मुख्य सामग्री पर जाएं
हिन्दी

RADIUS कमजोरियों को कम करना: एक सिक्योरिटी हार्डनिंग गाइड

यह गाइड हॉस्पिटैलिटी, रिटेल, इवेंट्स और सार्वजनिक क्षेत्र के वातावरण में एंटरप्राइज़ WiFi इंफ्रास्ट्रक्चर के लिए ज़िम्मेदार IT प्रबंधकों, नेटवर्क आर्किटेक्ट्स और CTO के लिए एक व्यापक, कार्रवाई योग्य संदर्भ प्रदान करती है। यह RADIUS सर्वर परिनियोजन की पूरी अटैक सरफेस को कवर करती है — MD5 कोलिजन कमजोरियों और कमज़ोर शेयर्ड सीक्रेट्स से लेकर अनएन्क्रिप्टेड UDP ट्रांसपोर्ट और गलत कॉन्फ़िगर किए गए EAP मेथड्स तक — और IEEE 802.1X, PCI DSS और GDPR आवश्यकताओं के साथ संरेखित एक प्राथमिकता प्राप्त हार्डनिंग रोडमैप प्रदान करती है। जो संगठन इन सिफ़ारिशों को लागू करते हैं, वे क्रेडेंशियल-आधारित नेटवर्क हमलों के प्रति अपने जोखिम को भौतिक रूप से कम करेंगे, अनुपालन दायित्वों को पूरा करेंगे, और अपने गेस्ट और कॉर्पोरेट WiFi इंफ्रास्ट्रक्चर के लिए एक बचाव योग्य सुरक्षा स्थिति का निर्माण करेंगे।

