मुख्य सामग्री पर जाएं
हिन्दी

RADIUS Vulnerabilities को कम करना: एक Security Hardening Guide

यह गाइड हॉस्पिटैलिटी, रिटेल, इवेंट्स और सार्वजनिक क्षेत्र के वातावरण में एंटरप्राइज़ WiFi इन्फ्रास्ट्रक्चर के लिए जिम्मेदार IT प्रबंधकों, नेटवर्क आर्किटेक्ट्स और CTOs के लिए एक व्यापक, व्यावहारिक संदर्भ प्रदान करती है। यह RADIUS सर्वर डिप्लॉयमेंट के पूरे अटैक सरफेस को कवर करती है - MD5 कोलिजन कमजोरियों और कमजोर शेयर्ड सीक्रेट्स से लेकर अनएन्क्रिप्टेड UDP ट्रांसपोर्ट और गलत तरीके से कॉन्फ़िगर किए गए EAP तरीकों तक - और IEEE 802.1X, PCI-DSS और GDPR आवश्यकताओं के अनुरूप एक प्राथमिकता वाली हार्डनिंग रोडमैप प्रदान करती है। इन सिफारिशों को लागू करने वाले संगठन क्रेडेंशियल-आधारित नेटवर्क हमलों के प्रति अपने जोखिम को काफी कम करेंगे, अनुपालन दायित्वों को पूरा करेंगे, और अपने गेस्ट और कॉर्पोरेट WiFi इन्फ्रास्ट्रक्चर के लिए एक मजबूत सुरक्षा स्थिति का निर्माण करेंगे।

Published
📖 12 मिनट का पाठ3,274 शब्द2 हल किए गए उदाहरण3 अभ्यास प्रश्न10 मुख्य परिभाषाएं

