Mitigación de vulnerabilidades de RADIUS: Una guía de endurecimiento de seguridad

Resumen Ejecutivo

RADIUS (Remote Authentication Dial-In User Service) sigue siendo el protocolo principal para el control de acceso a la red en implementaciones de WiFi empresariales, sustentando la autenticación IEEE 802.1X en hoteles, tiendas minoristas, estadios, centros de conferencias y edificios del sector público. Sin embargo, la arquitectura de RADIUS data de la década de 1990 y varias de sus decisiones de diseño fundamentales - la dependencia de la función hash MD5, el transporte UDP sin cifrado nativo y los secretos compartidos estáticos - se han convertido en riesgos significativos en el entorno de amenazas actual.

En julio de 2024, la vulnerabilidad BlastRADIUS (CVE-2024-3596) demostró que un atacante de tipo man-in-the-middle puede falsificar respuestas Access-Accept de RADIUS al explotar las debilidades de integridad de MD5 en los paquetes Access-Request. La vulnerabilidad afecta a todas las principales implementaciones de RADIUS, incluidas FreeRADIUS, Cisco ISE y Microsoft NPS. Las implementaciones sin parches siguen estando en riesgo.

Esta guía proporciona una hoja de ruta de robustecimiento priorizada que cubre la gestión de parches, la higiene de secretos compartidos, la selección del método EAP, la implementación de RadSec, la autenticación multifactor para el acceso administrativo y la integración con SIEM para la detección de anomalías. Está escrita para profesionales de TI que necesitan tomar decisiones defendibles este trimestre, no el próximo año.

Análisis Técnico Profundo

Cómo funciona RADIUS y dónde es débil

RADIUS opera como un protocolo cliente - servidor entre un servidor de acceso a la red (NAS) - normalmente un punto de acceso WiFi, switch o concentrador VPN - y un servidor RADIUS, el cual valida las credenciales contra un almacén de identidad de backend como Active Directory o LDAP. El intercambio de autenticación sigue el modelo de solicitud - desafío - respuesta definido en RFC 2865, con la contabilidad gestionada por separado bajo RFC 2866.

El protocolo transmite paquetes de autenticación sobre UDP, utilizando el puerto 1812 para la autenticación y el 1813 para la contabilidad. El secreto compartido - la clave precompartida configurada tanto en el NAS como en el servidor RADIUS - se utiliza para generar el campo Response Authenticator y para cifrar el atributo User-Password a través de un cifrado XOR basado en MD5. Esto no es cifrado en ningún sentido moderno; es una ofuscación que depende enteramente de la confidencialidad y la fortaleza del secreto compartido.

Las cinco categorías principales de vulnerabilidad en una implementación típica de RADIUS son las siguientes.

Vulnerabilidades de colisión MD5 e integridad. El ataque BlastRADIUS (CVE-2024-3596) explota la falta de protección de integridad en los paquetes Access-Request. Debido a que muchas configuraciones no incluyen de forma predeterminada el atributo Message-Authenticator desde el NAS, un atacante en una posición de hombre en el medio (man-in-the-middle) puede inyectar atributos manipulados antes de que el paquete llegue al servidor RADIUS. Utilizando una técnica de colisión de prefijo elegido de MD5, el atacante puede manipular el paquete para que el servidor RADIUS calcule un Response Authenticator válido para el paquete modificado, devolviendo un Access-Accept para una solicitud que debió haber sido rechazada. La remediación consiste en exigir el atributo Message-Authenticator en todos los paquetes Access-Request, lo que proporciona protección de integridad HMAC-MD5 en todo el paquete. Esto requiere cambios de configuración tanto en el NAS como en el servidor RADIUS, no solo un parche del servidor.

Secretos compartidos débiles o estáticos. El secreto compartido es el ancla criptográfica del intercambio RADIUS. Si el secreto es corto, predecible o nunca se rota, un atacante que capture el tráfico RADIUS (lo cual se puede lograr mediante spoofing de ARP o un dispositivo de red comprometido) puede descifrar por fuerza bruta el atributo User-Password de forma offline. La guía de NIST SP 800-63B sobre secretos memorizados se aplica aquí: los secretos deben tener al menos 20 caracteres, ser generados aleatoriamente y almacenarse en un sistema de gestión de secretos. Para redes grandes con docenas o cientos de dispositivos NAS, la rotación manual es inviable a nivel operativo; la automatización a través de HashiCorp Vault o un gestor de secretos similar es el enfoque correcto.

