Mitigación de vulnerabilidades de RADIUS: Una guía de fortalecimiento de seguridad

MITIGACIÓN DE VULNERABILIDADES DE RADIUS: UNA GUÍA DE FORTALECIMIENTO DE SEGURIDAD Un informe de inteligencia de Purple WiFi [INTRODUCCIÓN — aprox. 1 minuto] Bienvenido. Soy su anfitrión para el informe de hoy, y durante los próximos diez minutos iremos directo al grano sobre algo que mantiene despiertos a muchos arquitectos de red y gerentes de TI: la seguridad del servidor RADIUS. Si opera WiFi empresarial en un complejo hotelero, una cadena de tiendas, un estadio o un edificio del sector público, su infraestructura RADIUS es uno de los componentes más críticos —y que más se pasa por alto— en su postura de seguridad. Comencemos. [CONTEXTO — aprox. 1 minuto] RADIUS —Remote Authentication Dial-In User Service— ha sido la columna vertebral del control de acceso a la red desde mediados de los noventa. Es el protocolo que se ubica entre sus puntos de acceso y su directorio de identidad, decidiendo quién entra a la red y quién no. IEEE 802.1X, que sustenta prácticamente cualquier implementación de autenticación cableada y WiFi empresarial, depende de RADIUS para funcionar. El problema es que RADIUS se diseñó en una época en la que el panorama de amenazas era muy diferente. El protocolo utiliza UDP, que no está orientado a la conexión y, por lo tanto, es más difícil de proteger. Su mecanismo de autenticación principal ha dependido históricamente del hash MD5, un algoritmo criptográfico que ha demostrado estar roto desde 2004. Y los secretos compartidos, las claves precompartidas que autentican sus puntos de acceso ante su servidor RADIUS, a menudo se configuran una vez y nunca se rotan. In 2024, los investigadores publicaron un ataque práctico contra RADIUS llamado BlastRADIUS: un ataque de intermediario (man-in-the-middle) que explota la vulnerabilidad de MD5 para falsificar respuestas de autenticación. Esto no es teórico. Es un vector de ataque real y documentado que afecta a las implementaciones que ejecutan FreeRADIUS, Cisco ISE y Microsoft NPS sin parches. Si no ha aplicado parches desde mediados de 2024, está expuesto. Los riesgos comerciales son significativos. Un servidor RADIUS comprometido no solo significa acceso WiFi no autorizado. Significa que un atacante puede autenticarse como cualquier usuario en su red, eludir la segmentación de red y potencialmente acceder a sistemas de pago, expedientes médicos o tecnología operativa. Para los entornos minoristas que procesan pagos con tarjeta, eso representa una violación directa de PCI DSS. Para el sector salud, es un problema de GDPR y de gobernanza clínica. Para la industria de la hospitalidad, significa daño a la marca y posibles multas regulatorias. [ANÁLISIS TÉCNICO PROFUNDO — aprox. 5 minutos] Analicemos la superficie de ataque de manera sistemática. La primera clase de vulnerabilidad es el riesgo de colisión MD5. RADIUS utiliza MD5 para proteger el atributo User-Password y para generar el campo Response Authenticator. MD5 produce un hash de 128 bits, y los ataques de colisión —donde dos entradas diferentes producen el mismo hash— han sido viables desde 2004. El ataque BlastRADIUS explota específicamente la falta de protección de integridad en los paquetes Access-Request. Un atacante posicionado entre su dispositivo NAS —es decir, su servidor de acceso a la red, típicamente su punto de acceso o switch— y su servidor RADIUS puede inyectar un atributo diseñado en el paquete y obligar al servidor a devolver un Access-Accept, incluso para una credencial inválida. La solución aquí es doble: aplique el parche a su servidor RADIUS a la última versión y exija el Message-Authenticator en todos los paquetes Access-Request. FreeRADIUS 3.2.5 y versiones posteriores requieren esto por defecto. La segunda clase de vulnerabilidad son los secretos compartidos débiles o estáticos. El secreto compartido es la clave precompartida entre su NAS y su servidor RADIUS. Si es corto, vulnerable a ataques de diccionario o no se ha rotado en años, es un riesgo. RADIUS utiliza este secreto para cifrar el atributo User-Password y para generar el Response Authenticator. Un secreto compartido débil significa que un atacante que capture el