Video overview

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
MITIGATING RADIUS VULNERABILITIES: A SECURITY HARDENING GUIDE Purple WiFi की एक इंटेलिजेंस ब्रीफिंग [प्रस्तावना — लगभग 1 मिनट] आपका स्वागत है। आज की ब्रीफिंग के लिए मैं आपका होस्ट हूँ, और अगले दस मिनटों में हम सीधे उस विषय पर बात करेंगे जो कई नेटवर्क आर्किटेक्ट्स और IT प्रबंधकों की रातों की नींद हराम कर देता है: RADIUS सर्वर सुरक्षा। यदि आप किसी होटल एस्टेट, रिटेल चेन, स्टेडियम या सार्वजनिक क्षेत्र की इमारत में एंटरप्राइज WiFi चला रहे हैं, तो आपका RADIUS इन्फ्रास्ट्रक्चर आपकी सुरक्षा स्थिति में सबसे महत्वपूर्ण - और सबसे अधिक अनदेखा किया जाने वाला - घटक है। आइए इसे विस्तार से समझते हैं। [संदर्भ — लगभग 1 मिनट] RADIUS - रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस - नब्बे के दशक के मध्य से नेटवर्क एक्सेस कंट्रोल की रीढ़ रहा है। यह वह प्रोटोकॉल है जो आपके एक्सेस पॉइंट्स और आपकी आइडेंटिटी डायरेक्टरी के बीच बैठता है, और यह तय करता है कि नेटवर्क पर किसे एक्सेस मिलेगा और किसे नहीं। IEEE 802.1X, जो लगभग हर एंटरप्राइज WiFi और वायर्ड ऑथेंटिकेशन डिप्लॉयमेंट को सपोर्ट करता है, काम करने के लिए RADIUS पर निर्भर करता है। समस्या यह है कि RADIUS को उस दौर में डिजाइन किया गया था जब साइबर खतरों का परिदृश्य बहुत अलग था। यह प्रोटोकॉल UDP का उपयोग करता है, जो कनेक्शनलेस है और इसलिए इसे सुरक्षित करना अधिक कठिन है। इसका मुख्य ऑथेंटिकेशन मैकेनिज्म ऐतिहासिक रूप से MD5 हैशिंग पर निर्भर रहा है - एक क्रिप्टोग्राफिक एल्गोरिदम जो 2004 से स्पष्ट रूप से टूटा हुआ साबित हो चुका है। और शेयर्ड सीक्रेट्स (shared secrets), यानी वे प्री-शेयर्ड कीज (pre-shared keys) जो आपके एक्सेस पॉइंट्स को आपके RADIUS सर्वर पर ऑथेंटिकेट करती हैं, अक्सर एक बार सेट कर दी जाती हैं और उन्हें कभी बदला नहीं जाता। 2024 में, शोधकर्ताओं ने RADIUS के खिलाफ एक व्यावहारिक हमले का खुलासा किया जिसे BlastRADIUS कहा गया - यह एक मैन-इन-द-मिडल हमला है जो ऑथेंटिकेशन रिस्पॉन्स को फर्जी बनाने के लिए MD5 संवेदनशीलता का फायदा उठाता है। यह केवल सैद्धांतिक नहीं है। यह एक वास्तविक, प्रलेखित हमला है जो बिना पैच वाले FreeRADIUS, Cisco ISE, और Microsoft NPS चलाने वाले डिप्लॉयमेंट्स को प्रभावित करता है। यदि आपने मध्य-2024 से पैच नहीं किया है, तो आप पर खतरा मंडरा रहा है। व्यावसायिक स्तर पर इसका जोखिम बहुत बड़ा है। एक समझौता किए गए RADIUS सर्वर का मतलब केवल अनधिकृत WiFi एक्सेस नहीं है। इसका मतलब है कि कोई हमलावर आपके नेटवर्क पर किसी भी उपयोगकर्ता के रूप में खुद को ऑथेंटिकेट कर सकता है, नेटवर्क सेगमेंटेशन को बायपास कर सकता है, और संभावित रूप से भुगतान प्रणालियों, रोगी के रिकॉर्ड या परिचालन तकनीक तक पहुंच सकता है। कार्ड भुगतान प्रोसेस करने वाले रिटेल वातावरण के लिए, यह सीधे तौर पर PCI DSS का उल्लंघन है। स्वास्थ्य सेवा के लिए, यह GDPR और नैदानिक प्रशासन (clinical governance) का मुद्दा है। हॉस्पिटैलिटी के लिए, यह ब्रांड की प्रतिष्ठा को नुकसान और संभावित नियामक जुर्माना है। [तकनीकी गहरा विश्लेषण — लगभग 5 मिनट] आइए इस हमले के दायरे को व्यवस्थित रूप से समझते हैं। पहला संवेदनशीलता वर्ग MD5 टकराव का जोखिम है। RADIUS User-Password एट्रिब्यूट को सुरक्षित करने और Response Authenticator फ़ील्ड जेनरेट करने के लिए MD5 का उपयोग करता है। MD5 एक 128-बिट हैश उत्पन्न करता है, और टकराव के हमले - जहाँ दो अलग-अलग इनपुट एक ही हैश उत्पन्न करते हैं - 2004 से व्यवहार्य हैं। BlastRADIUS हमला विशेष रूप से Access-Request पैकेटों पर अखंडता सुरक्षा की कमी का फायदा उठाता है। आपके NAS डिवाइस - जो आपका नेटवर्क एक्सेस सर्वर है, आमतौर पर आपका एक्सेस पॉइंट या स्विच - और आपके RADIUS सर्वर के बीच मौजूद एक हमलावर पैकेट में एक विशेष रूप से तैयार किया गया एट्रिब्यूट इंजेक्ट कर सकता है और सर्वर को अमान्य क्रेडेंशियल के लिए भी Access-Accept वापस करने के लिए मजबूर कर सकता है। इसका समाधान दोहरा है: अपने RADIUS सर्वर को नवीनतम संस्करण में पैच करें, और सभी Access-Request पैकेटों पर Message-Authenticator लागू करें। FreeRADIUS 3.2.5 और उसके बाद के संस्करणों में डिफ़ॉल्ट रूप से इसकी आवश्यकता होती है। दूसरा संवेदनशीलता वर्ग कमजोर या स्थिर साझा रहस्य (shared secrets) हैं। साझा रहस्य आपके NAS और आपके RADIUS सर्वर के बीच की प्री-शेयर्ड की (key) है। यदि यह छोटी है, डिक्शनरी-अटैक के प्रति संवेदनशील है, या वर्षों से बदली नहीं गई है, तो यह एक जोखिम है। RADIUS इस रहस्य का उपयोग User-Password एट्रिब्यूट को एन्क्रिप्ट करने और Response Authenticator जेनरेट करने के लिए करता है। एक कमजोर साझा रहस्य का अर्थ है कि एक हमलावर जो RADIUS ट्रैफ़िक को कैप्चर करता है - जो कि उस नेटवर्क पर बहुत आसान है जिसे उन्होंने पहले से ही आंशिक रूप से प्रभावित किया हुआ है - वह ऑफ़लाइन पासवर्ड को ब्रूट-फ़ोर्स कर सकता है। सर्वोत्तम अभ्यास यह है कि न्यूनतम 32 वर्णों का उपयोग करें, जो रैंडम रूप से जेनरेट किए गए हों, और कम से कम सालाना बदले जाते हों। इस रोटेशन को स्वचालित करें; एक बड़े सेटअप में इसे मैन्युअल रूप से करना त्रुटियों की संभावना को बढ़ाता है। तीसरा संवेदनशीलता वर्ग अनएन्क्रिप्टेड ट्रांसपोर्ट है। मानक RADIUS प्रमाणीकरण के लिए पोर्ट 1812 पर और अकाउंटिंग के लिए 1813 पर UDP पर चलता है। UDP कोई ट्रांसपोर्ट-लेयर एन्क्रिप्शन, कोई अखंडता जाँच और कोई रीप्ले सुरक्षा प्रदान नहीं करता है जो RADIUS खुद लागू करता है - जो, जैसा कि हम स्थापित कर चुके हैं, अपर्याप्त है। RadSec, जिसे औपचारिक रूप से RFC 6614 में परिभाषित किया गया है, RADIUS को TCP पोर्ट 2083 पर TLS 1.2 या 1.3 में लपेटता है। यह प्रमाणपत्रों के माध्यम से पारस्परिक प्रमाणीकरण, RADIUS पेलोड का पूर्ण एन्क्रिप्शन और रीप्ले सुरक्षा प्रदान करता है। यदि आप किसी भी अविश्वसनीय नेटवर्क सेगमेंट में RADIUS चला रहे हैं - जिसमें रिमोट वेन्यू और सेंट्रल RADIUS सर्वर के बीच एक WAN लिंक भी शामिल है - तो RadSec वैकल्पिक नहीं है। यह एक आवश्यकता है। चौथी संवेदनशीलता श्रेणी EAP विधि चयन है। सभी EAP विधियां एक जैसी नहीं होती हैं। EAP-MD5 को अप्रचलित माना जाना चाहिए - यह कोई पारस्परिक प्रमाणीकरण और प्रमाणीकरण एक्सचेंज का कोई एन्क्रिप्शन प्रदान नहीं करता है। अधिकांश एंटरप्राइज डिप्लॉयमेंट के लिए PEAP और EAP-TTLS स्वीकार्य हैं, क्योंकि वे क्रेडेंशियल्स ट्रांसमिट करने से पहले एक TLS टनल स्थापित करते हैं, और वे सर्वर सर्टिफिकेट के माध्यम से पारस्परिक प्रमाणीकरण का समर्थन करते हैं। EAP-TLS गोल्ड स्टैंडर्ड है: इसमें सर्वर और क्लाइंट दोनों को सर्टिफिकेट प्रस्तुत करने की आवश्यकता होती है, जिससे प्रमाणीकरण एक्सचेंज से पासवर्ड पूरी तरह से समाप्त हो जाता है। यह इसे क्रेडेंशियल फ़िशिंग और ब्रूट-फोर्स हमलों से