📖 12 मिनट का पाठ📝 2,764 शब्द🔧 2 हल किए गए उदाहरण❓ 3 अभ्यास प्रश्न📚 10 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
RADIUS कमजोरियों को कम करना: एक सिक्योरिटी हार्डनिंग गाइड एक Purple WiFi इंटेलिजेंस ब्रीफिंग [परिचय — लगभग 1 मिनट] स्वागत है। मैं आज की ब्रीफिंग के लिए आपका होस्ट हूँ, और अगले दस मिनटों में हम सीधे उस चीज़ के मूल में जाने वाले हैं जो कई नेटवर्क आर्किटेक्ट्स और IT प्रबंधकों को रात में जगाए रखती है: RADIUS सर्वर सुरक्षा। यदि आप किसी होटल एस्टेट, रिटेल चेन, स्टेडियम या सार्वजनिक क्षेत्र के भवन में एंटरप्राइज़ WiFi चला रहे हैं, तो आपका RADIUS इंफ्रास्ट्रक्चर आपकी सुरक्षा स्थिति में सबसे महत्वपूर्ण — और सबसे अधिक अनदेखी किए जाने वाले — घटकों में से एक है। आइए इसमें गहराई से उतरें। [संदर्भ — लगभग 1 मिनट] RADIUS — रिमोट ऑथेंटिकेशन डायल-इन यूज़र सर्विस — नब्बे के दशक के मध्य से नेटवर्क एक्सेस कंट्रोल की रीढ़ रहा है। यह वह प्रोटोकॉल है जो आपके एक्सेस पॉइंट्स और आपकी आइडेंटिटी डायरेक्टरी के बीच बैठता है, यह तय करता है कि नेटवर्क पर कौन आएगा और कौन नहीं। IEEE 802.1X, जो वस्तुतः हर एंटरप्राइज़ WiFi और वायर्ड ऑथेंटिकेशन परिनियोजन को आधार प्रदान करता है, कार्य करने के लिए RADIUS पर निर्भर करता है। समस्या यह है कि RADIUS को उस युग में डिज़ाइन किया गया था जब खतरे का परिदृश्य बहुत अलग दिखता था। प्रोटोकॉल UDP का उपयोग करता है, जो कनेक्शन रहित है और इसलिए सुरक्षित करना कठिन है। इसका मुख्य ऑथेंटिकेशन तंत्र ऐतिहासिक रूप से MD5 हैशिंग पर निर्भर रहा है — एक क्रिप्टोग्राफ़िक एल्गोरिदम जो 2004 से स्पष्ट रूप से टूट गया है। और शेयर्ड सीक्रेट्स, प्री-शेयर्ड कुंजियाँ जो आपके एक्सेस पॉइंट्स को आपके RADIUS सर्वर पर ऑथेंटिकेट करती हैं, अक्सर एक बार सेट की जाती हैं और कभी रोटेट नहीं की जाती हैं। 2024 में, शोधकर्ताओं ने RADIUS के खिलाफ BlastRADIUS नामक एक व्यावहारिक हमले को प्रकाशित किया — एक मैन-इन-द-मिडिल हमला जो ऑथेंटिकेशन प्रतिक्रियाओं को जाली बनाने के लिए MD5 भेद्यता का फायदा उठाता है। यह सैद्धांतिक नहीं है। यह एक वास्तविक, प्रलेखित अटैक वेक्टर है जो अनपैच किए गए FreeRADIUS, Cisco ISE और Microsoft NPS चलाने वाले परिनियोजनों को प्रभावित करता है। यदि आपने 2024 के मध्य से पैच नहीं किया है, तो आप खतरे में हैं। व्यावसायिक दांव महत्वपूर्ण हैं। एक समझौता किए गए RADIUS सर्वर का मतलब केवल अनधिकृत WiFi एक्सेस नहीं है। इसका मतलब है कि एक हमलावर आपके नेटवर्क पर किसी भी उपयोगकर्ता के रूप में ऑथेंटिकेट कर सकता है, नेटवर्क सेगमेंटेशन को बायपास कर सकता है, और संभावित रूप से भुगतान सिस्टम, रोगी रिकॉर्ड या परिचालन प्रौद्योगिकी तक पहुँच सकता है। कार्ड भुगतान संसाधित करने वाले रिटेल वातावरण के लिए, यह एक सीधा PCI DSS उल्लंघन है। हेल्थकेयर के लिए, यह एक GDPR और क्लिनिकल गवर्नेंस मुद्दा है। हॉस्पिटैलिटी के लिए, यह ब्रांड की क्षति और संभावित विनियामक जुर्माना है। [तकनीकी डीप-डाइव — लगभग 5 मिनट] आइए व्यवस्थित रूप से अटैक सरफेस के माध्यम से चलते हैं। पहला भेद्यता वर्ग MD5 कोलिजन जोखिम है। RADIUS User-Password एट्रिब्यूट की सुरक्षा करने और रिस्पॉन्स ऑथेंटिकेटर फ़ील्ड उत्पन्न करने के लिए MD5 का उपयोग करता है। MD5 एक 128-बिट हैश उत्पन्न करता है, और कोलिजन हमले — जहाँ दो अलग-अलग इनपुट एक ही हैश उत्पन्न करते हैं — 2004 से संभव हैं। BlastRADIUS हमला विशेष रूप से Access-Request पैकेटों पर इंटीग्रिटी सुरक्षा की कमी का फायदा उठाता है। आपके NAS डिवाइस — जो आपका नेटवर्क एक्सेस सर्वर है, आमतौर पर आपका एक्सेस पॉइंट या स्विच — और आपके RADIUS सर्वर के बीच स्थित एक हमलावर पैकेट में एक तैयार किया गया एट्रिब्यूट इंजेक्ट कर सकता है और सर्वर को एक अमान्य क्रेडेंशियल के लिए भी Access-Accept वापस करने के लिए बाध्य कर सकता है। यहाँ समाधान दोतरफा है: अपने RADIUS सर्वर को नवीनतम संस्करण में पैच करें, और सभी Access-Request पैकेटों पर Message-Authenticator लागू करें। FreeRADIUS 3.2.5 और बाद के संस्करण डिफ़ॉल्ट रूप से इसकी आवश्यकता रखते हैं। दूसरा भेद्यता वर्ग कमज़ोर या स्थिर शेयर्ड सीक्रेट्स है। शेयर्ड सीक्रेट आपके NAS और आपके RADIUS सर्वर के बीच प्री-शेयर्ड कुंजी है। यदि यह छोटा है, डिक्शनरी-अटैकेबल है, या वर्षों से रोटेट नहीं किया गया है, तो यह एक दायित्व है। RADIUS इस सीक्रेट का उपयोग User-Password एट्रिब्यूट को एन्क्रिप्ट करने और रिस्पॉन्स ऑथेंटिकेटर उत्पन्न करने के लिए करता है। एक कमज़ोर शेयर्ड सीक्रेट का मतलब है कि एक हमलावर जो RADIUS ट्रैफ़िक कैप्चर करता है — जो उस नेटवर्क पर मामूली बात है जिससे उन्होंने पहले ही आंशिक रूप से समझौता कर लिया है — पासवर्ड को ऑफ़लाइन ब्रूट-फ़ोर्स कर सकता है। सर्वोत्तम अभ्यास न्यूनतम 32 वर्ण है, बेतरतीब ढंग से उत्पन्न, और कम से कम सालाना रोटेट किया गया। इस रोटेशन को स्वचालित करें; एक बड़े एस्टेट में इसे मैन्युअल रूप से करना त्रुटि-प्रवण है। तीसरा भेद्यता वर्ग अनएन्क्रिप्टेड ट्रांसपोर्ट है। मानक RADIUS ऑथेंटिकेशन के लिए पोर्ट 1812 और अकाउंटिंग के लिए 1813 पर UDP पर चलता है। UDP कोई ट्रांसपोर्ट-लेयर एन्क्रिप्शन, कोई इंटीग्रिटी चेकिंग और कोई रीप्ले सुरक्षा प्रदान नहीं करता है, सिवाय इसके जो RADIUS स्वयं लागू करता है — जो, जैसा कि हमने स्थापित किया है, अपर्याप्त है। RadSec, जिसे औपचारिक रूप से RFC 6614 में परिभाषित किया गया है, TCP पोर्ट 2083 पर TLS 1.2 या 1.3 में RADIUS को रैप करता है। यह सर्टिफिकेट के माध्यम से म्यूचुअल ऑथेंटिकेशन, RADIUS पेलोड का पूर्ण एन्क्रिप्शन और रीप्ले सुरक्षा प्रदान करता है। यदि आप किसी भी अविश्वसनीय नेटवर्क सेगमेंट में RADIUS चला रहे हैं — जिसमें एक दूरस्थ वेन्यू और एक केंद्रीय RADIUS सर्वर के बीच WAN लिंक शामिल है — तो RadSec वैकल्पिक नहीं है। यह एक आवश्यकता है। चौथा भेद्यता वर्ग EAP मेथड चयन है। सभी EAP मेथड्स समान नहीं हैं। EAP-MD5 को हटा दिया गया माना जाना चाहिए — यह कोई म्यूचुअल ऑथेंटिकेशन और ऑथेंटिकेशन एक्सचेंज का कोई एन्क्रिप्शन प्रदान नहीं करता है। PEAP और EAP-TTLS अधिकांश एंटरप्राइज़ परिनियोजन के लिए स्वीकार्य हैं, क्योंकि वे क्रेडेंशियल ट्रांसमिट करने से पहले एक TLS टनल स्थापित करते हैं, और वे सर्वर सर्टिफिकेट के माध्यम से म्यूचुअल ऑथेंटिकेशन का समर्थन करते हैं। EAP-TLS स्वर्ण मानक है: इसके लिए सर्वर और क्लाइंट दोनों को सर्टिफिकेट प्रस्तुत करने की आवश्यकता होती है, जिससे ऑथेंटिकेशन एक्सचेंज से पासवर्ड पूरी तरह समाप्त हो जाता है। यह इसे क्रेडेंशियल फ़िशिंग और ब्रूट-फ़ोर्स हमलों से प्रतिरक्षित बनाता है। क्लाइंट सर्टिफिकेट जारी करने के लिए PKI तैनात करने का परिचालन ओवरहेड वास्तविक है, लेकिन उच्च-सुरक्षा वाले वातावरण — हेल्थकेयर नेटवर्क, भुगतान-प्रसंस्करण क्षेत्र, बैक-ऑफ़-हाउस रिटेल सिस्टम — के लिए यह सही निर्णय है। पांचवां भेद्यता वर्ग अपर्याप्त लॉगिंग और मॉनिटरिंग है। RADIUS अकाउंटिंग डेटा खतरे का पता लगाने के लिए एक सोने की खान है, और अधिकांश संगठन इसका उपयोग नहीं कर रहे हैं। हर ऑथेंटिकेशन प्रयास, सफल या विफल, एक अकाउंटिंग रिकॉर्ड उत्पन्न करता है। विफल ऑथेंटिकेशन के पैटर्न, अप्रत्याशित MAC पतों से ऑथेंटिकेशन, या असामान्य समय पर ऑथेंटिकेशन सभी समझौते के संकेतक हैं। अपने RADIUS अकाउंटिंग स्ट्रीम को अपने SIEM में एकीकृत करें। साठ सेकंड के भीतर एक ही MAC पते से पांच से अधिक विफल ऑथेंटिकेशन के लिए अलर्ट सेट करें। Access-Reject स्टॉर्म की निगरानी करें, जो प्रगति पर क्रेडेंशियल-स्टफिंग हमले का संकेत दे सकता है। [कार्यान्वयन सिफ़ारिशें और नुकसान — लगभग 2 मिनट] मैं आपको एक हार्डनिंग प्रोजेक्ट के लिए एक व्यावहारिक अनुक्रमण देता हूँ। पैचिंग से शुरू करें। यह गैर-परक्राम्य है और आपकी अगली परिवर्तन विंडो के भीतर किया जाना चाहिए। FreeRADIUS, Cisco ISE और Microsoft NPS सभी ने जुलाई 2024 में BlastRADIUS के लिए पैच जारी किए। अपने संस्करण की जाँच करें, पैच लागू करें, और सत्यापित करें कि Message-Authenticator प्रवर्तन सक्रिय है। इसके बाद, अपने शेयर्ड सीक्रेट्स का ऑडिट करें। अपने RADIUS सर्वर पर पंजीकृत प्रत्येक NAS डिवाइस की सूची खींचें। प्रत्येक के लिए, शेयर्ड सीक्रेट की लंबाई और आयु की जाँच करें। 20 वर्णों से कम या दो साल से अधिक पुरानी किसी भी चीज़ को तुरंत रोटेट किया जाना चाहिए। इन्हें प्रोग्रामेटिक रूप से स्टोर और रोटेट करने के लिए एक पासवर्ड मैनेजर या सीक्रेट्स वॉल्ट — HashiCorp Vault यहाँ अच्छा काम करता है — का उपयोग करें। तीसरा, अपनी EAP मेथड का मूल्यांकन करें। यदि आप कहीं भी EAP-MD5 चला रहे हैं, तो अभी उससे दूर माइग्रेट करें। PEAP-MSCHAPv2 अधिकांश एंटरप्राइज़ वातावरण के लिए एक उचित अंतरिम स्थिति है। यदि आपके पास PKI इंफ्रास्ट्रक्चर है, तो EAP-TLS लक्ष्य स्थिति है। चौथा, अविश्वसनीय नेटवर्क सेगमेंट को पार करने वाले किसी भी RADIUS ट्रैफ़िक के लिए RadSec लागू करें। यह विशेष रूप से मल्टी-साइट परिनियोजन के लिए प्रासंगिक है जहाँ एक केंद्रीय RADIUS सर्वर इंटरनेट या साझा WAN पर दूरस्थ वेन्यू की सेवा करता है। पांचवां, RADIUS सर्वर तक विशेषाधिकार प्राप्त एक्सेस के लिए मल्टी-फैक्टर ऑथेंटिकेशन सक्षम करें। सर्वर का प्रबंधन इंटरफ़ेस एक उच्च-मूल्य वाला लक्ष्य है। सभी प्रशासनिक लॉगिन के लिए MFA लागू करें, और प्रबंधन एक्सेस को एक समर्पित आउट-ऑफ़-बैंड प्रबंधन नेटवर्क तक सीमित करें। अब, नुकसान। सबसे आम गलती जो मैं देखता हूँ वह यह है कि संगठन RADIUS सर्वर को पैच करते हैं लेकिन NAS उपकरणों को पुराने फ़र्मवेयर पर छोड़ देते हैं जो Message-Authenticator का समर्थन नहीं करता है। पैच तभी प्रभावी होता है जब दोनों सिरे इसे लागू करते हैं। उसी प्रोजेक्ट के भाग के रूप में अपने एक्सेस पॉइंट और स्विच फ़र्मवेयर का ऑडिट करें। दूसरा आम नुकसान सर्टिफिकेट की समाप्ति है। यदि आप EAP-TLS या RadSec चला रहे हैं, तो आपके पास सर्टिफिकेट काम कर रहे हैं। एक RADIUS सर्वर सर्टिफिकेट जो चुपचाप समाप्त हो जाता है, आपके नेटवर्क पर हर ऑथेंटिकेशन को एक साथ विफल कर देगा। अपने परिचालन रनबुक में सर्टिफिकेट समाप्ति मॉनिटरिंग बनाएँ। समाप्ति से 90, 30 और 7 दिन पहले अलर्ट सेट करें। तीसरा नुकसान एक क्षतिपूर्ति नियंत्रण के रूप में नेटवर्क सेगमेंटेशन पर अति-निर्भरता है। सेगमेंटेशन महत्वपूर्ण है, लेकिन यह उस हमलावर से रक्षा नहीं करता है जिसने पहले ही एक समझौता किए गए RADIUS सर्वर के माध्यम से ऑथेंटिकेट कर लिया है। डेप्थ में डिफेंस का मतलब है कि आपको RADIUS हार्डनिंग के साथ-साथ सेगमेंटेशन की भी आवश्यकता है। [रैपिड-फायर प्रश्नोत्तर — लगभग 1 मिनट] प्रश्न: क्या मुझे RadSec की आवश्यकता है यदि मेरा RADIUS सर्वर मेरे एक्सेस पॉइंट्स के समान LAN पर है? उत्तर: यदि वे बिना किसी अविश्वसनीय डिवाइस के समान विश्वसनीय, सेगमेंटेड प्रबंधन VLAN पर हैं, तो NAS-से-सर्वर लेग के लिए UDP पर मानक RADIUS स्वीकार्य है। लेकिन अगर किसी समझौता किए गए डिवाइस से उस VLAN तक पहुँचने वाले लेटरल मूवमेंट की कोई संभावना है, तो RadSec कम लागत पर सार्थक सुरक्षा जोड़ता है। प्रश्न: हम Microsoft NPS चला रहे हैं। क्या हम BlastRADIUS से प्रभावित हैं? उत्तर: हाँ। Microsoft ने जुलाई 2024 में एक पैच जारी किया। इसे लागू करें। अपने NPS सर्वर पर RequireMessageAuthenticator रजिस्ट्री कुंजी भी लागू करें। प्रश्न: मैं गेस्ट WiFi को कैसे संभालूँ? मेहमानों के पास सर्टिफिकेट नहीं होते हैं। उत्तर: गेस्ट WiFi आमतौर पर 802.1X के बजाय Captive Portal मॉडल का उपयोग करता है, इसलिए RADIUS का उपयोग अलग तरह से किया जाता है — अक्सर केवल MAC ऑथेंटिकेशन बायपास या अकाउंटिंग के लिए। वही पैचिंग और शेयर्ड सीक्रेट हाइजीन लागू होती है, लेकिन EAP-TLS अनऑथेंटिकेटेड गेस्ट एक्सेस के लिए प्रासंगिक नहीं है। गेस्ट RADIUS इंस्टेंस को अपने कॉर्पोरेट RADIUS इंफ्रास्ट्रक्चर से अलग करने पर ध्यान दें। प्रश्न: पूर्ण EAP-TLS माइग्रेशन के लिए ROI मामला क्या है? उत्तर: अपने उल्लंघन जोखिम के विरुद्ध इसे परिमाणित करें। एक एकल PCI DSS उल्लंघन की लागत औसतन चार मिलियन पाउंड जुर्माना, सुधार और प्रतिष्ठित क्षति में होती है। 500-डिवाइस एस्टेट के लिए PKI परिनियोजन की लागत टूलिंग और पेशेवर सेवाओं में लगभग 15,000 से 30,000 पाउंड है। गणित सीधा है। [सारांश और अगले कदम — लगभग 1 मिनट] मैं आपको इस तिमाही में करने के लिए पाँच चीज़ें देता हूँ। एक: BlastRADIUS के लिए अपने RADIUS सर्वर और सभी NAS उपकरणों को पैच करें। इसे पहले करें। दो: सभी शेयर्ड सीक्रेट्स का ऑडिट करें और रोटेट करें। आगे बढ़ते हुए रोटेशन को स्वचालित करें। तीन: सभी Access-Request पैकेटों पर Message-Authenticator लागू करें। चार: अविश्वसनीय नेटवर्क सीमाओं को पार करने वाले किसी भी RADIUS ट्रैफ़िक के लिए RadSec लागू करें। पाँच: RADIUS अकाउंटिंग लॉग को अपने SIEM में एकीकृत करें और विसंगति अलर्ट सेट करें। RADIUS सुरक्षा ग्लैमरस नहीं है, लेकिन यह मूलभूत है। इन पाँच चीज़ों को सही करें, और आपने अपने नेटवर्क एक्सेस कंट्रोल इंफ्रास्ट्रक्चर के खिलाफ सबसे महत्वपूर्ण अटैक वेक्टर्स को बंद कर दिया है। सुनने के लिए धन्यवाद। एंटरप्राइज़ WiFi सुरक्षा आर्किटेक्चर पर अधिक जानकारी के लिए, purple.ai पर जाएँ। यह एक Purple WiFi इंटेलिजेंस ब्रीफिंग थी।

header_image.png

कार्यकारी सारांश

RADIUS (रिमोट ऑथेंटिकेशन डायल-इन यूज़र सर्विस) एंटरप्राइज़ WiFi परिनियोजन में नेटवर्क एक्सेस कंट्रोल के लिए प्रमुख प्रोटोकॉल बना हुआ है, जो होटल, रिटेल एस्टेट, स्टेडियम, सम्मेलन केंद्रों और सार्वजनिक क्षेत्र के भवनों में IEEE 802.1X ऑथेंटिकेशन को आधार प्रदान करता है। हालाँकि, RADIUS को 1990 के दशक में आर्किटेक्ट किया गया था, और इसके कई मूलभूत डिज़ाइन निर्णय — MD5 हैशिंग पर निर्भरता, नेटिव एन्क्रिप्शन के बिना UDP ट्रांसपोर्ट, और स्थिर शेयर्ड सीक्रेट्स — वर्तमान खतरे के माहौल में महत्वपूर्ण कमज़ोरियाँ बन गए हैं।