Transporte UDP no cifrado. RADIUS estándar sobre UDP no proporciona confidencialidad en la capa de transporte. El atributo User-Password está ofuscado pero no cifrado. Todos los demás atributos - incluidos los nombres de usuario, las direcciones IP de NAS y los metadatos de la sesión - viajan en texto claro. RadSec (RADIUS sobre TLS), definido en RFC 6614 y actualizado en RFC 7360, aborda esto al envolver el protocolo RADIUS en un túnel TLS sobre el puerto TCP 2083, estableciendo una sesión TLS 1.2 o TLS 1.3. RadSec proporciona autenticación mutua de certificados entre el NAS y el servidor RADIUS, cifrado completo de la carga útil y protección contra la repetición de paquetes. Es el transporte correcto para cualquier tráfico RADIUS que cruce un límite de red no seguro.

Selección de método EAP. El Protocolo de Autenticación Extensible (EAP) define los métodos de autenticación interna utilizados dentro del marco 802.1X. EAP-MD5 está obsoleto y debe eliminarse de todas las implementaciones de inmediato; no proporciona autenticación mutua ni resistencia a los ataques de recolección de credenciales. PEAP (EAP protegido) y EAP-TTLS establecen un túnel TLS utilizando un certificado de servidor antes de transmitir las credenciales, proporcionando autenticación mutua y protegiendo el método interno de la interceptación. EAP-TLS elimina por completo las contraseñas, requiriendo certificados X.509 tanto en el servidor como en el cliente. Es inmune al phishing y a los ataques de fuerza bruta y es el método recomendado para entornos de alta seguridad. Registro y monitoreo insuficientes. El registro de RADIUS documenta cada evento de autenticación - éxito, falla, inicio de sesión, detención de sesión. Estos datos son operativamente valiosos para la planeación de capacidad y comercialmente valiosos para WiFi Analytics , pero también son una fuente crítica de telemetría de seguridad. Las tormentas de autenticaciones fallidas, las autenticaciones de direcciones MAC desconocidas y los patrones de acceso fuera de horario son detectables desde los registros de RADIUS. La mayoría de las organizaciones no integran estos datos en un SIEM, y las que lo hacen, rara vez configuran umbrales de alerta.

El ataque BlastRADIUS en detalle

BlastRADIUS fue revelado en julio de 2024 por investigadores de la Universidad de Boston y de la UC San Diego. El ataque requiere una posición de man-in-the-middle entre el NAS y el servidor RADIUS - que se puede lograr mediante envenenamiento ARP en un segmento de red compartido, un enrutador comprometido o un infiltrado malicioso con acceso a la red.

El ataque se desarrolla de la siguiente manera: el atacante intercepta un paquete Access-Request del NAS. Debido a que el paquete carece del atributo Message-Authenticator (el valor predeterminado en muchas configuraciones), el atacante tiene la libertad de modificar la lista de atributos del paquete. Utilizando una colisión de prefijo elegido MD5, el atacante construye un paquete modificado para el cual el servidor RADIUS calculará el mismo Response Authenticator que el original. Por lo tanto, el servidor devuelve un Access-Accept para una solicitud que contiene atributos controlados por el atacante - incluyendo un Service-Type de Administrative que autoriza el acceso total a la red.

El ataque es efectivo contra implementaciones PEAP y EAP-TTLS que utilizan MSCHAPv2 como método interno. No afecta a las implementaciones EAP-TLS, donde la autenticación mutua basada en certificados proporciona una protección de integridad que MD5 no puede subvertir.

Para las organizaciones que operan tanto Guest WiFi como 802.1X corporativo, la instancia RADIUS de la red de invitados también debe ser parcheada, incluso si utiliza MAC Authentication Bypass en lugar de EAP. La higiene de secretos compartidos y el requisito de Message-Authenticator se aplican de igual manera.