tráfico de RADIUS —lo cual es trivial en una red que ya ha comprometido parcialmente— puede descifrar la contraseña por fuerza bruta fuera de línea. La mejor práctica es un mínimo de 32 caracteres, generados aleatoriamente y rotados al menos una vez al año. Automatice esta rotación; hacerlo manualmente en una gran infraestructura es propenso a errores. La tercera clase de vulnerabilidad es el transporte no cifrado. El estándar RADIUS se ejecuta sobre UDP en el puerto 1812 para autenticación y 1813 para contabilidad. UDP no proporciona cifrado de capa de transporte, ni verificación de integridad, ni protección contra repetición más allá de lo que el propio RADIUS implementa —lo cual, como hemos establecido, es insuficiente. RadSec, definido formalmente en RFC 6614, envuelve RADIUS en TLS 1.2 o 1.3 sobre el puerto TCP 2083. Esto proporciona autenticación mutua mediante certificados, cifrado completo de la carga útil de RADIUS y protección contra repetición. Si está ejecutando RADIUS a través de cualquier segmento de red no confiable —incluyendo un enlace WAN entre un sitio remoto y un servidor RADIUS central— RadSec no es opcional. Es un requisito. La cuarta clase de vulnerabilidad es la selección del método EAP. No todos los métodos EAP son iguales. EAP-MD5 debe considerarse obsoleto: no proporciona autenticación mutua ni cifrado del intercambio de autenticación. PEAP y EAP-TTLS son aceptables para la mayoría de las implementaciones empresariales, ya que establecen un túnel TLS antes de transmitir las credenciales y admiten la autenticación mutua mediante certificados de servidor. EAP-TLS es el estándar de oro: requiere que tanto el servidor como el cliente presenten certificados, eliminando por completo la contraseña del intercambio de autenticación. Esto lo hace inmune al phishing de credenciales y a los ataques de fuerza bruta. La sobrecarga operativa de implementar una PKI para emitir certificados de cliente es real, pero para entornos de alta seguridad (redes de atención médica, zonas de procesamiento de pagos, sistemas de back-of-house de retail) es la decisión correcta. La quinta clase de vulnerabilidad es el registro y monitoreo insuficientes. Los datos de contabilidad de RADIUS son una mina de oro para la detección de amenazas, y la mayoría de las organizaciones no los están utilizando. Cada intento de autenticación, exitoso o fallido, genera un registro contable. Los patrones de autenticaciones fallidas, las autenticaciones desde direcciones MAC inesperadas o las autenticaciones en horarios inusuales son indicadores de compromiso. Integre su flujo de contabilidad RADIUS en su SIEM. Configure alertas para más de cinco autenticaciones fallidas desde una sola dirección MAC en sesenta segundos. Monitoree las tormentas de Access-Reject, que pueden indicar un ataque de relleno de credenciales (credential stuffing) en curso. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — aprox. 2 minutos] Permítame darle una secuencia práctica para un proyecto de robustecimiento. Comience con el parcheo. Esto no es negociable y debe hacerse dentro de su próxima ventana de cambios. FreeRADIUS, Cisco ISE y Microsoft NPS lanzaron parches para BlastRADIUS en julio de 2024. Verifique su versión, aplique el parche y compruebe que la aplicación de Message-Authenticator esté activa. Luego, audite sus secretos compartidos. Obtenga la lista de cada dispositivo NAS registrado en su servidor RADIUS. Para cada uno, verifique la longitud y la antigüedad del secreto compartido. Cualquier elemento de menos de 20 caracteres o de más de dos años de antigüedad debe rotarse de inmediato. Utilice un administrador de contraseñas o un almacén de secretos (HashiCorp Vault funciona bien aquí) para almacenarlos y rotarlos mediante programación. Tercero, evalúe su método EAP. Si está ejecutando EAP-MD5 en cualquier lugar, migre fuera de él ahora mismo. PEAP-MSCHAPv2 es una posición intermedia razonable para la mayoría de los entornos empresariales. Si cuenta con la infraestructura PKI, EAP-TLS es el estado objetivo. Cuarto, implemente RadSec para cualquier tráfico RADIUS que atraviese segmentos de red no confiables. Esto es particularmente relevante para implementaciones en múltiples