जुलाई 2024 में, BlastRADIUS भेद्यता (CVE-2024-3596) ने प्रदर्शित किया कि एक मैन-इन-द-मिडिल हमलावर Access-Request पैकेट में MD5 इंटीग्रिटी की कमज़ोरी का फायदा उठाकर RADIUS Access-Accept प्रतिक्रियाओं को जाली बना सकता है। यह FreeRADIUS, Cisco ISE और Microsoft NPS सहित सभी प्रमुख RADIUS कार्यान्वयनों को प्रभावित करता है। अनपैच किए गए परिनियोजन अभी भी खतरे में हैं।

यह गाइड एक प्राथमिकता प्राप्त हार्डनिंग रोडमैप प्रदान करती है जिसमें पैच प्रबंधन, शेयर्ड सीक्रेट हाइजीन, EAP मेथड चयन, RadSec परिनियोजन, प्रशासनिक एक्सेस के लिए मल्टी-फैक्टर ऑथेंटिकेशन और विसंगति का पता लगाने के लिए SIEM एकीकरण शामिल है। यह उस IT पेशेवर के लिए लिखा गया है जिसे अगले साल नहीं, बल्कि इसी तिमाही में एक बचाव योग्य निर्णय लेने की आवश्यकता है।

radius_architecture_overview.png

तकनीकी डीप-डाइव

RADIUS कैसे काम करता है और यह कहाँ विफल होता है

RADIUS एक नेटवर्क एक्सेस सर्वर (NAS) — आमतौर पर एक WiFi एक्सेस पॉइंट, स्विच, या VPN कंसंट्रेटर — और एक RADIUS सर्वर के बीच क्लाइंट-सर्वर प्रोटोकॉल के रूप में कार्य करता है जो Active Directory या LDAP जैसे बैकएंड आइडेंटिटी स्टोर के विरुद्ध क्रेडेंशियल्स को मान्य करता है। ऑथेंटिकेशन एक्सचेंज RFC 2865 में परिभाषित रिक्वेस्ट-चैलेंज-रिस्पॉन्स मॉडल का पालन करता है, जिसमें अकाउंटिंग को RFC 2866 के तहत अलग से संभाला जाता है。

प्रोटोकॉल UDP पर ऑथेंटिकेशन पैकेट ट्रांसमिट करता है, ऑथेंटिकेशन के लिए पोर्ट 1812 और अकाउंटिंग के लिए पोर्ट 1813 का उपयोग करता है। शेयर्ड सीक्रेट — NAS और RADIUS सर्वर दोनों पर कॉन्फ़िगर की गई एक प्री-शेयर्ड कुंजी — का उपयोग रिस्पॉन्स ऑथेंटिकेटर फ़ील्ड उत्पन्न करने और MD5-आधारित XOR सिफर के माध्यम से User-Password एट्रिब्यूट को अस्पष्ट करने के लिए किया जाता है। यह किसी भी आधुनिक अर्थ में एन्क्रिप्शन नहीं है; यह अस्पष्टीकरण (obfuscation) है, और यह पूरी तरह से शेयर्ड सीक्रेट की गोपनीयता और मजबूती पर निर्भर करता है।

एक सामान्य RADIUS परिनियोजन में पाँच प्राथमिक भेद्यता वर्ग इस प्रकार हैं।

MD5 कोलिजन और इंटीग्रिटी कमजोरियां। BlastRADIUS हमला (CVE-2024-3596) Access-Request पैकेट पर इंटीग्रिटी सुरक्षा की अनुपस्थिति का फायदा उठाता है। क्योंकि कई कॉन्फ़िगरेशन में NAS डिफ़ॉल्ट रूप से Message-Authenticator एट्रिब्यूट शामिल नहीं करता है, एक मैन-इन-द-मिडिल स्थिति वाला हमलावर RADIUS सर्वर तक पहुँचने से पहले पैकेट में एक तैयार किया गया एट्रिब्यूट इंजेक्ट कर सकता है। MD5 चोज़न-प्रीफ़िक्स कोलिजन तकनीकों का फायदा उठाकर, हमलावर पैकेट में इस तरह से हेरफेर कर सकता है कि RADIUS सर्वर संशोधित पैकेट के लिए एक वैध रिस्पॉन्स ऑथेंटिकेटर की गणना करता है, और उस अनुरोध के लिए Access-Accept लौटाता है जिसे अस्वीकार किया जाना चाहिए था। इसका समाधान सभी Access-Request पैकेटों पर Message-Authenticator एट्रिब्यूट को लागू करना है, जो पूरे पैकेट पर HMAC-MD5 इंटीग्रिटी सुरक्षा प्रदान करता है। यह केवल एक सर्वर पैच नहीं है, बल्कि NAS और RADIUS सर्वर दोनों पर एक कॉन्फ़िगरेशन परिवर्तन है।

कमज़ोर या स्थिर शेयर्ड सीक्रेट्स। शेयर्ड सीक्रेट RADIUS एक्सचेंज का क्रिप्टोग्राफ़िक एंकर है। यदि यह छोटा है, अनुमान लगाने योग्य है, या रोटेट नहीं किया गया है, तो एक हमलावर जो RADIUS ट्रैफ़िक कैप्चर करता है — जो ARP स्पूफिंग या किसी समझौता किए गए नेटवर्क डिवाइस के माध्यम से संभव है — User-Password एट्रिब्यूट के विरुद्ध ऑफ़लाइन ब्रूट-फ़ोर्स हमला कर सकता है। याद रखे गए सीक्रेट्स पर NIST SP 800-63B मार्गदर्शन यहाँ लागू होता है: सीक्रेट्स कम से कम 20 वर्णों के होने चाहिए, बेतरतीब ढंग से उत्पन्न होने चाहिए, और एक सीक्रेट्स मैनेजमेंट सिस्टम में संग्रहीत होने चाहिए। दर्जनों या सैकड़ों NAS उपकरणों वाले बड़े एस्टेट के लिए, मैन्युअल रोटेशन परिचालन रूप से अव्यवहार्य है; HashiCorp Vault या किसी तुलनीय सीक्रेट्स मैनेजर के माध्यम से स्वचालन सही दृष्टिकोण है।

अनएन्क्रिप्टेड UDP ट्रांसपोर्ट। UDP पर मानक RADIUS कोई ट्रांसपोर्ट-लेयर गोपनीयता प्रदान नहीं करता है। User-Password एट्रिब्यूट अस्पष्ट है लेकिन एन्क्रिप्टेड नहीं है। अन्य सभी एट्रिब्यूट — जिनमें यूज़रनेम, NAS IP और सेशन मेटाडेटा शामिल हैं — क्लियरटेक्स्ट में ट्रांसमिट किए जाते हैं। RadSec (TLS पर RADIUS), जिसे RFC 6614 में परिभाषित किया गया है और RFC 7360 में अपडेट किया गया है, TCP पोर्ट 2083 पर TLS 1.2 या TLS 1.3 सेशन में RADIUS प्रोटोकॉल को रैप करके इसे संबोधित करता है। RadSec NAS और RADIUS सर्वर के बीच म्यूचुअल सर्टिफिकेट ऑथेंटिकेशन, पूर्ण पेलोड एन्क्रिप्शन और रीप्ले सुरक्षा प्रदान करता है। यह किसी भी RADIUS ट्रैफ़िक के लिए सही ट्रांसपोर्ट है जो किसी अविश्वसनीय नेटवर्क सीमा को पार करता है।

EAP मेथड चयन। एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल (EAP) 802.1X फ्रेमवर्क के भीतर उपयोग की जाने वाली आंतरिक ऑथेंटिकेशन मेथड को परिभाषित करता है। EAP-MD5 को हटा दिया गया है (deprecated) और इसे तुरंत सभी परिनियोजनों से हटा दिया जाना चाहिए — यह कोई म्यूचुअल ऑथेंटिकेशन प्रदान नहीं करता है और क्रेडेंशियल हार्वेस्टिंग के खिलाफ कोई सुरक्षा नहीं देता है। PEAP (प्रोटेक्टेड EAP) और EAP-TTLS क्रेडेंशियल ट्रांसमिट करने से पहले सर्वर सर्टिफिकेट का उपयोग करके एक TLS टनल स्थापित करते हैं, जो म्यूचुअल ऑथेंटिकेशन प्रदान करता है और आंतरिक मेथड को ईव्सड्रॉपिंग से बचाता है। EAP-TLS पासवर्ड को पूरी तरह से समाप्त कर देता है, जिसके लिए सर्वर और क्लाइंट दोनों को X.509 सर्टिफिकेट प्रस्तुत करने की आवश्यकता होती है। यह फ़िशिंग और ब्रूट-फ़ोर्स हमलों से प्रतिरक्षित है और उच्च-सुरक्षा वाले वातावरण के लिए अनुशंसित मेथड है।

अपर्याप्त लॉगिंग और मॉनिटरिंग। RADIUS अकाउंटिंग हर ऑथेंटिकेशन इवेंट को रिकॉर्ड करता है — सफलता, विफलता, सेशन स्टार्ट, सेशन स्टॉप। यह डेटा क्षमता नियोजन के लिए परिचालन रूप से मूल्यवान है और WiFi Analytics के लिए व्यावसायिक रूप से मूल्यवान है, लेकिन यह एक महत्वपूर्ण सुरक्षा टेलीमेट्री स्रोत भी है। विफल ऑथेंटिकेशन स्टॉर्म, अप्रत्याशित MAC पतों से ऑथेंटिकेशन, और ऑफ-आवर्स एक्सेस पैटर्न सभी RADIUS अकाउंटिंग लॉग से पता लगाने योग्य हैं। अधिकांश संगठन इस डेटा को SIEM में नहीं डाल रहे हैं, और जो डाल रहे हैं उनके पास अक्सर कोई अलर्ट थ्रेशोल्ड कॉन्फ़िगर नहीं होता है।

eap_comparison_chart.png

BlastRADIUS हमले का विस्तृत विवरण

BlastRADIUS का खुलासा जुलाई 2024 में बोस्टन विश्वविद्यालय और कैलिफोर्निया विश्वविद्यालय सैन डिएगो के शोधकर्ताओं द्वारा किया गया था। हमले के लिए NAS और RADIUS सर्वर के बीच मैन-इन-द-मिडिल स्थिति की आवश्यकता होती है — जो एक साझा नेटवर्क सेगमेंट पर ARP पॉइज़निंग, एक समझौता किए गए राउटर, या नेटवर्क एक्सेस वाले दुर्भावनापूर्ण अंदरूनी सूत्र के माध्यम से प्राप्त की जा सकती है।

हमला इस प्रकार आगे बढ़ता है: हमलावर NAS से एक Access-Request पैकेट को इंटरसेप्ट करता है। क्योंकि पैकेट में Message-Authenticator एट्रिब्यूट का अभाव होता है (कई कॉन्फ़िगरेशन में डिफ़ॉल्ट), हमलावर को पैकेट की एट्रिब्यूट सूची को संशोधित करने की स्वतंत्रता होती है। MD5 चोज़न-प्रीफ़िक्स कोलिजन का उपयोग करते हुए, हमलावर एक संशोधित पैकेट तैयार करता है जो, जब RADIUS सर्वर द्वारा संसाधित किया जाता है, तो वही रिस्पॉन्स ऑथेंटिकेटर उत्पन्न करता है जो मूल पैकेट करता। इसलिए सर्वर एक ऐसे अनुरोध के लिए Access-Accept लौटाता है जिसमें हमलावर-नियंत्रित एट्रिब्यूट होते हैं — जिसमें Administrative का Service-Type शामिल है, जो पूर्ण नेटवर्क एक्सेस प्रदान करता है।