Guía de implementación

Fase 1: Remediación inmediata (semanas 1 a 2)

La aplicación de parches es lo primero. FreeRADIUS 3.2.5 y 3.0.27 contienen las correcciones de BlastRADIUS y exigen Message-Authenticator de forma predeterminada. Cisco ISE 3.1 Parche 8, 3.2 Parche 4 y 3.3 Parche 1 resuelven la vulnerabilidad. Microsoft lanzó KB5040434 para Windows Server 2022 NPS en julio de 2024. Verifique sus versiones actuales y aplique los parches dentro de su próxima ventana de cambios programada. Al mismo tiempo, audite el firmware de sus dispositivos NAS. La aplicación de Message-Authenticator solo es efectiva si el NAS también envía el atributo. Consulte los avisos de los proveedores de sus puntos de acceso y switches - Aruba, Ruckus, Cisco y Juniper ya han lanzado actualizaciones de firmware para BlastRADIUS. Si utiliza hardware Ruckus, la guía de puntos de acceso inalámbricos Ruckus proporciona el contexto relevante para la gestión de firmware.

Para la resolución de problemas de autenticación 802.1X en Windows 11 que puedan surgir tras la aplicación de parches, la causa más común es que el servidor NPS rechaza las conexiones de clientes que no incluyen Message-Authenticator - un comportamiento de seguridad correcto que podría requerir la reconfiguración del suplicante en clientes Windows más antiguos.

Fase 2: Higiene de secretos compartidos (semanas 2 a 4)

Exporte la lista completa de clientes NAS registrados en sus servidores RADIUS. Para cada entrada, registre la longitud del secreto compartido y la fecha de su última modificación. Cualquier secreto de menos de 20 caracteres, o que no haya sido cambiado en más de 24 meses, debe rotarse de inmediato.

Para los nuevos secretos, utilice un generador criptográficamente aleatorio - openssl rand -base64 32 produce una cadena base64 de 44 caracteres ideal para usarse como secreto compartido de RADIUS. Almacene todos los secretos en un sistema de gestión de secretos. Implemente un programa de rotación: anualmente para dispositivos NAS de bajo riesgo y cada seis meses para dispositivos NAS dentro del alcance de PCI DSS.

Fase 3: Racionalización del método EAP (meses 1 a 2)

Audite los métodos EAP que permiten sus servidores RADIUS. Desactive EAP-MD5. Si utiliza PEAP-MSCHAPv2, verifique que todos los suplicantes exijan la validación del certificado del servidor - un suplicante mal configurado que acepta cualquier certificado de servidor es vulnerable a ataques de servidores RADIUS falsificados. Para entornos dentro del alcance de PCI DSS, se recomienda EAP-TLS. Si no cuenta con una infraestructura de certificados existente, comience la planificación de la PKI.

Para proteger las redes WiFi de invitados , tenga en cuenta que las redes de invitados suelen utilizar la autenticación mediante Captive Portal en lugar de 802.1X, por lo que el robustecimiento del método EAP se aplica principalmente a los SSIDs corporativos y del personal.

Fase 4: Despliegue de RadSec (meses 2 a 3)

Identifique cada ruta de tráfico RADIUS que cruce el límite de una red no confiable. Los escenarios comunes incluyen un servidor RADIUS central que brinda servicio a hoteles remotos a través de Internet; dispositivos NAS locales que se conectan a un servicio RADIUS en la nube; y cadenas de proxy RADIUS donde el tráfico atraviesa múltiples dominios de red.

Para cada ruta identificada, configure RadSec. En FreeRADIUS, esto significa habilitar el listener tls en el puerto 2083 y configurar TLS mutuo con certificados de su PKI. En Cisco ISE, RadSec se configura en Administración > Dispositivos de red. Asegúrese de utilizar TLS 1.2 como mínimo; desactive explícitamente TLS 1.0 y 1.1.