सुरक्षित बनाता है। क्लाइंट सर्टिफिकेट जारी करने के लिए PKI को डिप्लॉय करने का परिचालन ओवरहेड वास्तविक है, लेकिन उच्च-सुरक्षा वाले वातावरण - स्वास्थ्य सेवा नेटवर्क, भुगतान-प्रसंस्करण क्षेत्र, बैक-ऑफ़-हाउस रिटेल सिस्टम - के लिए यह सही निर्णय है। पांचवीं संवेदनशीलता श्रेणी अपर्याप्त लॉगिंग और मॉनिटरिंग है। RADIUS अकाउंटिंग डेटा खतरे का पता लगाने के लिए एक सोने की खान है, और अधिकांश संगठन इसका उपयोग नहीं कर रहे हैं। हर प्रमाणीकरण प्रयास, चाहे सफल हो या विफल, एक अकाउंटिंग रिकॉर्ड उत्पन्न करता है। विफल प्रमाणीकरण के पैटर्न, अप्रत्याशित MAC पतों से प्रमाणीकरण, या असामान्य समय पर प्रमाणीकरण सभी समझौते के संकेतक हैं। अपने RADIUS अकाउंटिंग स्ट्रीम को अपने SIEM में एकीकृत करें। साठ सेकंड के भीतर एक ही MAC पते से पांच से अधिक विफल प्रमाणीकरणों के लिए अलर्ट सेट करें। Access-Reject तूफानों की निगरानी करें, जो प्रगति पर क्रेडेंशियल-स्टफिंग हमले का संकेत दे सकते हैं। [कार्यान्वयन सिफारिशें और नुकसान - लगभग 2 मिनट] मैं आपको एक हार्डनिंग प्रोजेक्ट के लिए एक व्यावहारिक अनुक्रमण देता हूँ। पैचिंग से शुरुआत करें। यह गैर-परक्राम्य है और आपके अगले बदलाव विंडो के भीतर किया जाना चाहिए। FreeRADIUS, Cisco ISE, और Microsoft NPS सभी ने जुलाई 2024 में BlastRADIUS के लिए पैच जारी किए हैं। अपना संस्करण जांचें, पैच लागू करें, और सत्यापित करें कि Message-Authenticator प्रवर्तन सक्रिय है। इसके बाद, अपने साझा रहस्यों का ऑडिट करें। अपने RADIUS सर्वर पर पंजीकृत प्रत्येक NAS डिवाइस की सूची निकालें। प्रत्येक के लिए, साझा रहस्य की लंबाई और आयु की जांच करें। 20 वर्णों से कम या दो वर्ष से अधिक पुराने किसी भी रहस्य को तुरंत बदला जाना चाहिए। इन्हें प्रोग्रामेटिक रूप से स्टोर और रोटेट करने के लिए एक पासवर्ड मैनेजर या सीक्रेट वॉल्ट - यहाँ HashiCorp Vault अच्छी तरह से काम करता है - का उपयोग करें। तीसरा, अपनी EAP विधि का मूल्यांकन करें। यदि आप कहीं भी EAP-MD5 चला रहे हैं, तो अभी इससे दूर हो जाएं। अधिकांश एंटरप्राइज वातावरण के लिए PEAP-MSCHAPv2 एक उचित अंतरिम स्थिति है। यदि आपके पास PKI बुनियादी ढांचा है, तो EAP-TLS लक्षित स्थिति है। चौथा, अविश्वसनीय नेटवर्क खंडों से गुजरने वाले किसी भी RADIUS ट्रैफ़िक के लिए RadSec लागू करें। यह विशेष रूप से मल्टी-साइट डिप्लॉयमेंट के लिए प्रासंगिक है जहाँ एक केंद्रीय RADIUS सर्वर इंटरनेट या साझा WAN पर दूरस्थ स्थानों की सेवा करता है।पांचवां, RADIUS सर्वर पर विशेषाधिकार प्राप्त एक्सेस के लिए मल्टी-फैक्टर ऑथेंटिकेशन सक्षम करें। सर्वर का मैनेजमेंट इंटरफ़ेस एक उच्च-मूल्य वाला लक्ष्य है। सभी एडमिनिस्ट्रेटिव लॉगिन के लिए MFA लागू करें, और मैनेजमेंट एक्सेस को एक समर्पित आउट-ऑफ-बैंड मैनेजमेंट नेटवर्क तक सीमित करें। अब, कमियों के बारे में बात करते हैं। सबसे आम गलती जो मैं देखता हूँ वह यह है कि संगठन RADIUS सर्वर को तो पैच कर देते हैं लेकिन NAS डिवाइसेस को पुराने फ़र्मवेयर पर छोड़ देते हैं जो Message-Authenticator का समर्थन नहीं करता है। पैच केवल तभी प्रभावी होता है जब दोनों छोर इसे लागू करते हैं। अपने एक्सेस पॉइंट और स्विच फ़र्मवेयर का ऑडिट उसी प्रोजेक्ट के हिस्से के रूप में करें। दूसरी आम कमी सर्टिफिकेट की समय सीमा समाप्त होना (सर्टिफिकेट एक्सपायरी) है। यदि आप EAP-TLS या RadSec चला रहे हैं, तो आपके सर्टिफिकेट सक्रिय भूमिका में हैं। एक RADIUS सर्वर सर्टिफिकेट जिसकी समय सीमा चुपचाप समाप्त हो जाती है, वह आपके नेटवर्क पर प्रत्येक ऑथेंटिकेशन को एक साथ विफल कर देगा। अपने ऑपरेशनल रनबुक में सर्टिफिकेट एक्सपायरी मॉनिटरिंग को शामिल करें। एक्सपायरी से 90, 30 और 7 दिन पहले अलर्ट सेट करें। तीसरी कमी एक कम्पेनसेटिंग कंट्रोल के रूप में नेटवर्क सेगमेंटेशन पर अत्यधिक निर्भरता है। सेगमेंटेशन महत्वपूर्ण है, लेकिन यह उस हमलावर से रक्षा नहीं करता है जिसने पहले से ही एक समझौता किए गए RADIUS सर्वर के माध्यम से ऑथेंटिकेट कर लिया है। डिफेंस इन डेप्थ का मतलब है कि आपको सेगमेंटेशन के साथ-साथ RADIUS हार्डनिंग की भी आवश्यकता है। [रैपिड-फायर प्रश्नोत्तर — लगभग 1 मिनट] प्रश्न: यदि मेरा RADIUS सर्वर मेरे एक्सेस पॉइंट्स के समान LAN पर है तो क्या मुझे RadSec की आवश्यकता है? उत्तर: यदि वे बिना किसी अविश्वसनीय डिवाइस के समान विश्वसनीय, सेगमेंटेड मैनेजमेंट VLAN पर हैं, तो NAS-टू-सर्वर लेग के लिए UDP पर मानक RADIUS स्वीकार्य है। लेकिन यदि किसी समझौता किए गए डिवाइस से उस VLAN तक पहुंचने वाले लैटरल मूवमेंट की थोड़ी सी भी संभावना है, तो RadSec कम लागत पर सार्थक सुरक्षा जोड़ता है। प्रश्न: हम Microsoft NPS चला रहे हैं। क्या हम BlastRADIUS से प्रभावित हैं? उत्तर: हाँ। Microsoft ने जुलाई 2024 में एक पैच जारी किया था। इसे लागू करें। अपने NPS सर्वर पर RequireMessageAuthenticator रजिस्ट्री कुंजी भी लागू करें। प्रश्न: मैं गेस्ट WiFi को कैसे संभालूँ? गेस्ट्स के पास सर्टिफिकेट नहीं होते हैं। उत्तर: गेस्ट WiFi आमतौर पर 802.1X के बजाय Captive Portal मॉडल का उपयोग करता है, इसलिए RADIUS का उपयोग अलग तरीके से किया जाता है - अक्सर केवल MAC ऑथेंटिकेशन बाईपास या अकाउंटिंग के लिए। वही पैचिंग और शेयर्ड सीक्रेट हाइजीन यहाँ भी लागू होती है, लेकिन अन-ऑथेंटिकेटेड गेस्ट एक्सेस के लिए EAP-TLS प्रासंगिक नहीं है। कॉर्पोरेट RADIUS इन्फ्रास्ट्रक्चर से गेस्ट RADIUS इंस्टेंस को अलग करने पर ध्यान केंद्रित करें। प्रश्न: पूर्ण EAP-TLS माइग्रेशन के लिए ROI का मामला क्या है? उत्तर: अपने ब्रीच रिस्क के खिलाफ इसका आकलन करें। एक एकल PCI-DSS उल्लंघन के जुर्माने, समाधान और प्रतिष्ठा के नुकसान में औसतन चालीस लाख पाउंड खर्च होते हैं। 500-डिवाइस एस्टेट के लिए एक PKI डिप्लॉयमेंट में टूलिंग और प्रोफेशनल सर्विसेज में लगभग 15,000 से 30,000 पाउंड की लागत आती है। यह गणित बिल्कुल सीधा है। [सारांश और अगले कदम — लगभग 1 मिनट] मैं आपको इस तिमाही में करने के लिए पांच चीजें बता रहा हूँ। एक: BlastRADIUS के लिए अपने RADIUS सर्वर और सभी NAS डिवाइसेस को पैच करें। इसे सबसे पहले करें। दो: सभी शेयर्ड सीक्रेट्स का ऑडिट करें और उन्हें रोटेट करें। आगे बढ़ने के लिए रोटेशन को ऑटोमेट करें। तीन: सभी Access-Request पैकेटों पर Message-Authenticator लागू करें। चार: अविश्वसनीय नेटवर्क सीमाओं को पार करने वाले किसी भी RADIUS ट्रैफ़िक के लिए RadSec लागू करें। पांच: RADIUS अकाउंटिंग लॉग्स को अपने SIEM में एकीकृत करें और विसंगति अलर्ट सेट करें। RADIUS सुरक्षा ग्लैमरस नहीं है, लेकिन यह बुनियादी है। इन पांच चीजों को सही करें, और आपने अपने नेटवर्क एक्सेस कंट्रोल इन्फ्रास्ट्रक्चर के खिलाफ सबसे महत्वपूर्ण हमले के रास्तों को बंद कर दिया है। सुनने के लिए धन्यवाद। एंटरप्राइज WiFi सुरक्षा आर्किटेक्चर के बारे में अधिक जानने के लिए, purple.ai पर जाएं। यह एक Purple WiFi इंटेलिजेंस ब्रीफिंग थी।