यह हमला PEAP और EAP-TTLS परिनियोजनों के खिलाफ व्यावहारिक है जहाँ आंतरिक मेथड MSCHAPv2 का उपयोग करती है। यह EAP-TLS परिनियोजनों को प्रभावित नहीं करता है, क्योंकि सर्टिफिकेट-आधारित म्यूचुअल ऑथेंटिकेशन इंटीग्रिटी सुरक्षा प्रदान करता है जिसे MD5 कमज़ोर नहीं कर सकता।

कॉर्पोरेट 802.1X के साथ Guest WiFi चलाने वाले संगठनों के लिए, गेस्ट नेटवर्क के RADIUS इंस्टेंस को भी पैच किया जाना चाहिए, भले ही वह EAP के बजाय MAC ऑथेंटिकेशन बायपास का उपयोग करता हो। शेयर्ड सीक्रेट हाइजीन और Message-Authenticator आवश्यकताएँ समान रूप से लागू होती हैं।

कार्यान्वयन गाइड

चरण 1: तत्काल सुधार (सप्ताह 1–2)

पहली प्राथमिकता पैचिंग है। FreeRADIUS 3.2.5 और 3.0.27 में BlastRADIUS फिक्स शामिल है और डिफ़ॉल्ट रूप से Message-Authenticator लागू करता है। Cisco ISE 3.1 पैच 8, 3.2 पैच 4, और 3.3 पैच 1 भेद्यता को संबोधित करते हैं। Microsoft ने जुलाई 2024 में Windows Server 2022 NPS के लिए KB5040434 जारी किया। अपने वर्तमान संस्करणों को सत्यापित करें और अपनी अगली निर्धारित परिवर्तन विंडो के भीतर पैच लागू करें।

साथ ही, अपने NAS डिवाइस फ़र्मवेयर का ऑडिट करें। Message-Authenticator प्रवर्तन तभी प्रभावी होता है जब NAS भी एट्रिब्यूट भेजता है। अपने एक्सेस पॉइंट और स्विच वेंडर एडवाइज़री की जाँच करें — Aruba, Ruckus, Cisco, और Juniper सभी ने BlastRADIUS को संबोधित करते हुए फ़र्मवेयर अपडेट जारी किए हैं। यदि आप Ruckus हार्डवेयर चला रहे हैं, तो wireless access point Ruckus guide प्रासंगिक फ़र्मवेयर प्रबंधन संदर्भ प्रदान करता है।

पैच के बाद उत्पन्न होने वाले Troubleshooting Windows 11 802.1X Authentication Issues के लिए, सबसे आम कारण NPS सर्वर द्वारा उन क्लाइंट्स से कनेक्शन अस्वीकार करना है जिनमें Message-Authenticator शामिल नहीं है — एक सही सुरक्षा व्यवहार जिसके लिए पुराने Windows क्लाइंट्स पर सप्लिकेंट रीकॉन्फ़िगरेशन की आवश्यकता हो सकती है।

चरण 2: शेयर्ड सीक्रेट हाइजीन (सप्ताह 2–4)

अपने RADIUS सर्वर पर पंजीकृत NAS क्लाइंट्स की पूरी सूची निर्यात करें। प्रत्येक प्रविष्टि के लिए, शेयर्ड सीक्रेट की लंबाई और अंतिम बार बदले जाने की तिथि रिकॉर्ड करें। 20 वर्णों से कम या 24 महीनों से अधिक समय तक अपरिवर्तित किसी भी सीक्रेट को तुरंत रोटेट किया जाना चाहिए।

नए सीक्रेट्स के लिए, एक क्रिप्टोग्राफ़िक रूप से रैंडम जनरेटर का उपयोग करें — openssl rand -base64 32 एक 44-वर्ण का base64 स्ट्रिंग उत्पन्न करता है जो RADIUS शेयर्ड सीक्रेट के रूप में उपयोग के लिए उपयुक्त है। सभी सीक्रेट्स को एक सीक्रेट्स मैनेजमेंट सिस्टम में स्टोर करें। एक रोटेशन शेड्यूल लागू करें: कम जोखिम वाले NAS उपकरणों के लिए सालाना, PCI DSS स्कोप में NAS उपकरणों के लिए हर छह महीने में।

चरण 3: EAP मेथड रेशनलाइज़ेशन (महीना 1–2)

अपने RADIUS सर्वर के अनुमत EAP मेथड्स का ऑडिट करें। EAP-MD5 को अक्षम करें। यदि आप PEAP-MSCHAPv2 चला रहे हैं, तो सत्यापित करें कि सभी सप्लिकेंट्स पर सर्वर सर्टिफिकेट वैलिडेशन लागू है — एक गलत कॉन्फ़िगर किया गया सप्लिकेंट जो किसी भी सर्वर सर्टिफिकेट को स्वीकार करता है, वह दुष्ट RADIUS सर्वर हमलों के प्रति संवेदनशील है। PCI DSS स्कोप वाले वातावरण के लिए, EAP-TLS अनुशंसित मार्ग है। यदि आपके पास मौजूदा सर्टिफिकेट इंफ्रास्ट्रक्चर नहीं है तो PKI प्लानिंग शुरू करें।

Securing Guest WiFi Networks के लिए, ध्यान दें कि गेस्ट नेटवर्क आमतौर पर 802.1X के बजाय Captive Portal ऑथेंटिकेशन का उपयोग करते हैं, इसलिए EAP मेथड हार्डनिंग मुख्य रूप से कॉर्पोरेट और स्टाफ SSID पर लागू होती है।

चरण 4: RadSec परिनियोजन (महीना 2–3)

उन सभी RADIUS ट्रैफ़िक पथों की पहचान करें जो अविश्वसनीय नेटवर्क सीमाओं को पार करते हैं। सामान्य परिदृश्यों में शामिल हैं: इंटरनेट पर दूरस्थ होटल संपत्तियों की सेवा करने वाला एक केंद्रीय RADIUS सर्वर; ऑन-प्रिमाइसेस NAS उपकरणों द्वारा एक्सेस की जाने वाली क्लाउड-होस्टेड RADIUS सेवा; और RADIUS प्रॉक्सी चेन जहाँ ट्रैफ़िक कई नेटवर्क डोमेन से होकर गुज़रता है।

प्रत्येक पहचाने गए पथ के लिए, RadSec कॉन्फ़िगर करें। FreeRADIUS पर, इसके लिए पोर्ट 2083 पर tls लिसनर को सक्षम करने और आपके PKI से सर्टिफिकेट के साथ म्यूचुअल TLS कॉन्फ़िगर करने की आवश्यकता होती है। Cisco ISE पर, RadSec को Administration > Network Devices के अंतर्गत कॉन्फ़िगर किया गया है। सुनिश्चित करें कि TLS 1.2 न्यूनतम संस्करण है; TLS 1.0 और 1.1 को स्पष्ट रूप से अक्षम करें।

चरण 5: प्रशासनिक एक्सेस के लिए MFA (महीना 2–3)

RADIUS सर्वर का प्रबंधन इंटरफ़ेस एक उच्च-मूल्य वाला लक्ष्य है। एक हमलावर जो RADIUS सर्वर से समझौता करता है, वह ऑथेंटिकेशन नीतियों को संशोधित कर सकता है, शेयर्ड सीक्रेट्स निकाल सकता है, और ऑथेंटिकेशन ट्रैफ़िक को रीडायरेक्ट कर सकता है। RADIUS सर्वर और उसके अंतर्निहित ऑपरेटिंग सिस्टम में सभी प्रशासनिक लॉगिन के लिए MFA लागू करें। प्रबंधन एक्सेस को एक समर्पित आउट-ऑफ़-बैंड प्रबंधन VLAN तक सीमित करें। रोल-बेस्ड एक्सेस कंट्रोल लागू करें: नेटवर्क इंजीनियरों के पास सुरक्षा प्रशासकों के समान विशेषाधिकार नहीं होने चाहिए।

चरण 6: SIEM एकीकरण और अलर्टिंग (महीना 3–4)

अपने RADIUS सर्वर को रीयल-टाइम में अपने SIEM को अकाउंटिंग लॉग अग्रेषित करने के लिए कॉन्फ़िगर करें। बेसलाइन के रूप में निम्नलिखित अलर्ट थ्रेशोल्ड परिभाषित करें:

अलर्ट थ्रेशोल्ड गंभीरता
सिंगल MAC से विफल ऑथेंटिकेशन 60 सेकंड में >5 उच्च
Access-Reject दर में उछाल 7-दिन के बेसलाइन का >200% मध्यम
कॉर्पोरेट SSID पर नए MAC से ऑथेंटिकेशन पहली घटना मध्यम
RADIUS सर्वर सर्टिफिकेट समाप्ति 90 / 30 / 7 दिन उच्च / गंभीर / गंभीर
शेयर्ड सीक्रेट बेमेल त्रुटियाँ कोई भी घटना उच्च

सर्वोत्तम प्रथाएँ

निम्नलिखित सिफ़ारिशें IEEE 802.1X, NIST SP 800-63B, PCI DSS v4.0, और वेंडर सुरक्षा एडवाइज़री की आम सहमति का प्रतिनिधित्व करती हैं।

सर्टिफिकेट प्रबंधन। EAP-TLS या RadSec का उपयोग करने वाले किसी भी परिनियोजन के ऑथेंटिकेशन पथ में X.509 सर्टिफिकेट होते हैं। एंटरप्राइज़ WiFi परिनियोजन में अचानक, पूर्ण ऑथेंटिकेशन विफलता का सबसे आम कारण सर्टिफिकेट की समाप्ति है। स्वचालित सर्टिफिकेट जीवनचक्र प्रबंधन लागू करें। समाप्ति से 90, 30 और 7 दिन पहले मॉनिटरिंग अलर्ट सेट करें। RADIUS सर्वर सर्टिफिकेट के लिए, SHA-256 या अधिक मजबूत सिग्नेचर एल्गोरिदम के साथ 2048-बिट RSA या 256-बिट ECDSA के न्यूनतम कुंजी आकार का उपयोग करें। SHA-1 का उपयोग न करें।

नेटवर्क सेगमेंटेशन। RADIUS सर्वर को एक समर्पित प्रबंधन नेटवर्क सेगमेंट पर रहना चाहिए, जो गेस्ट नेटवर्क और सामान्य कॉर्पोरेट नेटवर्क दोनों से अलग हो। RADIUS पोर्ट (UDP 1812, 1813, RadSec के लिए TCP 2083) तक पहुँच को फ़ायरवॉल ACL द्वारा पंजीकृत NAS उपकरणों के विशिष्ट IP पतों तक सीमित किया जाना चाहिए। RADIUS पोर्ट तक कोई सीधा इंटरनेट एक्सेस नहीं होना चाहिए।