Fase 5: Autenticación multifactor para el acceso administrativo (meses 2 a 3)

La interfaz de administración de un servidor RADIUS es un objetivo de alto valor. Un atacante que comprometa el servidor RADIUS puede modificar la política de autenticación, extraer secretos compartidos y redirigir los flujos de autenticación. Implemente MFA en los inicios de sesión administrativos de todos los servidores RADIUS y sus sistemas operativos subyacentes. Restrinja el acceso de administración a una VLAN de administración dedicada fuera de banda. Implemente el control de acceso basado en roles: los ingenieros de red no deben tener los mismos privilegios que los administradores de seguridad.

Fase 6: Integración con SIEM y alertas (meses 3 - 4)

Configure sus servidores RADIUS para reenviar los registros de contabilidad a su SIEM en tiempo real. Defina los siguientes umbrales de alerta de línea base:

Mejores Prácticas

Las siguientes recomendaciones sintetizan el consenso de IEEE 802.1X, NIST SP 800-63B, PCI-DSS v4.0 y las advertencias de seguridad de los proveedores.

Gestión de certificados. Cualquier implementación que utilice EAP-TLS o RadSec tiene certificados X.509 en su ruta de autenticación. El vencimiento de los certificados es la causa más común de fallas de autenticación repentinas y totales en las implementaciones de WiFi empresariales. Implemente una gestión automatizada del ciclo de vida de los certificados. Establezca alertas de monitoreo a los 90, 30 y 7 días antes del vencimiento. Para los certificados del servidor RADIUS, utilice claves RSA de mínimo 2048 bits o ECDSA de 256 bits, y algoritmos de firma SHA-256 o superiores. No utilice SHA-1.

Segmentación de red. Los servidores RADIUS deben ubicarse en un segmento de administración dedicado, aislado de las redes de invitados y corporativas generales. El acceso a los puertos RADIUS (UDP 1812, 1813 y TCP 2083 para RadSec) debe restringirse mediante ACL de firewall a las direcciones IP específicas de los dispositivos NAS registrados. No permita el acceso directo de internet a los puertos RADIUS.

Redundancia y alta disponibilidad. Un solo servidor RADIUS es un único punto de falla para toda su infraestructura de control de acceso a la red. Implemente al menos dos servidores RADIUS en una configuración activo - pasivo o activo - activo. Para implementaciones de Hospitality con requisitos de conectividad para invitados las 24 horas, el tiempo de inactividad del servidor RADIUS se traduce directamente en tiempo de inactividad del WiFi para invitados - un riesgo reputacional y comercial.WPA3 and 802.1X. WPA3-Enterprise en modo de seguridad de 192 bits, requerido para implementaciones gubernamentales y de alta seguridad, exige AES-256-GCMP para el cifrado de datos y HMAC-SHA-384 para la autenticación. Para la mayoría de las implementaciones empresariales, WPA3-Enterprise con seguridad estándar de 128 bits ya representa una mejora significativa sobre WPA2-Enterprise, particularmente cuando se combina con EAP-TLS. Los entornos de Retail que procesan pagos con tarjeta deben considerar la adopción de WPA3-Enterprise como una medida de reducción de riesgos de PCI-DSS.

Frecuencia de parches de proveedores. Suscríbase a los avisos de seguridad del proveedor de su servidor RADIUS y de los proveedores de sus dispositivos NAS. FreeRADIUS, Cisco, Microsoft, Aruba y Ruckus publican notificaciones de CVE. Integre estas en su programa de gestión de vulnerabilidades con SLAs definidos: vulnerabilidades críticas (CVSS ≥ 9.0) parchadas en un plazo de 72 horas; vulnerabilidades de alta gravedad (CVSS 7.0-8.9) en un plazo de 14 días.

Solución de Problemas y Mitigación de Riesgos

Modos de falla comunes

Fallas de autenticación después de parchar. Después de aplicar los parches para BlastRADIUS, es posible que algunos dispositivos NAS no logren autenticarse si su firmware no es compatible con Message-Authenticator. Síntoma: un aumento repentino de respuestas Access-Reject sin cambios en las credenciales de los usuarios. Diagnóstico: habilite el registro de depuración de RADIUS y busque errores del tipo "Message-Authenticator required but not present". Solución: actualice el firmware del NAS o, como medida temporal, configure el servidor RADIUS para aceptar solicitudes sin Message-Authenticator desde IPs de NAS específicas mientras se programan las actualizaciones de firmware.