हमारी मुख्य श्रृंखला का हिस्सा: एंटरप्राइज़ WiFi सुरक्षा गाइड →

RADIUS Vulnerabilities को कम करना: एक Security Hardening Guide

कार्यकारी सारांश

RADIUS (Remote Authentication Dial-In User Service) एंटरप्राइज WiFi डिप्लॉयमेंट में नेटवर्क एक्सेस कंट्रोल के लिए प्राथमिक प्रोटोकॉल बना हुआ है, जो होटलों, रिटेल स्टोर, स्टेडियमों, कॉन्फ्रेंस सेंटरों और सार्वजनिक क्षेत्र के भवनों में IEEE 802.1X ऑथेंटिकेशन का आधार है। फिर भी, RADIUS का आर्किटेक्चर 1990 के दशक का है, और इसके कई बुनियादी डिजाइन निर्णय - MD5 हैशिंग पर निर्भरता, बिना किसी मूल एन्क्रिप्शन के UDP ट्रांसपोर्ट, और स्टैटिक शेयर्ड सीक्रेट - वर्तमान थ्रेट वातावरण में महत्वपूर्ण जोखिम बन गए हैं।

जुलाई 2024 में, BlastRADIUS संवेदनशीलता (CVE-2024-3596) ने प्रदर्शित किया कि एक मैन-इन-द-मिडल हमलावर Access-Request पैकेटों में MD5 अखंडता कमजोरियों का फायदा उठाकर RADIUS Access-Accept प्रतिक्रियाओं को नकली बना सकता है। यह संवेदनशीलता प्रत्येक प्रमुख RADIUS कार्यान्वयन को प्रभावित करती है, जिसमें FreeRADIUS, Cisco ISE और Microsoft NPS शामिल हैं। बिना पैच वाले डिप्लॉयमेंट अभी भी जोखिम में हैं।