रिडंडेंसी और उच्च उपलब्धता। एक एकल RADIUS सर्वर आपके संपूर्ण नेटवर्क एक्सेस कंट्रोल इंफ्रास्ट्रक्चर के लिए विफलता का एकल बिंदु है। एक्टिव-पैसिव या एक्टिव-एक्टिव कॉन्फ़िगरेशन में कम से कम दो RADIUS सर्वर तैनात करें। 24/7 गेस्ट कनेक्टिविटी आवश्यकताओं वाले Hospitality परिनियोजन के लिए, RADIUS सर्वर डाउनटाइम सीधे गेस्ट WiFi डाउनटाइम के बराबर है — जो एक प्रतिष्ठित और व्यावसायिक जोखिम है।

WPA3 और 802.1X। WPA3-Enterprise सरकारी और उच्च-सुरक्षा परिनियोजन के लिए 192-बिट सुरक्षा मोड के उपयोग को अनिवार्य करता है, जिसके लिए डेटा एन्क्रिप्शन के लिए AES-256-GCMP और ऑथेंटिकेशन के लिए HMAC-SHA-384 की आवश्यकता होती है। अधिकांश एंटरप्राइज़ परिनियोजन के लिए, मानक 128-बिट सुरक्षा के साथ WPA3-Enterprise, WPA2-Enterprise की तुलना में एक महत्वपूर्ण सुधार है, विशेष रूप से EAP-TLS के संयोजन में। कार्ड भुगतान संसाधित करने वाले Retail वातावरण को WPA3-Enterprise अपनाने को PCI DSS जोखिम कम करने के उपाय के रूप में मानना चाहिए।

वेंडर पैच तालमेल। अपने RADIUS सर्वर वेंडर और अपने NAS डिवाइस वेंडर्स से सुरक्षा एडवाइज़री की सदस्यता लें। FreeRADIUS, Cisco, Microsoft, Aruba, और Ruckus सभी CVE सूचनाएँ प्रकाशित करते हैं। इन्हें एक परिभाषित SLA के साथ अपने भेद्यता प्रबंधन कार्यक्रम में एकीकृत करें: गंभीर कमजोरियों (CVSS ≥ 9.0) को 72 घंटों के भीतर पैच किया जाए; उच्च कमजोरियों (CVSS 7.0–8.9) को 14 दिनों के भीतर।

समस्या निवारण और जोखिम न्यूनीकरण

सामान्य विफलता मोड

पैच के बाद ऑथेंटिकेशन विफलताएँ। BlastRADIUS पैच लागू करने के बाद, कुछ NAS डिवाइस ऑथेंटिकेट करने में विफल हो सकते हैं यदि उनका फ़र्मवेयर Message-Authenticator का समर्थन नहीं करता है। लक्षण: उपयोगकर्ता क्रेडेंशियल्स में कोई बदलाव किए बिना Access-Reject प्रतिक्रियाओं में अचानक वृद्धि। निदान: RADIUS डीबग लॉगिंग सक्षम करें और "Message-Authenticator required but not present" त्रुटियों की जाँच करें। समाधान: NAS फ़र्मवेयर अपडेट करें या, एक अस्थायी उपाय के रूप में, RADIUS सर्वर को विशिष्ट NAS IP से Message-Authenticator के बिना अनुरोध स्वीकार करने के लिए कॉन्फ़िगर करें जबकि फ़र्मवेयर अपडेट निर्धारित हैं।

EAP-TLS में सर्टिफिकेट वैलिडेशन विफलताएँ। लक्षण: क्लाइंट्स को RADIUS लॉग में बिना किसी संबंधित Access-Reject के "Authentication Failed" प्राप्त होता है। निदान: RADIUS सर्वर की सर्टिफिकेट चेन की जाँच करें — क्या जारी करने वाला CA क्लाइंट के सप्लिकेंट द्वारा विश्वसनीय है? क्या सर्वर सर्टिफिकेट अपनी वैधता अवधि के भीतर है? समाधान: सुनिश्चित करें कि RADIUS सर्वर पर पूर्ण सर्टिफिकेट चेन (लीफ + इंटरमीडिएट + रूट) कॉन्फ़िगर की गई है। MDM या ग्रुप पॉलिसी के माध्यम से क्लाइंट डिवाइस पर रूट CA सर्टिफिकेट पुश करें।

RadSec TLS हैंडशेक विफलताएँ। लक्षण: कॉन्फ़िगरेशन परिवर्तन के बाद NAS डिवाइस RadSec कनेक्शन स्थापित करने में विफल रहते हैं। निदान: TLS संस्करण संगतता की जाँच करें — पुराना NAS फ़र्मवेयर TLS 1.2 का समर्थन नहीं कर सकता है। म्यूचुअल सर्टिफिकेट ऑथेंटिकेशन की जाँच करें — दोनों सिरों को एक-दूसरे के CA पर भरोसा होना चाहिए। समाधान: NAS फ़र्मवेयर रिलीज़ नोट्स में TLS संस्करण समर्थन सत्यापित करें; सुनिश्चित करें कि NAS डिवाइस सर्टिफिकेट उसी CA द्वारा जारी किए गए हैं जिस पर RADIUS सर्वर भरोसा करता है।

शेयर्ड सीक्रेट बेमेल। लक्षण: किसी विशिष्ट NAS से सभी ऑथेंटिकेशन "Invalid authenticator" त्रुटियों के साथ विफल हो जाते हैं। निदान: NAS कॉन्फ़िगरेशन और RADIUS सर्वर क्लाइंट प्रविष्टि के बीच शेयर्ड सीक्रेट बेमेल। समाधान: दोनों तरफ शेयर्ड सीक्रेट फिर से दर्ज करें, यह सुनिश्चित करते हुए कि कोई ट्रेलिंग स्पेस या कैरेक्टर एन्कोडिंग समस्याएँ नहीं हैं। ट्रांसक्रिप्शन त्रुटियों से बचने के लिए सीक्रेट्स मैनेजर से कॉपी-पेस्ट का उपयोग करें।

जोखिम रजिस्टर

जोखिम संभावना प्रभाव न्यूनीकरण नियंत्रण
BlastRADIUS शोषण उच्च (अनपैच) गंभीर पैच + Message-Authenticator प्रवर्तन
शेयर्ड सीक्रेट ब्रूट-फ़ोर्स मध्यम उच्च 32-वर्ण रैंडम सीक्रेट्स, वार्षिक रोटेशन
दुष्ट RADIUS सर्वर मध्यम उच्च EAP-TLS म्यूचुअल ऑथेंटिकेशन, सर्टिफिकेट पिनिंग
RADIUS सर्वर सर्टिफिकेट समाप्ति उच्च गंभीर स्वचालित मॉनिटरिंग, 90-दिन अलर्ट
802.1X के माध्यम से क्रेडेंशियल स्टफिंग मध्यम उच्च अकाउंट लॉकआउट नीतियां, SIEM अलर्टिंग
RADIUS सर्वर समझौता निम्न गंभीर एडमिन एक्सेस के लिए MFA, नेटवर्क सेगमेंटेशन

ROI और व्यावसायिक प्रभाव

जोखिम का परिमाणीकरण

उल्लंघन लागतों के विरुद्ध तैयार किए जाने पर RADIUS हार्डनिंग के लिए वित्तीय मामला सीधा है। 2024 में यूके में डेटा उल्लंघन की औसत लागत £3.58 मिलियन थी, जिसमें विनियामक जुर्माना, सुधार, कानूनी लागत और प्रतिष्ठित क्षति शामिल है। PCI DSS स्कोप वाले संगठनों के लिए — जिसमें वस्तुतः हर Retail और Hospitality ऑपरेटर शामिल है जो WiFi पर कार्ड भुगतान संसाधित करता है — एक नेटवर्क एक्सेस कंट्रोल उल्लंघन जो कार्डधारक डेटा को उजागर करता है, अनिवार्य फोरेंसिक जांच, संभावित कार्ड योजना जुर्माना, और कार्ड प्रसंस्करण विशेषाधिकारों के संभावित निलंबन को ट्रिगर करता है।

Healthcare संगठनों के लिए, एक समझौता किए गए RADIUS सर्वर के माध्यम से एक्सेस किए गए रोगी डेटा से जुड़े GDPR उल्लंघन पर अनुच्छेद 83(5) के तहत वैश्विक वार्षिक कारोबार के 4% तक का जुर्माना लगता है। ICO का प्रवर्तन रिकॉर्ड दर्शाता है कि नेटवर्क सुरक्षा विफलताओं को तकनीकी दुर्घटनाओं के बजाय लापरवाही माना जाता है।

कार्यान्वयन लागत बेंचमार्क

निम्नलिखित लागत अनुमान 500-डिवाइस एंटरप्राइज़ एस्टेट के लिए सांकेतिक हैं:

हार्डनिंग गतिविधि अनुमानित लागत समयरेखा
पैचिंग (FreeRADIUS / NPS / ISE) केवल आंतरिक श्रम 1–2 सप्ताह
शेयर्ड सीक्रेट ऑडिट और रोटेशन आंतरिक श्रम + सीक्रेट्स मैनेजर लाइसेंस (~£2,000/वर्ष) 2–4 सप्ताह
EAP-TLS PKI परिनियोजन £15,000–£30,000 (टूलिंग + पेशेवर सेवाएँ) 2–3 महीने
RadSec कार्यान्वयन आंतरिक श्रम + सर्टिफिकेट लागत (~£1,500) 4–6 सप्ताह
SIEM एकीकरण और अलर्टिंग मौजूदा SIEM पर निर्भर; £0–£10,000 4–8 सप्ताह

मध्यम आकार के एस्टेट के लिए कुल हार्डनिंग निवेश: लगभग £20,000–£45,000। £3.58 मिलियन के उल्लंघन लागत बेसलाइन के विरुद्ध, कम उल्लंघन संभावना अनुमानों पर भी जोखिम-समायोजित ROI सम्मोहक है।

सुरक्षा से परे परिचालन लाभ

एक कठोर RADIUS इंफ्रास्ट्रक्चर परिचालन लाभ भी प्रदान करता है। विश्वसनीय, अच्छी तरह से मॉनिटर किया गया ऑथेंटिकेशन WiFi कनेक्टिविटी से संबंधित हेल्पडेस्क टिकटों को कम करता है। RADIUS अकाउंटिंग डेटा, जब WiFi Analytics के साथ एकीकृत होता है, नेटवर्क उपयोग पैटर्न, ड्वेल टाइम और डिवाइस प्रकारों में सेशन-स्तरीय दृश्यता प्रदान करता है — ऐसा डेटा जिसका Hospitality और Transport वातावरण में वेन्यू ऑपरेटरों के लिए सीधा व्यावसायिक मूल्य है।

सार्वजनिक क्षेत्र और Healthcare संगठनों के लिए, एक प्रलेखित RADIUS हार्डनिंग कार्यक्रम Cyber Essentials Plus, ISO 27001, और NHS DSPT आकलनों के लिए तकनीकी नियंत्रणों का प्रमाण प्रदान करता है — ऑडिट ओवरहेड को कम करता है और नियामकों को उचित परिश्रम प्रदर्शित करता है।

मुख्य परिभाषाएं

RADIUS (Remote Authentication Dial-In User Service)

RFC 2865 में परिभाषित एक क्लाइंट-सर्वर प्रोटोकॉल जो नेटवर्क एक्सेस के लिए केंद्रीकृत ऑथेंटिकेशन, ऑथराइज़ेशन और अकाउंटिंग (AAA) प्रदान करता है। RADIUS सर्वर Active Directory या LDAP जैसे बैकएंड आइडेंटिटी स्टोर के विरुद्ध नेटवर्क डिवाइस (NAS) द्वारा सबमिट किए गए क्रेडेंशियल्स को मान्य करते हैं।

