUS falsos. Para entornos dentro del alcance de PCI-DSS, se recomienda encarecidamente EAP-TLS. Si actualmente no dispone de una infraestructura de certificados, comience con la planificación de su PKI.

Para securing guest WiFi networks, tenga en cuenta que las redes de invitados suelen utilizar la autenticación de Captive Portal en lugar de 802.1X, por lo que el robustecimiento de los métodos EAP se aplica principalmente a los SSID corporativos y de empleados.

Fase 4: despliegue de RadSec (meses 2 - 3)

Identifique cada ruta de tráfico RADIUS que atraviese un límite de red no seguro. Los escenarios comunes incluyen un servidor RADIUS central que da servicio a propiedades hoteleras remotas a través de Internet; un dispositivo NAS local que se conecta a un servicio RADIUS en la nube; y cadenas de proxies RADIUS donde el tráfico atraviesa múltiples dominios de red.

Configure RadSec para cada ruta identificada. En FreeRADIUS, esto implica habilitar el listener tls en el puerto 2083 y configurar TLS mutuo utilizando certificados de su PKI. En Cisco ISE, RadSec se configura en Administration > Network Devices. Asegúrese de utilizar al menos TLS 1.2; desactive explícitamente TLS 1.0 y 1.1.

Fase 5: autenticación multifactor para acceso administrativo (meses 2 - 3)

Las interfaces de gestión de sus servidores RADIUS son objetivos de alto valor. Un atacante que comprometa un servidor RADIUS puede modificar las políticas de autenticación, extraer claves compartidas y redirigir el tráfico de autenticación. Exija MFA para todos los inicios de sesión de administración en los servidores RADIUS y sus sistemas operativos subyacentes. Restrinja el acceso de gestión a una VLAN de administración fuera de banda dedicada. Implemente un control de acceso basado en roles: los ingenieros de redes no deben tener los mismos privilegios que los administradores de seguridad.

Fase 6: integración con SIEM y alertas (meses 3 - 4)

Configure sus servidores RADIUS para reenviar los registros de contabilidad en tiempo real a su SIEM. Defina los siguientes umbrales de alerta de referencia:

Mejores prácticas

Las siguientes recomendaciones sintetizan el consenso de IEEE 802.1X, NIST SP 800-63B, PCI-DSS v4.0 y los boletines de seguridad de los proveedores.

Gestión de certificados. Cualquier implementación que utilice EAP-TLS o RadSec incluye certificados X.509 en su ruta de autenticación. En las implementaciones de WiFi para empresas, la expiración de certificados es la causa única más común de fallas de autenticación repentinas y totales. Implemente una gestión automatizada del ciclo de vida de los certificados. Configure alertas de monitoreo a los 90, 30 y 7 días antes de la expiración. Para los certificados del servidor RADIUS, utilice claves RSA de al menos 2048 bits o ECDSA de 256 bits, junto con SHA-256 o algoritmos de firma más fuertes. No utilice SHA-1.

Segmentación de red. Los servidores RADIUS deben residir en un segmento de red de gestión dedicado, aislado de las redes de invitados y corporativas generales. El acceso a los puertos RADIUS (UDP 1812, 1813 y TCP 2083 para RadSec) debe limitarse mediante ACL de firewall a direcciones IP específicas de dispositivos NAS registrados. No permita el acceso directo a los puertos RADIUS desde internet.

Redundancia y alta disponibilidad. Un solo servidor RADIUS representa un punto único de falla para toda su infraestructura de control de acceso a la red. Implemente al menos dos servidores RADIUS en configuración activo-pasivo o activo-activo. Para implementaciones en el sector de hotelería con necesidades de conectividad para invitados las 24 horas, los 7 días de la semana, el tiempo de inactividad del servidor RADIUS se traduce directamente en tiempo de inactividad de la red WiFi para invitados, un riesgo reputacional y comercial directo. WPA3 y 802.1X. WPA3-Enterprise en modo de seguridad de 192 bits es un requisito para implementaciones gubernamentales y de alta seguridad, que exige el uso de AES-256-GCMP para el cifrado de datos y HMAC-SHA-384 para la autenticación. Para la mayoría de las implementaciones empresariales, WPA3-Enterprise con protección estándar de 128 bits ya ofrece una mejora significativa sobre WPA2-Enterprise, especialmente cuando se combina con EAP-TLS. Los entornos de comercio minorista que procesan pagos con tarjeta deben considerar la adopción de WPA3-Enterprise como una medida de mitigación de riesgos para PCI-DSS.

Ritmo de parches del proveedor. Suscríbase a los boletines de seguridad de los proveedores de su servidor RADIUS y de sus dispositivos NAS. FreeRADIUS, Cisco, Microsoft, Aruba y Ruckus publican avisos de CVE. Incorpore estos avisos a su programa de gestión de vulnerabilidades con SLA definidos: parches para vulnerabilidades críticas (CVSS ≥ 9.0) en 72 horas; vulnerabilidades altas (CVSS 7.0 - 8.9) en 14 días.