यह गाइड एक प्राथमिकता वाली हार्डनिंग रोडमैप प्रदान करती है जिसमें पैच प्रबंधन, शेयर्ड सीक्रेट हाइजीन, EAP विधि चयन, RadSec डिप्लॉयमेंट, प्रशासनिक पहुंच के लिए मल्टी-फैक्टर ऑथेंटिकेशन और विसंगति का पता लगाने के लिए SIEM एकीकरण शामिल है। यह उन IT पेशेवरों के लिए लिखी गई है जिन्हें अगली तिमाही नहीं, बल्कि इसी तिमाही में सुरक्षित निर्णय लेने की आवश्यकता है।

RADIUS Vulnerabilities को कम करना: एक Security Hardening Guide - radius architecture overview

तकनीकी गहन विश्लेषण

RADIUS कैसे काम करता है और यह कहाँ कमजोर है

RADIUS एक नेटवर्क एक्सेस सर्वर (NAS) - आमतौर पर एक WiFi एक्सेस पॉइंट, स्विच या VPN कॉन्सेंट्रेटर - और एक RADIUS सर्वर के बीच एक क्लाइंट-सर्वर प्रोटोकॉल के रूप में काम करता है, जो Active Directory या LDAP जैसे बैकएंड आइडेंटिटी स्टोर के खिलाफ क्रेडेंशियल्स को सत्यापित करता है। ऑथेंटिकेशन एक्सचेंज RFC 2865 में परिभाषित अनुरोध-चुनौती-प्रतिक्रिया मॉडल का अनुसरण करता है, जिसमें एकाउंटिंग को RFC 2866 के तहत अलग से संभाला जाता है।

यह प्रोटोकॉल ऑथेंटिकेशन पैकेटों को UDP पर ट्रांसमिट करता है, ऑथेंटिकेशन के लिए पोर्ट 1812 और एकाउंटिंग के लिए 1813 का उपयोग करता है। शेयर्ड सीक्रेट - NAS और RADIUS सर्वर दोनों पर कॉन्फ़िगर की गई प्री-शेयर्ड की (pre-shared key) - का उपयोग Response Authenticator फ़ील्ड उत्पन्न करने और MD5-आधारित XOR सिफर के माध्यम से User-Password एट्रिब्यूट को एन्क्रिप्ट करने के लिए किया जाता है। यह किसी भी आधुनिक अर्थ में एन्क्रिप्शन नहीं है; यह केवल ऑब्फसकेशन (धुंधलापन) है जो पूरी तरह से शेयर्ड सीक्रेट की गोपनीयता और मजबूती पर निर्भर करता है।

एक सामान्य RADIUS डिप्लॉयमेंट में पांच मुख्य संवेदनशीलता श्रेणियां इस प्रकार हैं।MD5 कोलिजन और अखंडता संबंधी संवेदनशीलताएं। BlastRADIUS हमला (CVE-2024-3596) Access-Request पैकेट पर अखंडता सुरक्षा की कमी का फायदा उठाता है। क्योंकि कई कॉन्फ़िगरेशन में डिफ़ॉल्ट रूप से NAS से Message-Authenticator विशेषता शामिल नहीं होती है, इसलिए मैन-इन-द-मिडल स्थिति में हमलावर पैकेट RADIUS सर्वर तक पहुंचने से पहले तैयार की गई विशेषताओं को इंजेक्ट कर सकता है। MD5 चुने गए-प्रिफिक्स कोलिजन तकनीक का उपयोग करके, हमलावर पैकेट में इस तरह हेरफेर कर सकता है कि RADIUS सर्वर संशोधित पैकेट के लिए एक वैध Response Authenticator की गणना करता है, जिससे उस अनुरोध के लिए Access-Accept वापस आ जाता है जिसे खारिज कर दिया जाना चाहिए था। इसका समाधान सभी Access-Request पैकेटों पर Message-Authenticator विशेषता को लागू करना है, जो पूरे पैकेट पर HMAC-MD5 अखंडता सुरक्षा प्रदान करता है। इसके लिए NAS और RADIUS सर्वर दोनों पर कॉन्फ़िगरेशन परिवर्तन की आवश्यकता होती है, न कि केवल एक सर्वर पैच की।

कमजोर या स्थिर साझा रहस्य (shared secrets)। साझा रहस्य RADIUS एक्सचेंज का क्रिप्टोग्राफिक एंकर है। यदि रहस्य छोटा है, अनुमान लगाने योग्य है या कभी बदला नहीं गया है, तो एक हमलावर जो RADIUS ट्रैफ़िक को कैप्चर करता है (जो ARP स्पूफिंग या एक समझौता किए गए नेटवर्क डिवाइस के माध्यम से प्राप्त किया जा सकता है) ऑफ़लाइन User-Password विशेषता को ब्रूट-फोर्स कर सकता है। याद रखे गए रहस्यों पर NIST SP 800-63B मार्गदर्शन यहाँ लागू होता है: रहस्य कम से कम 20 वर्णों के होने चाहिए, रैंडम रूप से जनरेट किए गए होने चाहिए, और एक सीक्रेट्स मैनेजमेंट सिस्टम में संग्रहीत होने चाहिए। दर्जनों या सैकड़ों NAS उपकरणों वाले बड़े नेटवर्क के लिए, मैन्युअल रोटेशन परिचालन रूप से अवव्यवहारिक है; HashiCorp Vault या इसी तरह के सीक्रेट्स मैनेजर के माध्यम से ऑटोमेशन ही सही दृष्टिकोण है।