IT टीमों का सामना 802.1X WiFi, वायर्ड पोर्ट ऑथेंटिकेशन, VPN एक्सेस और नेटवर्क डिवाइस प्रबंधन के लिए ऑथेंटिकेशन बैकएंड के रूप में RADIUS से होता है। यह वह प्रोटोकॉल है जो यह तय करता है कि नेटवर्क पर कौन आएगा।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए एक IEEE मानक जो LAN (EAPOL) पर EAP के एनकैप्सुलेशन को परिभाषित करता है। यह वायर्ड और वायरलेस दोनों नेटवर्कों के लिए एक ऑथेंटिकेशन फ्रेमवर्क प्रदान करता है, जिसके लिए उपकरणों को नेटवर्क एक्सेस दिए जाने से पहले ऑथेंटिकेट करने की आवश्यकता होती है।

802.1X वह मानक है जो एंटरप्राइज़ WiFi ऑथेंटिकेशन को काम करने लायक बनाता है। जब कोई स्टाफ सदस्य किसी कॉर्पोरेट SSID से जुड़ता है और उसे क्रेडेंशियल्स के लिए संकेत दिया जाता है, तो 802.1X वह फ्रेमवर्क है जो उस एक्सचेंज को ऑर्केस्ट्रेट करता है, जिसमें RADIUS बैकएंड के रूप में होता है।

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

एक EAP मेथड जो क्लाइंट और RADIUS सर्वर के बीच म्यूचुअल ऑथेंटिकेशन के लिए X.509 सर्टिफिकेट का उपयोग करती है। दोनों पक्षों को वैध सर्टिफिकेट प्रस्तुत करने होंगे, जिससे ऑथेंटिकेशन एक्सचेंज से पासवर्ड पूरी तरह समाप्त हो जाएंगे।

EAP-TLS एंटरप्राइज़ WiFi ऑथेंटिकेशन के लिए स्वर्ण मानक है। यह क्रेडेंशियल फ़िशिंग और ब्रूट-फ़ोर्स हमलों से प्रतिरक्षित है। परिचालन आवश्यकता क्लाइंट सर्टिफिकेट जारी करने और प्रबंधित करने के लिए एक PKI इंफ्रास्ट्रक्चर है।

RadSec (RADIUS over TLS)

RFC 6614 में परिभाषित एक प्रोटोकॉल जो TCP पोर्ट 2083 पर TLS सेशन के भीतर RADIUS पैकेट को एनकैप्सुलेट करता है। यह RADIUS ट्रैफ़िक के लिए ट्रांसपोर्ट-लेयर एन्क्रिप्शन, म्यूचुअल सर्टिफिकेट ऑथेंटिकेशन और रीप्ले सुरक्षा प्रदान करता है।

किसी भी RADIUS ट्रैफ़िक के लिए RadSec आवश्यक है जो एक अविश्वसनीय नेटवर्क सीमा को पार करता है — WAN लिंक, इंटरनेट कनेक्शन, या साझा नेटवर्क इंफ्रास्ट्रक्चर। यह मल्टी-साइट परिनियोजन में UDP पर मानक RADIUS के लिए सही प्रतिस्थापन है।

BlastRADIUS (CVE-2024-3596)

जुलाई 2024 में सामने आया एक मैन-इन-द-मिडिल हमला जो RADIUS Access-Request पैकेट पर इंटीग्रिटी सुरक्षा की अनुपस्थिति का फायदा उठाता है। MD5 चोज़न-प्रीफ़िक्स कोलिजन तकनीकों का उपयोग करके, एक हमलावर Access-Accept प्रतिक्रिया को जाली बना सकता है, जिससे एक अनधिकृत उपयोगकर्ता को नेटवर्क एक्सेस मिल सकता है।

BlastRADIUS FreeRADIUS, Cisco ISE और Microsoft NPS सहित सभी प्रमुख RADIUS कार्यान्वयनों को प्रभावित करता है। जिन संगठनों ने जुलाई 2024 में जारी पैच लागू नहीं किए हैं, वे इस हमले के प्रति संवेदनशील बने हुए हैं।

Message-Authenticator

एक RADIUS एट्रिब्यूट (एट्रिब्यूट 80) जो संपूर्ण RADIUS पैकेट पर HMAC-MD5 इंटीग्रिटी सुरक्षा प्रदान करता है। जब यह Access-Request में मौजूद होता है, तो यह BlastRADIUS में उपयोग किए जाने वाले पैकेट संशोधन हमले को रोकता है।

सभी Access-Request पैकेटों पर Message-Authenticator लागू करना BlastRADIUS के लिए प्राथमिक उपाय है। इसे RADIUS सर्वर (एट्रिब्यूट की आवश्यकता के लिए) और NAS डिवाइस (अनुरोधों में एट्रिब्यूट शामिल करने के लिए) दोनों पर कॉन्फ़िगर किया जाना चाहिए।

NAS (Network Access Server)

RADIUS शब्दावली में, NAS वह नेटवर्क डिवाइस है — आमतौर पर एक WiFi एक्सेस पॉइंट, स्विच, या VPN कंसंट्रेटर — जो RADIUS क्लाइंट के रूप में कार्य करता है। यह एंड डिवाइस से कनेक्शन अनुरोधों को इंटरसेप्ट करता है और RADIUS सर्वर को ऑथेंटिकेशन अनुरोध अग्रेषित करता है।

NAS डिवाइस एक परिनियोजन में RADIUS क्लाइंट होते हैं। शेयर्ड सीक्रेट्स प्रति-NAS कॉन्फ़िगर किए जाते हैं। BlastRADIUS सुधार के लिए NAS उपकरणों पर फ़र्मवेयर अपडेट के साथ-साथ RADIUS सर्वर पर पैच की आवश्यकता होती है।

PEAP (Protected Extensible Authentication Protocol)

एक EAP मेथड जो आंतरिक ऑथेंटिकेशन मेथड (आमतौर पर MSCHAPv2) को ट्रांसमिट करने से पहले सर्वर-साइड सर्टिफिकेट का उपयोग करके एक TLS टनल स्थापित करती है। यह म्यूचुअल ऑथेंटिकेशन प्रदान करती है और क्रेडेंशियल्स को ईव्सड्रॉपिंग से बचाती है।

PEAP-MSCHAPv2 सबसे व्यापक रूप से तैनात एंटरप्राइज़ WiFi ऑथेंटिकेशन मेथड है। यह PCI DSS के अनुरूप है और EAP-TLS की तुलना में परिचालन रूप से सरल है क्योंकि इसके लिए क्लाइंट सर्टिफिकेट की आवश्यकता नहीं होती है। हालाँकि, यदि क्लाइंट-साइड सर्टिफिकेट वैलिडेशन लागू नहीं किया जाता है तो यह दुष्ट RADIUS सर्वर हमलों के प्रति संवेदनशील है।

Shared Secret

RADIUS सर्वर और प्रत्येक NAS डिवाइस दोनों पर कॉन्फ़िगर की गई एक प्री-शेयर्ड कुंजी। इसका उपयोग रिस्पॉन्स ऑथेंटिकेटर फ़ील्ड उत्पन्न करने और User-Password एट्रिब्यूट को अस्पष्ट करने के लिए किया जाता है। यह अंतिम उपयोगकर्ताओं के लिए पासवर्ड नहीं है — यह एक सर्वर-टू-सर्वर ऑथेंटिकेशन क्रेडेंशियल है।

कमज़ोर या स्थिर शेयर्ड सीक्रेट्स सबसे आम RADIUS कमजोरियों में से एक हैं। एक हमलावर जो RADIUS ट्रैफ़िक कैप्चर करता है, वह कमज़ोर शेयर्ड सीक्रेट के विरुद्ध ऑफ़लाइन ब्रूट-फ़ोर्स हमला कर सकता है। न्यूनतम अनुशंसित लंबाई 32 वर्ण है, जो बेतरतीब ढंग से उत्पन्न होती है।

PCI DSS (Payment Card Industry Data Security Standard)

कार्डधारक डेटा को संसाधित करने, संग्रहीत करने या ट्रांसमिट करने वाले संगठनों के लिए प्रमुख कार्ड योजनाओं (Visa, Mastercard, Amex) द्वारा अनिवार्य सुरक्षा मानकों का एक सेट। संस्करण 4.0, जो मार्च 2024 से प्रभावी है, में नेटवर्क एक्सेस कंट्रोल और मजबूत ऑथेंटिकेशन के लिए विशिष्ट आवश्यकताएं शामिल हैं।

WiFi-कनेक्टेड POS टर्मिनलों वाले रिटेल और हॉस्पिटैलिटी संगठन PCI DSS स्कोप में हैं। RADIUS सर्वर कमजोरियाँ जो कार्डधारक डेटा वातावरण में अनधिकृत नेटवर्क एक्सेस की अनुमति दे सकती हैं, एक सीधा अनुपालन जोखिम हैं।

हल किए गए उदाहरण

12 संपत्तियों वाला एक 350-कमरों का होटल समूह अपने प्रधान कार्यालय डेटा सेंटर में होस्ट किए गए एक केंद्रीकृत RADIUS सर्वर का उपयोग करता है। प्रत्येक संपत्ति एक साझा MPLS WAN पर जुड़ती है। एक सुरक्षा ऑडिट ने यह चिह्नित किया है कि WAN पर RADIUS ट्रैफ़िक अनएन्क्रिप्टेड है, शेयर्ड सीक्रेट्स 8-वर्ण के स्ट्रिंग हैं जो पाँच साल पहले प्रारंभिक परिनियोजन के दौरान सेट किए गए थे, और RADIUS सर्वर FreeRADIUS 3.0.21 चला रहा है। समूह अपने रेस्तरां और स्पा सुविधाओं में WiFi-कनेक्टेड POS टर्मिनलों के माध्यम से कार्ड भुगतान संसाधित करता है। सुधार प्राथमिकता और कार्यान्वयन अनुक्रम क्या है?