sitios donde un servidor RADIUS central brinda servicio a ubicaciones remotas a través de Internet o de una WAN compartida. Quinto, habilite la autenticación multifactor para el acceso privilegiado al propio servidor RADIUS. La interfaz de administración del servidor es un objetivo de alto valor. Implemente MFA para todos los inicios de sesión administrativos y restrinja el acceso de administración a una red de administración fuera de banda dedicada. Ahora, los errores comunes. El error más frecuente que veo es que las organizaciones aplican el parche al servidor RADIUS pero dejan los dispositivos NAS con un firmware antiguo que no es compatible con Message-Authenticator. El parche solo es efectivo si ambos extremos lo aplican. Audite el firmware de sus puntos de acceso y switches como parte del mismo proyecto. El segundo error común es el vencimiento de los certificados. Si utiliza EAP-TLS o RadSec, hay certificados en juego. Un certificado de servidor RADIUS que venza silenciosamente provocará que todas las autenticaciones de su red fallen simultáneamente. Integre el monitoreo de vencimiento de certificados en su manual de procedimientos operativos. Configure alertas a los 90, 30 y 7 días antes del vencimiento. El tercer error es confiar demasiado en la segmentación de red como control de compensación. La segmentación es importante, pero no protege contra un atacante que ya se ha autenticado a través de un servidor RADIUS comprometido. La defensa en profundidad significa que necesita tanto el endurecimiento de RADIUS como la segmentación. [PREGUNTAS Y RESPUESTAS RÁPIDAS — aprox. 1 minuto] Pregunta: ¿Necesito RadSec si mi servidor RADIUS está en la misma LAN que mis puntos de acceso? Respuesta: Si están en la misma VLAN de administración segmentada y confiable, sin dispositivos no confiables, el RADIUS estándar sobre UDP es aceptable para el tramo de NAS a servidor. Pero si existe alguna posibilidad de movimiento lateral desde un dispositivo comprometido que llegue a esa VLAN, RadSec agrega una protección significativa a bajo costo. Pregunta: Usamos Microsoft NPS. ¿Nos afecta BlastRADIUS? Respuesta: Sí. Microsoft lanzó un parche en julio de 2024. Aplíquelo. También aplique la clave de registro RequireMessageAuthenticator en su servidor NPS. Pregunta: ¿Cómo manejo el WiFi de invitados? Los invitados no tienen certificados. Respuesta: El WiFi de invitados suele utilizar un modelo de Captive Portal en lugar de 802.1X, por lo que RADIUS se utiliza de forma diferente; a menudo solo para la omisión de autenticación MAC o contabilidad. Se aplica la misma higiene de parches y secretos compartidos, pero EAP-TLS no es relevante para el acceso de invitados no autenticados. Concéntrese en aislar la instancia de RADIUS de invitados de su infraestructura RADIUS corporativa. Pregunta: ¿Cuál es el caso de ROI para una migración completa a EAP-TLS? Respuesta: Cuantifíquelo frente al riesgo de una brecha de seguridad. Una sola brecha de PCI DSS cuesta un promedio de cuatro millones de libras en multas, remediación y daño a la reputación. Una implementación de PKI para un parque de 500 dispositivos cuesta aproximadamente entre 15,000 y 30,000 libras en herramientas y servicios profesionales. Las matemáticas son sencillas. [RESUMEN Y PRÓXIMOS PASOS — aprox. 1 minuto] Permítame dejarle cinco tareas para este trimestre. Uno: Aplique el parche para BlastRADIUS en su servidor RADIUS y en todos los dispositivos NAS. Haga esto primero. Two: Audite y rote todos los secretos compartidos. Automatice la rotación de ahora en adelante. Tres: Exigir Message-Authenticator en todos los paquetes Access-Request. Cuatro: Implementar RadSec para cualquier tráfico RADIUS que cruce límites de red no confiables. Cinco: Integrar los registros de contabilidad de RADIUS en su SIEM y configurar alertas de anomalías. La seguridad de RADIUS no es glamorosa, pero es fundamental. Al hacer bien estas cinco cosas, habrá cerrado los vectores de ataque más significativos contra su infraestructura de control de acceso a la red. Gracias por escuchar. Para obtener más información sobre la arquitectura de seguridad de WiFi empresarial, visite purple.ai. Esto ha sido un informe de inteligencia de Purple WiFi.