अनएन्क्रिप्टेड UDP ट्रांसपोर्ट। UDP पर मानक RADIUS कोई ट्रांसपोर्ट-लेयर गोपनीयता प्रदान नहीं करता है। User-Password विशेषता को अस्पष्ट (obfuscated) किया जाता है लेकिन एन्क्रिप्ट नहीं किया जाता है। उपयोगकर्ता नाम, NAS IP और सत्र मेटाडेटा सहित अन्य सभी विशेषताएँ - क्लियरटेक्स्ट में यात्रा करती हैं। RFC 6614 में परिभाषित और RFC 7360 में अपडेट किया गया RadSec (TLS पर RADIUS), TCP पोर्ट 2083 पर TLS टनल में RADIUS प्रोटोकॉल को रैप करके, एक TLS 1.2 या TLS 1.3 सत्र स्थापित करके इसे संबोधित करता है। RadSec, NAS और RADIUS सर्वर के बीच पारस्परिक प्रमाणपत्र प्रमाणीकरण, पूर्ण पेलोड एन्क्रिप्शन और रीप्ले सुरक्षा प्रदान करता है। यह किसी भी RADIUS ट्रैफ़िक के लिए सही ट्रांसपोर्ट है जो एक अविश्वसनीय नेटवर्क सीमा को पार करता है।

EAP विधि चयन। Extensible Authentication Protocol (EAP) 802.1X फ्रेमवर्क के भीतर उपयोग की जाने वाली आंतरिक प्रमाणीकरण विधियों को परिभाषित करता है। EAP-MD5 को हटा दिया गया है और इसे तुरंत सभी डिप्लॉयमेंट से हटा दिया जाना चाहिए - यह कोई पारस्परिक प्रमाणीकरण प्रदान नहीं करता है और क्रेडेंशियल-हार्वेस्टिंग हमलों का कोई प्रतिरोध नहीं करता है। PEAP (संरक्षित EAP) और EAP-TTLS क्रेडेंशियल प्रसारित करने से पहले एक सर्वर प्रमाणपत्र का उपयोग करके एक TLS टनल स्थापित करते हैं, जो पारस्परिक प्रमाणीकरण प्रदान करते हैं और आंतरिक विधि को ईव्सड्रॉपिंग से बचाते हैं। EAP-TLS पासवर्ड को पूरी तरह से समाप्त कर देता है, जिससे सर्वर और क्लाइंट दोनों पर X.509 प्रमाणपत्र की आवश्यकता होती है। यह फ़िशिंग और ब्रूट-फोर्स हमलों से सुरक्षित है और उच्च-सुरक्षा वातावरण के लिए अनुशंसित विधि है।

अपर्याप्त लॉगिंग और मॉनिटरिंग। RADIUS अकाउंटिंग हर ऑथेंटिकेशन इवेंट को रिकॉर्ड करता है - सफलता, विफलता, सेशन शुरू होना, सेशन बंद होना। यह डेटा कैपेसिटी प्लानिंग के लिए परिचालन रूप से मूल्यवान है और WiFi Analytics के लिए व्यावसायिक रूप से मूल्यवान है, लेकिन यह सुरक्षा टेलीमेट्री का एक महत्वपूर्ण स्रोत भी है। असफल-ऑथेंटिकेशन स्टॉर्म, अज्ञात MAC एड्रेस से ऑथेंटिकेशन, और आउट-ऑफ-आवर एक्सेस पैटर्न सभी RADIUS अकाउंटिंग लॉग से पता लगाने योग्य हैं। अधिकांश संगठन इस डेटा को SIEM में शामिल नहीं करते हैं, और जो करते हैं वे शायद ही कभी किसी अलर्टिंग थ्रेसहोल्ड को कॉन्फ़िगर करते हैं।

RADIUS Vulnerabilities को कम करना: एक Security Hardening Guide - eap comparison chart

BlastRADIUS हमले का विवरण

BlastRADIUS का खुलासा जुलाई 2024 में बोस्टन यूनिवर्सिटी और UC सैन डिएगो के शोधकर्ताओं द्वारा किया गया था। इस हमले के लिए NAS और RADIUS सर्वर के बीच मैन-इन-द-मिडल स्थिति की आवश्यकता होती है - जो एक शेयर्ड नेटवर्क सेगमेंट पर ARP पॉइजनिंग, एक समझौता किए गए राउटर, या नेटवर्क एक्सेस वाले एक दुर्भावनापूर्ण इनसाइडर के माध्यम से प्राप्त की जा सकती है।

यह हमला इस प्रकार आगे बढ़ता है: हमलावर NAS से एक Access-Request पैकेट को इंटरसेप्ट करता है। चूंकि पैकेट में Message-Authenticator एट्रिब्यूट (कई कॉन्फ़िगरेशन में डिफॉल्ट) की कमी होती है, इसलिए हमलावर पैकेट की एट्रिब्यूट सूची को संशोधित करने के लिए स्वतंत्र है। एक MD5 चोजन-प्रिफिक्स कोलिजन का उपयोग करके, हमलावर एक संशोधित पैकेट का निर्माण करता है जिसके लिए RADIUS सर्वर उसी Response Authenticator की गणना करेगा जैसा कि मूल के लिए किया गया था। इसलिए सर्वर हमलावर-नियंत्रित एट्रिब्यूट वाले अनुरोध के लिए एक Access-Accept लौटाता है - जिसमें एडमिनिस्ट्रेटिव का Service-Type शामिल है जो पूर्ण नेटवर्क एक्सेस को अधिकृत करता है।

यह हमला PEAP और EAP-TTLS डिप्लॉयमेंट के खिलाफ प्रभावी है जो आंतरिक विधि के रूप में MSCHAPv2 का उपयोग करते हैं। यह EAP-TLS डिप्लॉयमेंट को प्रभावित नहीं करता है, जहां सर्टिफिकेट-आधारित म्यूचुअल ऑथेंटिकेशन इंटीग्रिटी प्रोटेक्शन प्रदान करता है जिसे MD5 सबवर्ट नहीं कर सकता है।