सुधार अनुक्रम को जोखिम की गंभीरता और कार्यान्वयन की गति के अनुसार क्रमबद्ध किया जाना चाहिए। चरण 1 (तत्काल, 72 घंटों के भीतर): FreeRADIUS को 3.2.5 या 3.0.27 पर पैच करें। यह BlastRADIUS को संबोधित करता है और डिफ़ॉल्ट रूप से Message-Authenticator लागू करता है। साथ ही, सभी 12 संपत्तियों में एक्सेस पॉइंट फ़र्मवेयर संस्करणों की जाँच करें और किसी भी NAS डिवाइस के लिए फ़र्मवेयर अपडेट शेड्यूल करें जो Message-Authenticator का समर्थन नहीं करते हैं। चरण 2 (सप्ताह 1–2): सभी शेयर्ड सीक्रेट्स को रोटेट करें। 12 संपत्ति NAS पंजीकरणों में से प्रत्येक के लिए openssl rand -base64 32 का उपयोग करके 32-वर्ण के रैंडम सीक्रेट्स उत्पन्न करें। HashiCorp Vault या समकक्ष में स्टोर करें। रोटेशन तिथि का दस्तावेजीकरण करें। चरण 3 (महीना 1–2): WAN पथ पर RadSec लागू करें। TCP 2083 पर RadSec कनेक्शन स्वीकार करने के लिए FreeRADIUS सर्वर को कॉन्फ़िगर करें। एक आंतरिक CA से प्रत्येक संपत्ति के NAS उपकरणों को TLS सर्टिफिकेट जारी करें। संपत्ति NAS IP रेंज से RADIUS सर्वर तक TCP 2083 की अनुमति देने के लिए फ़ायरवॉल नियमों को अपडेट करें। RadSec के चालू होने की पुष्टि होने के बाद WAN-फेसिंग इंटरफेस से UDP 1812/1813 को अक्षम करें। चरण 4 (महीना 2–3): PCI DSS-स्कोप वाले POS WiFi SSID के लिए, PEAP-MSCHAPv2 से EAP-TLS पर माइग्रेट करें। एक आंतरिक PKI (Microsoft ADCS या HashiCorp Vault PKI इंजन) तैनात करें। MDM के माध्यम से POS टर्मिनलों को क्लाइंट सर्टिफिकेट जारी करें। POS SSID के लिए EAP-TLS की आवश्यकता के लिए RADIUS नीति को अपडेट करें। चरण 5 (महीना 3): RADIUS अकाउंटिंग लॉग को SIEM में एकीकृत करें। विफल ऑथेंटिकेशन स्पाइक्स और सर्टिफिकेट समाप्ति के लिए अलर्ट कॉन्फ़िगर करें।

परीक्षक की टिप्पणी: यह परिदृश्य अधिकांश मल्टी-साइट हॉस्पिटैलिटी परिनियोजन का प्रतिनिधि है। मुख्य अंतर्दृष्टि यह है कि MPLS WAN, हालांकि सार्वजनिक इंटरनेट नहीं है, एक साझा नेटवर्क है जिसे पूरी तरह से विश्वसनीय नहीं माना जा सकता है — विशेष रूप से एक होटल समूह में जहाँ WAN को किसी तृतीय-पक्ष प्रदाता द्वारा प्रबंधित किया जा सकता है। इसलिए RadSec वैकल्पिक नहीं है। PCI DSS कोण महत्वपूर्ण है: WiFi पर POS टर्मिनल PCI DSS आवश्यकता 8.3 (मजबूत ऑथेंटिकेशन) और आवश्यकता 4.2.1 (ट्रांज़िट में डेटा के लिए मजबूत क्रिप्टोग्राफी) के दायरे में हैं। EAP-TLS दोनों को संतुष्ट करता है। अनुक्रमण पैचिंग को पहले प्राथमिकता देता है क्योंकि BlastRADIUS एक सक्रिय, शोषण योग्य भेद्यता है; अन्य हार्डनिंग चरण महत्वपूर्ण हैं लेकिन समान तत्काल जोखिम नहीं उठाते हैं। एक वैकल्पिक दृष्टिकोण — क्लाउड-होस्टेड RADIUS-as-a-Service पर माइग्रेट करना — पर विचार किया गया था लेकिन समूह के मौजूदा MPLS निवेश और 12 संपत्तियों को एक साथ माइग्रेट करने की जटिलता के कारण इस परिदृश्य के लिए अस्वीकार कर दिया गया था।

45 स्टोर वाली एक क्षेत्रीय रिटेल चेन स्टाफ WiFi के लिए WPA2-Personal (प्री-शेयर्ड की) और ग्राहक WiFi के लिए एक ओपन नेटवर्क का उपयोग करती है। IT निदेशक Active Directory के साथ एकीकृत RADIUS सर्वर के रूप में Microsoft NPS का उपयोग करके स्टाफ WiFi को 802.1X ऑथेंटिकेशन में माइग्रेट करना चाहता है। स्टोर में Aruba और Cisco एक्सेस पॉइंट का मिश्रण है। चेन PCI DSS स्कोप में है। उन्हें कौन सा आर्किटेक्चर तैनात करना चाहिए, और प्रमुख कॉन्फ़िगरेशन निर्णय क्या हैं?

अनुशंसित आर्किटेक्चर प्रारंभिक EAP मेथड के रूप में PEAP-MSCHAPv2 के साथ 802.1X है, जिसमें EAP-TLS के लिए एक प्रलेखित रोडमैप है। NPS सर्वर को केंद्रीय डेटा सेंटर में एक रिडंडेंट पेयर (प्राथमिक + द्वितीयक) में तैनात किया जाना चाहिए, जिसमें स्वचालित रूप से फेल ओवर करने के लिए एक्सेस पॉइंट्स पर RADIUS प्रॉक्सी कॉन्फ़िगरेशन हो। कॉन्फ़िगरेशन निर्णय: (1) NPS नेटवर्क पॉलिसी: PEAP-MSCHAPv2 के साथ स्टाफ SSID से मेल खाने वाली एक पॉलिसी बनाएँ, जिसके लिए AD सुरक्षा समूह (उदा., 'WiFi-Staff-Access') में समूह सदस्यता की आवश्यकता हो। री-ऑथेंटिकेशन को बाध्य करने के लिए सेशन टाइमआउट को 8 घंटे पर सेट करें। (2) सर्टिफिकेट: एक आंतरिक Microsoft ADCS CA से एक NPS सर्वर सर्टिफिकेट तैनात करें। ग्रुप पॉलिसी (Windows) और MDM (iOS/Android) के माध्यम से सभी स्टाफ उपकरणों पर रूट CA सर्टिफिकेट पुश करें। (3) सप्लिकेंट कॉन्फ़िगरेशन: ग्रुप पॉलिसी (Computer Configuration > Windows Settings > Security Settings > Wireless Network Policies) के माध्यम से Windows उपकरणों को कॉन्फ़िगर करें। iOS और Android उपकरणों के लिए, MDM प्रोफ़ाइल का उपयोग करें। सर्वर सर्टिफिकेट वैलिडेशन लागू करें — उपयोगकर्ताओं को मनमाने सर्टिफिकेट स्वीकार करने की अनुमति न दें। (4) एक्सेस पॉइंट कॉन्फ़िगरेशन: Aruba पर, Authentication > Servers के अंतर्गत RADIUS सर्वर को कॉन्फ़िगर करें। शेयर्ड सीक्रेट को 32-वर्ण के रैंडम स्ट्रिंग पर सेट करें। यदि Aruba फ़र्मवेयर इसका समर्थन करता है (AOS 8.9+) तो RadSec सक्षम करें। Cisco पर, Security > AAA > RADIUS के अंतर्गत कॉन्फ़िगर करें। (5) NPS लॉगिंग: SQL Server डेटाबेस में NPS अकाउंटिंग लॉगिंग सक्षम करें। PCI DSS अनुपालन के लिए न्यूनतम 90 दिनों की लॉग रिटेंशन अवधि कॉन्फ़िगर करें। (6) माइग्रेशन के बाद: स्टाफ SSID पर WPA2-Personal को अक्षम करें। इसे केवल सीक्रेट्स मैनेजर में संग्रहीत एक जटिल PSK के साथ ब्रेक-ग्लास SSID के रूप में बनाए रखें, जिसका उपयोग केवल तभी किया जाए जब NPS अनुपलब्ध हो।

परीक्षक की टिप्पणी: WPA2-Personal से 802.1X में माइग्रेशन रिटेल IT में सबसे आम सुरक्षा उत्थान परियोजनाओं में से एक है। इस परिदृश्य में मुख्य जोखिम मिश्रित एक्सेस पॉइंट एस्टेट है — Aruba और Cisco में अलग-अलग RADIUS क्लाइंट कॉन्फ़िगरेशन इंटरफेस हैं, और शेयर्ड सीक्रेट रोटेशन प्रक्रिया को प्रत्येक के लिए अलग से प्रबंधित किया जाना चाहिए। EAP-TLS के बजाय PEAP-MSCHAPv2 से शुरू करने का निर्णय व्यावहारिक है: यह PSK पर एक महत्वपूर्ण सुरक्षा सुधार प्रदान करते हुए PKI परिनियोजन जटिलता से बचाता है। EAP-TLS रोडमैप को MDM रोलआउट टाइमलाइन से जोड़ा जाना चाहिए — क्लाइंट सर्टिफिकेट परिनियोजन केवल तभी परिचालन रूप से संभव है जब सभी डिवाइस MDM-नामांकित हों। PCI DSS कोण NPS लॉगिंग आवश्यकता को पुष्ट करता है: PCI DSS आवश्यकता 10.2.1 कार्डधारक डेटा तक सभी व्यक्तिगत उपयोगकर्ता पहुँच की लॉगिंग को अनिवार्य करती है, जिसमें नेटवर्क एक्सेस इवेंट शामिल हैं।

अभ्यास प्रश्न

Q1. आपका संगठन एकल-साइट परिसर में 800 स्टाफ उपकरणों के लिए 802.1X ऑथेंटिकेशन का समर्थन करने वाला FreeRADIUS 3.0.21 सर्वर चलाता है। RADIUS सर्वर सभी एक्सेस पॉइंट्स के समान प्रबंधन VLAN पर है। एक पेनेट्रेशन टेस्ट ने पहचान की है कि एक्सेस पॉइंट Message-Authenticator एट्रिब्यूट के बिना Access-Request पैकेट भेज रहे हैं। सुरक्षा टीम तुरंत Message-Authenticator लागू करना चाहती है, लेकिन नेटवर्क संचालन टीम 800 उपयोगकर्ताओं के लिए ऑथेंटिकेशन टूटने को लेकर चिंतित है। सेवा व्यवधान को कम करने के लिए आप सुधार को कैसे अनुक्रमित करते हैं?

संकेत: RADIUS सर्वर द्वारा Message-Authenticator की आवश्यकता और NAS उपकरणों द्वारा इसे भेजने के बीच के अंतर पर विचार करें। ये अलग-अलग जोखिम प्रोफाइल वाले दो अलग-अलग कॉन्फ़िगरेशन परिवर्तन हैं।

मॉडल उत्तर देखें

सही अनुक्रम है: (1) सबसे पहले, FreeRADIUS को 3.2.5 पर पैच करें। यह संस्करण डिफ़ॉल्ट रूप से Message-Authenticator लागू करता है लेकिन इसमें एक संगतता मोड शामिल है जो एट्रिब्यूट की कमी वाले पैकेटों को अस्वीकार करने के बजाय एक चेतावनी लॉग करता है। यह आपको तुरंत ऑथेंटिकेशन तोड़े बिना पैच देता है। (2) एक्सेस पॉइंट फ़र्मवेयर संस्करणों का ऑडिट करें। पहचानें कि कौन से मॉडल और फ़र्मवेयर संस्करण Access-Request पैकेट में Message-Authenticator का समर्थन करते हैं। (3) 50 उपकरणों के पायलट समूह से शुरू करते हुए, बैचों में एक्सेस पॉइंट फ़र्मवेयर अपडेट करें। सत्यापित करें कि प्रत्येक बैच के बाद ऑथेंटिकेशन काम करना जारी रखता है। (4) एक बार जब सभी एक्सेस पॉइंट्स के Message-Authenticator भेजने की पुष्टि हो जाती है, तो FreeRADIUS सर्वर पर सख्त प्रवर्तन सक्षम करें (clients.conf में require_message_authenticator = yes)। (5) किसी भी शेष 'Message-Authenticator missing' चेतावनियों के लिए RADIUS लॉग की निगरानी करें, जो उन NAS उपकरणों को इंगित करेगा जो फ़र्मवेयर अपडेट से चूक गए थे। मुख्य सिद्धांत यह है कि आप कुछ भी तोड़े बिना पहले सर्वर को पैच कर सकते हैं, क्योंकि संगतता मोड एक संक्रमण अवधि की अनुमति देता है। सर्वर पर सख्त अस्वीकृति लागू करना अंतिम चरण होना चाहिए, सभी NAS उपकरणों के अपडेट होने के बाद।

Q2. एक सम्मेलन केंद्र ऑपरेटर कॉर्पोरेट स्टाफ SSID (PEAP-MSCHAPv2 के साथ 802.1X) और इवेंट गेस्ट WiFi (MAC ऑथेंटिकेशन बायपास के साथ Captive Portal) दोनों का समर्थन करने वाला एक एकल RADIUS सर्वर चलाता है। IT प्रबंधक पूछता है कि क्या गेस्ट WiFi RADIUS इंस्टेंस को कॉर्पोरेट RADIUS इंस्टेंस के समान मानक पर हार्डन करने की आवश्यकता है, यह देखते हुए कि गेस्ट कॉर्पोरेट क्रेडेंशियल्स के साथ ऑथेंटिकेट नहीं कर रहे हैं। आपकी क्या सिफ़ारिश है?