Solución de problemas y mitigación

Modos de falla comunes

Falla de autenticación después de aplicar parches. Tras aplicar el parche para BlastRADIUS, algunos dispositivos NAS con firmware que no admite Message-Authenticator pueden provocar fallas de autenticación. Síntoma: Aumento repentino de respuestas Access-Reject sin cambios en las credenciales de los usuarios. Diagnóstico: Habilite los registros de depuración de RADIUS y busque errores como "Message-Authenticator required but not present" (se requiere Message-Authenticator pero no está presente). Solución: Actualice el firmware del NAS o, como medida temporal durante la ventana de actualización planificada, configure el servidor RADIUS para aceptar solicitudes sin Message-Authenticator de IP de NAS específicas.

Falla de validación de certificado en EAP-TLS. Síntoma: El cliente recibe un aviso de "authentication failed" (falló la autenticación) pero no hay un Access-Reject correspondiente en los registros de RADIUS. Diagnóstico: Verifique la cadena de certificados del servidor RADIUS - ¿la CA emisora es de confianza para el suplicante del cliente? ¿El certificado del servidor está dentro de su período de validez? Solución: Asegúrese de que la cadena completa de certificados (certificado de hoja + intermedio + raíz) esté configurada en el servidor RADIUS. Distribuya el certificado de la CA raíz a los dispositivos de los clientes mediante MDM o políticas de grupo.

Falla en el protocolo de enlace TLS de RadSec. Síntoma: El dispositivo NAS no logra establecer una conexión RadSec después de un cambio de configuración. Diagnóstico: Verifique la compatibilidad de la versión de TLS - el firmware del NAS más antiguo podría no admitir TLS 1.2. Verifique la validación mutua de certificados - ambas partes deben confiar en las CA de la otra. Solución: Verifique la compatibilidad de la versión de TLS en las notas de lanzamiento del firmware del NAS; asegúrese de que el certificado del dispositivo NAS esté emitido por la misma CA en la que confía el servidor RADIUS.

Discrepancia en la clave secreta compartida. Síntoma: Cada autenticación desde un NAS específico falla con un error de "invalid authenticator" (autenticador no válido). Diagnóstico: Discrepancia entre el secreto configurado en el NAS y la entrada del cliente en el servidor RADIUS. Solución: Vuelva a ingresar el secreto compartido en ambos extremos, verificando que no haya espacios al final o problemas de codificación de caracteres. Copie y pegue desde su gestor de contraseñas para evitar errores de transcripción.

Registro de riesgos

Retorno de la inversión (ROI) e impacto comercial

Cuantificación del riesgo

La justificación financiera para el robustecimiento de RADIUS es más evidente cuando se evalúa el costo de una filtración de datos. El costo promedio de una filtración de datos en el Reino Unido en 2024 fue de 3.58 millones de libras esterlinas, incluidos cargos regulatorios, remediación, costos legales y daño reputacional. Para las organizaciones que entran en el alcance de PCI-DSS - que prácticamente incluye a todos los operadores de Retail y Hospitality que aceptan pagos con tarjeta a través de WiFi - una falla en el control de acceso a la red que exponga datos de titulares de tarjetas desencadenará investigaciones forenses obligatorias, posibles multas de las marcas de tarjetas y la posible suspensión de los privilegios de procesamiento.

Para las organizaciones de Healthcare , el acceso a los datos de los pacientes debido a un servidor RADIUS comprometido constituye una violación de GDPR, sujeta a multas de hasta el 4% de la facturación anual global bajo el Artículo 83(5). El historial de cumplimiento de la ICO demuestra que las fallas de seguridad en la red se tratan como negligencia, no como infortunios técnicos.

Puntos de referencia de costos de implementación

Las siguientes estimaciones de costos se basan en una red con 500 dispositivos:

La inversión total de hardening para una empresa mediana oscila entre £20,000 y £45,000. En comparación con el costo base de una brecha de £3.58 millones, el ROI ajustado al riesgo sigue siendo sumamente atractivo, incluso bajo estimaciones conservadoras sobre la probabilidad de una brecha.

Beneficios operativos más allá de la seguridad

Una infraestructura RADIUS robustecida también ofrece dividendos operativos. Una autenticación confiable y bien monitoreada reduce los tickets de soporte técnico relacionados con la conectividad WiFi. Cuando los datos de contabilidad de RADIUS se integran con WiFi Analytics , proporcionan visibilidad a nivel de sesión sobre los patrones de uso de la red, los tiempos de permanencia y los tipos de dispositivos, datos que tienen un valor comercial directo para los operadores de establecimientos en entornos de Hospitality y Transport .

Para el sector público y las organizaciones de salud , un plan documentado de hardening de RADIUS proporciona evidencia técnica de control para las evaluaciones de Cyber Essentials Plus, ISO 27001 y NHS DSPT, lo que reduce el esfuerzo de auditoría y demuestra la debida diligencia ante los reguladores.