उन संगठनों के लिए जो Guest WiFi और कॉर्पोरेट 802.1X दोनों चला रहे हैं, गेस्ट नेटवर्क के RADIUS इंस्टेंस को भी पैच किया जाना चाहिए, भले ही यह EAP के बजाय MAC ऑथेंटिकेशन बाईपास का उपयोग करता हो। शेयर्ड सीक्रेट हाइजीन और Message-Authenticator की आवश्यकता समान रूप से लागू होती है।

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।

कार्यान्वयन गाइड

चरण 1: तत्काल सुधार (सप्ताह 1 - 2)

पैचिंग सबसे पहले आती है। FreeRADIUS 3.2.5 और 3.0.27 में BlastRADIUS फिक्स शामिल हैं और डिफ़ॉल्ट रूप से Message-Authenticator लागू करते हैं। Cisco ISE 3.1 पैच 8, 3.2 पैच 4 और 3.3 पैच 1 इस भेद्यता का समाधान करते हैं। Microsoft ने जुलाई 2024 में Windows Server 2022 NPS के लिए KB5040434 जारी किया। अपने वर्तमान संस्करणों को सत्यापित करें और अपने अगले निर्धारित चेंज विंडो के भीतर पैच लागू करें।

उसी समय, अपने NAS डिवाइस फ़र्मवेयर का ऑडिट करें। Message-Authenticator लागू करना केवल तभी प्रभावी होता है जब NAS भी एट्रिब्यूट भेजता है। अपने एक्सेस पॉइंट और स्विच वेंडर की एडवाइज़री चेक करें - Aruba, Ruckus, Cisco और Juniper सभी ने BlastRADIUS के लिए फ़र्मवेयर अपडेट जारी किए हैं। यदि आप Ruckus हार्डवेयर चला रहे हैं, तो wireless access point Ruckus guide प्रासंगिक फ़र्मवेयर प्रबंधन संदर्भ प्रदान करता है।

पैचिंग के बाद आने वाली troubleshooting Windows 11 802.1X authentication issues के लिए, सबसे आम कारण NPS सर्वर द्वारा उन क्लाइंट्स के कनेक्शन को अस्वीकार करना है जिनमें Message-Authenticator शामिल नहीं है - यह सही सुरक्षा व्यवहार है जिसके लिए पुराने Windows क्लाइंट्स पर सप्लिकेंट रीकॉन्फ़िगरेशन की आवश्यकता हो सकती है।

चरण 2: शेयर्ड सीक्रेट हाइजीन (सप्ताह 2-4)

अपने RADIUS सर्वर पर रजिस्टर्ड NAS क्लाइंट्स की पूरी सूची निर्यात करें। प्रत्येक प्रविष्टि के लिए, शेयर्ड सीक्रेट की लंबाई और उसके पिछली बार बदले जाने की तिथि रिकॉर्ड करें। 20 कैरेक्टर से कम के किसी भी सीक्रेट, या 24 महीने से अधिक समय से अपरिवर्तित सीक्रेट को तुरंत बदला जाना चाहिए।

नए सीक्रेट के लिए, क्रिप्टोग्राफ़िक रूप से रैंडम जनरेटर का उपयोग करें - openssl rand -base64 32 एक 44-कैरेक्टर का base64 स्ट्रिंग तैयार करता है जो RADIUS शेयर्ड सीक्रेट के रूप में उपयोग करने के लिए पूरी तरह उपयुक्त है। सभी सीक्रेट्स को सीक्रेट मैनेजमेंट सिस्टम में स्टोर करें। एक रोटेशन शेड्यूल लागू करें: कम जोखिम वाले NAS डिवाइस के लिए सालाना, PCI DSS दायरे में आने वाले NAS डिवाइस के लिए हर छह महीने में।

चरण 3: EAP विधि युक्तिकरण (महीने 1-2)

उन EAP विधियों का ऑडिट करें जिनकी आपके RADIUS सर्वर अनुमति देते हैं। EAP-MD5 को अक्षम करें। यदि आप PEAP-MSCHAPv2 चला रहे हैं, तो सत्यापित करें कि सभी सप्लिकेंट सर्वर सर्टिफिकेट सत्यापन लागू करते हैं - एक गलत कॉन्फ़िगर किया गया सप्लिकेंट जो किसी भी सर्वर सर्टिफिकेट को स्वीकार करता है, वह दुष्ट RADIUS सर्वर हमलों के प्रति संवेदनशील होता है। PCI DSS दायरे वाले वातावरण के लिए, EAP-TLS की सिफारिश की जाती है। यदि आपके पास कोई मौजूदा सर्टिफिकेट इन्फ्रास्ट्रक्चर नहीं है, तो PKI योजना शुरू करें।

securing guest WiFi networks के लिए, ध्यान दें कि गेस्ट नेटवर्क आमतौर पर 802.1X के बजाय Captive Portal प्रमाणीकरण का उपयोग करते हैं, इसलिए EAP विधि सुदृढ़ीकरण मुख्य रूप से कॉर्पोरेट और स्टाफ SSIDs पर लागू होता है।

चरण 4: RadSec परिनियोजन (महीने 2-3)

प्रत्येक RADIUS ट्रैफ़िक पथ की पहचान करें जो किसी असुरक्षित नेटवर्क सीमा को पार करता है। सामान्य परिदृश्यों में एक केंद्रीय RADIUS सर्वर शामिल है जो इंटरनेट पर रिमोट होटलों को सेवा प्रदान करता है; ऑन-प्रिमाइसेस NAS डिवाइस क्लाउड RADIUS सेवा तक पहुँचते हैं; और RADIUS प्रॉक्सी चेन जहाँ ट्रैफ़िक कई नेटवर्क डोमेन को पार करता है।

प्रत्येक पहचाने गए पथ के लिए, RadSec कॉन्फ़िगर करें। FreeRADIUS पर इसका अर्थ पोर्ट 2083 पर tls लिसनर को सक्षम करना और आपके PKI से सर्टिफिकेट के साथ म्यूचुअल TLS को कॉन्फ़िगर करना है। Cisco ISE पर, RadSec को Administration > Network Devices के अंतर्गत कॉन्फ़िगर किया गया है। न्यूनतम TLS 1.2 सुनिश्चित करें; TLS 1.0 और 1.1 को स्पष्ट रूप से अक्षम करें।