संकेत: MAC ऑथेंटिकेशन बायपास बनाम EAP-आधारित ऑथेंटिकेशन पर लागू होने वाले अटैक वेक्टर्स और गेस्ट और कॉर्पोरेट RADIUS इंस्टेंस के बीच लेटरल मूवमेंट के जोखिम पर विचार करें।

मॉडल उत्तर देखें

गेस्ट WiFi RADIUS इंस्टेंस को हार्डनिंग की आवश्यकता होती है, लेकिन विशिष्ट नियंत्रण कॉर्पोरेट इंस्टेंस से भिन्न होते हैं। BlastRADIUS पैच समान रूप से लागू होता है — भेद्यता RADIUS सर्वर को प्रभावित करती है, भले ही क्लाइंट्स द्वारा उपयोग की जाने वाली ऑथेंटिकेशन मेथड कुछ भी हो। शेयर्ड सीक्रेट हाइजीन समान रूप से लागू होती है — गेस्ट Captive Portal कंट्रोलर और RADIUS सर्वर के बीच एक कमज़ोर शेयर्ड सीक्रेट शोषण योग्य है, भले ही EAP उपयोग में हो या नहीं। मुख्य अतिरिक्त जोखिम साझा RADIUS सर्वर है: यदि गेस्ट और कॉर्पोरेट SSID ऑथेंटिकेशन अनुरोधों को एक ही RADIUS सर्वर प्रक्रिया द्वारा नियंत्रित किया जाता है, तो गेस्ट RADIUS पथ में भेद्यता का उपयोग कॉर्पोरेट ऑथेंटिकेशन नीति में पिवट करने के लिए किया जा सकता है। अनुशंसित आर्किटेक्चर गेस्ट और कॉर्पोरेट ऑथेंटिकेशन के लिए अलग-अलग RADIUS इंस्टेंस (या कम से कम FreeRADIUS के भीतर अलग-अलग वर्चुअल सर्वर) चलाना है, जिसमें अलग-अलग शेयर्ड सीक्रेट्स और अलग-अलग पॉलिसी सेट हों। यह अलगाव प्रदान करता है ताकि गेस्ट RADIUS पथ का समझौता कॉर्पोरेट क्रेडेंशियल्स को उजागर न करे। विशेष रूप से गेस्ट इंस्टेंस के लिए: BlastRADIUS के लिए पैच करें, शेयर्ड सीक्रेट्स को रोटेट करें, और सुनिश्चित करें कि गेस्ट RADIUS इंस्टेंस की कॉर्पोरेट Active Directory तक कोई पहुँच नहीं है। Captive Portal परिनियोजन के लिए EAP-TLS और RadSec आवश्यकताएँ कम प्रासंगिक हैं, लेकिन यदि Captive Portal कंट्रोलर RADIUS सर्वर से भिन्न नेटवर्क सेगमेंट में है तो RadSec पर अभी भी विचार किया जाना चाहिए।

Q3. एक हेल्थकेयर ट्रस्ट अपने क्लिनिकल WiFi को WPA2-Personal से 802.1X ऑथेंटिकेशन में माइग्रेट करने की योजना बना रहा है। ट्रस्ट के पास 1,200 क्लिनिकल डिवाइस हैं जिनमें Windows लैपटॉप, iOS टैबलेट और Android हैंडहेल्ड शामिल हैं। CISO लक्ष्य स्थिति के रूप में EAP-TLS चाहता है। IT निदेशक PKI परिनियोजन जटिलता के बारे में चिंतित है और एक स्थायी समाधान के रूप में PEAP-MSCHAPv2 का प्रस्ताव करता है। आप CISO और IT निदेशक को कैसे सलाह देते हैं, और अनुशंसित कार्यान्वयन मार्ग क्या है?

संकेत: हेल्थकेयर वातावरण के लिए विशिष्ट थ्रेट मॉडल पर विचार करें — क्रेडेंशियल समझौते के परिणाम क्या हैं, और EAP-TLS उन जोखिमों को कैसे संबोधित करता है जो PEAP-MSCHAPv2 नहीं करता है?

मॉडल उत्तर देखें

CISO की वृत्ति सही है, लेकिन IT निदेशक की चिंता वैध है। अनुशंसित सलाह है: EAP-TLS के लिए प्रतिबद्ध 12-महीने के रोडमैप के साथ, एक अंतरिम स्थिति के रूप में अभी PEAP-MSCHAPv2 लागू करें। हेल्थकेयर में स्थायी समाधान के रूप में PEAP-MSCHAPv2 को स्वीकार न करने का तर्क है: (1) PEAP-MSCHAPv2 दुष्ट RADIUS सर्वर हमलों के प्रति संवेदनशील है यदि क्लाइंट-साइड सर्टिफिकेट वैलिडेशन लागू नहीं किया जाता है। एक हेल्थकेयर वातावरण में जहाँ क्लिनिकल कर्मचारी व्यक्तिगत उपकरणों को कनेक्ट कर सकते हैं, 1,200 उपकरणों में लगातार सप्लिकेंट कॉन्फ़िगरेशन लागू करना परिचालन रूप से चुनौतीपूर्ण है। (2) MSCHAPv2 क्रेडेंशियल्स, यदि किसी दुष्ट RADIUS हमले के माध्यम से कैप्चर किए जाते हैं, तो हैशकैट जैसे टूल का उपयोग करके ऑफ़लाइन क्रैक किए जा सकते हैं। हेल्थकेयर संदर्भ में, वे क्रेडेंशियल्स संभवतः क्लिनिकल सिस्टम तक पहुँच भी प्रदान करते हैं। (3) NHS DSPT और CQC आकलन तेजी से क्लिनिकल नेटवर्क एक्सेस के लिए मजबूत ऑथेंटिकेशन नियंत्रण की उम्मीद करते हैं। EAP-TLS एक मजबूत ऑडिट साक्ष्य स्थिति प्रदान करता है। कार्यान्वयन मार्ग: महीना 1-2: सभी 1,200 उपकरणों पर MDM प्रोफाइल के माध्यम से लागू सर्वर सर्टिफिकेट वैलिडेशन के साथ PEAP-MSCHAPv2 तैनात करें। महीना 3-6: PKI इंफ्रास्ट्रक्चर के रूप में Microsoft ADCS तैनात करें। ग्रुप पॉलिसी ऑटो-एनरोलमेंट के माध्यम से Windows उपकरणों को नामांकित करें। महीना 6-9: MDM सर्टिफिकेट प्रोफाइल के माध्यम से iOS और Android उपकरणों को नामांकित करें। महीना 9-12: क्लिनिकल SSID पॉलिसी को PEAP से EAP-TLS में माइग्रेट करें। उन्नत मॉनिटरिंग के साथ, सर्टिफिकेट नामांकन में विफल रहने वाले किसी भी उपकरण के लिए फ़ॉलबैक के रूप में PEAP को बनाए रखें। क्लिनिकल नेटवर्क सुरक्षा आर्किटेक्चर पर अधिक जानकारी के लिए, WiFi in Hospitals guide प्रासंगिक परिनियोजन संदर्भ प्रदान करता है।

इस श्रृंखला में आगे पढ़ें

Grandstream GWN एक्सेस पॉइंट्स का Purple WiFi के साथ एकीकरण

यह आधिकारिक तकनीकी संदर्भ गाइड विवरण प्रदान करती है कि Grandstream GWN एक्सेस पॉइंट्स को Purple के Guest WiFi और एनालिटिक्स प्लेटफॉर्म के साथ कैसे एकीकृत किया जाए। यह Grandstream कैप्टिव पोर्टल कॉन्फ़िगरेशन, RADIUS AAA सेटिंग्स, वॉल्ड गार्डन सेटअप, डायनेमिक VLAN स्टीयरिंग के साथ सुरक्षित स्टाफ 802.1X प्रमाणीकरण, और मल्टी-टेनेंट PPSK सेगमेंटेशन को कवर करती है - जो बड़े पैमाने पर गेस्ट और स्टाफ WiFi तैनात करने वाले MSPs और IT टीमों के लिए व्यावहारिक, चरण-दर-चरण मार्गदर्शन प्रदान करती है।

गाइड पढ़ें →

Cisco WLC और Catalyst एकीकरण Purple WiFi के साथ: चरण-दर-चरण अतिथि एक्सेस गाइड

यह गाइड Purple के साथ Cisco WLC और Catalyst 9800 वायरलेस के चरण-दर-चरण एकीकरण का विवरण देती है, जिसमें Central Web Authentication के माध्यम से Guest WiFi कैप्टिव पोर्टल रीडायरेक्शन, 802.1X EAP-TLS का उपयोग करके सुरक्षित Staff WiFi, और डायनेमिक VLAN असाइनमेंट के साथ Cisco Identity Pre-Shared Keys (iPSK) का उपयोग करके मल्टी-किरायेदार (Multi-Tenant) विभाजन शामिल है। यह हॉस्पिटैलिटी, रिटेल और बड़े सार्वजनिक स्थानों में Cisco इन्फ्रास्ट्रक्चर को तैनात करने वाले एंटरप्राइज़ नेटवर्क आर्किटेक्ट्स और IT सुरक्षा निदेशकों के लिए लिखी गई है।

गाइड पढ़ें →

स्टाफ WiFi नियम और शर्तें: कानूनी और अनुपालन संबंधी आवश्यक बातें

यह गाइड एंटरप्राइज वेन्यू के लिए स्टाफ WiFi नियमों और शर्तों का मसौदा तैयार करने और उन्हें लागू करने की कानूनी और तकनीकी आवश्यकताओं को कवर करती है। यह विवरण देती है कि स्वीकार्य उपयोग नीति (AUP) में क्या शामिल किया जाए, GDPR और PCI-DSS आवश्यकताओं को कैसे पूरा किया जाए, और कॉर्पोरेट संपत्तियों की सुरक्षा के लिए पहचान-आधारित प्रमाणीकरण और नेटवर्क सेगमेंटेशन को कैसे तैनात किया जाए। होटलों, रिटेल श्रृंखलाओं, स्टेडियमों और सार्वजनिक क्षेत्र के संगठनों के IT प्रबंधकों, HR टीमों और संचालन निदेशकों को व्यावहारिक मार्गदर्शन मिलेगा जिसे वे इस तिमाही में लागू कर सकते हैं।

गाइड पढ़ें →