Fallas de validación de certificados en EAP-TLS. Síntoma: los clientes reciben "authentication failed" sin el correspondiente Access-Reject en el registro de RADIUS. Diagnóstico: verifique la cadena de certificados del servidor RADIUS - ¿el suplicante del cliente confía en la CA emisora? ¿El certificado del servidor está dentro de su periodo de validez? Solución: asegúrese de que la cadena completa de certificados (hoja + intermedio + raíz) esté configurada en el servidor RADIUS. Distribuya los certificados de la CA raíz a los dispositivos clientes mediante MDM o Directiva de Grupo.

Fallas en el saludo TLS de RadSec. Síntoma: los dispositivos NAS no pueden establecer conexiones RadSec después de un cambio de configuración. Diagnóstico: verifique la compatibilidad de la versión de TLS - es posible que el firmware de NAS más antiguo no admita TLS 1.2. Verifique la autenticación mutua de certificados - ambos extremos deben confiar en la CA del otro. Solución: verifique la compatibilidad de la versión de TLS en las notas de lanzamiento del firmware del NAS; asegúrese de que los certificados del dispositivo NAS sean emitidos por la misma CA en la que confía el servidor RADIUS.

Discrepancia en la clave secreta compartida. Síntoma: cada autenticación de un NAS en particular falla con errores de "invalid authenticator". Diagnóstico: una discrepancia en la clave secreta compartida entre la configuración del NAS y la entrada del cliente en el servidor RADIUS. Solución: vuelva a ingresar la clave secreta compartida en ambos extremos, verificando que no haya espacios en blanco al final o problemas de codificación de caracteres. Copie y pegue desde su gestor de secretos para evitar errores de transcripción.

Registro de riesgos

ROI e impacto empresarial

Cuantificación del riesgo

El argumento financiero para el endurecimiento de RADIUS es más claro cuando se analiza frente a los costos de una brecha de seguridad. El costo promedio de una brecha de datos en el Reino Unido en 2024 fue de £3.58 millones de libras esterlinas, lo que cubre multas regulatorias, remediación, costos legales y daños a la reputación. Para las organizaciones dentro del alcance de PCI-DSS - prácticamente todos los operadores de Retail y Hospitality que aceptan pagos con tarjeta a través de WiFi -, una brecha en el control de acceso a la red que exponga datos de titulares de tarjetas desencadena una investigación forense obligatoria, posibles multas de las marcas de tarjetas y la posible suspensión de los derechos de procesamiento de tarjetas.

Para las organizaciones de Healthcare , una brecha de GDPR que involucre datos de pacientes a los que se accedió a través de un servidor RADIUS comprometido conlleva multas de hasta el 4% de la facturación anual global según el Artículo 83(5). El historial de cumplimiento de la ICO demuestra que las fallas en la seguridad de la red se tratan como negligencia, no como una desgracia técnica.

Puntos de referencia de costos de implementación

Las siguientes estimaciones de costos asumen una red corporativa de 500 dispositivos:

La inversión total de endurecimiento para una mediana empresa es de aproximadamente £20,000-£45,000. Frente al costo base de una brecha de £3.58 millones de libras, el ROI ajustado al riesgo es convincente incluso bajo supuestos conservadores de probabilidad de brecha.

Beneficios operativos más allá de la seguridad

La infraestructura RADIUS endurecida también ofrece beneficios operativos. Una autenticación confiable y bien monitoreada reduce los tickets de soporte técnico relacionados con la conectividad WiFi. Los datos de contabilidad de RADIUS, cuando se integran con WiFi Analytics , brindan visibilidad a nivel de sesión sobre los patrones de uso de la red, tiempos de permanencia y tipos de dispositivos; datos con un valor comercial directo para los operadores de establecimientos en entornos de Hospitality y Transport . Para las organizaciones del sector público y de Atención Médica , un programa documentado de robustecimiento de RADIUS proporciona evidencia de controles técnicos para las evaluaciones de Cyber Essentials Plus, ISO 27001 y NHS DSPT - reduciendo el esfuerzo de auditoría y demostrando la debida diligencia ante los reguladores.