चरण 5: प्रशासनिक पहुंच के लिए मल्टी-फैक्टर प्रमाणीकरण (महीने 2-3)

RADIUS server का मैनेजमेंट इंटरफ़ेस एक हाई-वैल्यू टारगेट होता है। RADIUS server से समझौता करने वाला हमलावर प्रमाणीकरण (authentication) पॉलिसी को संशोधित कर सकता है, शेयर्ड सीक्रेट्स निकाल सकता है और प्रमाणीकरण फ़्लो को रीडायरेक्ट कर सकता है। सभी RADIUS servers और उनके अंतर्निहित ऑपरेटिंग सिस्टम के एडमिनिस्ट्रेटिव लॉगिन पर MFA लागू करें। मैनेजमेंट एक्सेस को एक समर्पित आउट-ऑफ-बैंड मैनेजमेंट VLAN तक सीमित करें। रोल-बेस्ड एक्सेस कंट्रोल लागू करें: नेटवर्क इंजीनियरों के पास सुरक्षा एडमिनिस्ट्रेटर जैसे विशेषाधिकार नहीं होने चाहिए।

फ़ेज़ 6: SIEM इंटीग्रेशन और अलर्टिंग (महीने 3-4)

अपने RADIUS servers को वास्तविक समय में अपने SIEM को एकाउंटिंग लॉग्स फ़ॉरवर्ड करने के लिए कॉन्फ़िगर करें। निम्नलिखित बेसलाइन अलर्ट थ्रेशोल्ड निर्धारित करें:

अलर्ट थ्रेशोल्ड गंभीरता
एक ही MAC एड्रेस से कई प्रमाणीकरण विफलताएं >5 प्रति 60 सेकंड उच्च
एक्सेस-रिजेक्ट दर में अचानक वृद्धि 7-दिवसीय बेसलाइन से 200% अधिक मध्यम
कॉर्पोरेट SSID पर एक नए MAC एड्रेस से प्रमाणीकरण पहली बार होने पर मध्यम
RADIUS server सर्टिफिकेट समाप्त होने के करीब 90 / 30 / 7 दिन उच्च / गंभीर / गंभीर
शेयर्ड सीक्रेट बेमेल एरर्स कोई भी घटना उच्च

सर्वश्रेष्ठ अभ्यास (Best Practices)

निम्नलिखित सिफारिशें IEEE 802.1X, NIST SP 800-63B, PCI-DSS v4.0 और वेंडर सुरक्षा सलाहों के बीच आम सहमति को दर्शाती हैं।

सर्टिफिकेट मैनेजमेंट। EAP-TLS या RadSec का उपयोग करने वाले किसी भी डिप्लॉयमेंट के प्रमाणीकरण पथ में X.509 सर्टिफिकेट होते हैं। एंटरप्राइज WiFi डिप्लॉयमेंट में अचानक, पूर्ण प्रमाणीकरण विफलता का सबसे आम कारण सर्टिफिकेट का समाप्त होना है। स्वचालित सर्टिफिकेट लाइफ़साइकल मैनेजमेंट लागू करें। समाप्ति से 90, 30 और 7 दिन पहले मॉनिटरिंग अलर्ट सेट करें। RADIUS server सर्टिफिकेट के लिए, न्यूनतम 2048-bit RSA या 256-bit ECDSA कीज़, और SHA-256 या मजबूत सिग्नेचर एल्गोरिदम का उपयोग करें। SHA-1 का उपयोग न करें।

नेटवर्क सेगमेंटेशन। RADIUS servers को एक समर्पित मैनेजमेंट सेगमेंट पर होना चाहिए, जो गेस्ट और सामान्य कॉर्पोरेट नेटवर्क से अलग हो। RADIUS पोर्ट्स (UDP 1812, 1813, और RadSec के लिए TCP 2083) तक पहुंच को फ़ायरवॉल ACL द्वारा पंजीकृत NAS डिवाइस के विशिष्ट IP एड्रेस तक सीमित किया जाना चाहिए। RADIUS पोर्ट्स पर सीधे इंटरनेट एक्सेस की अनुमति न दें।

रिडंडेंसी और हाई अवेलेबिलिटी। एक एकल RADIUS server आपके पूरे नेटवर्क एक्सेस कंट्रोल इंफ्रास्ट्रक्चर के लिए सिंगल पॉइंट ऑफ़ फेलियर होता है। एक्टिव-पैसिव या एक्टिव-एक्टिव कॉन्फ़िगरेशन में कम से कम दो RADIUS servers तैनात करें। 24/7 गेस्ट कनेक्टिविटी आवश्यकताओं वाले Hospitality डिप्लॉयमेंट के लिए, RADIUS server डाउनटाइम का सीधा मतलब गेस्ट WiFi डाउनटाइम है - जो एक प्रतिष्ठा और व्यावसायिक जोखिम है।WPA3 and 802.1X. 192-बिट सुरक्षा मोड में WPA3-Enterprise, जो सरकारी और उच्च-सुरक्षा व्यवस्थाओं के लिए आवश्यक है, डेटा एन्क्रिप्शन के लिए AES-256-GCMP और प्रमाणीकरण के लिए HMAC-SHA-384 को अनिवार्य बनाता है। अधिकांश एंटरप्राइज़ डिप्लॉयमेंट के लिए, मानक 128-बिट सुरक्षा के साथ WPA3-Enterprise पहले से ही WPA2-Enterprise की तुलना में एक महत्वपूर्ण सुधार है, विशेष रूप से जब इसे EAP-TLS के साथ संयोजित किया जाता है। कार्ड भुगतान संभालने वाले Retail वातावरणों को WPA3-Enterprise अपनाने को PCI-DSS जोखिम-कमी उपाय के रूप में मानना चाहिए।

Vendor patch cadence. अपने RADIUS सर्वर वेंडर और अपने NAS डिवाइस वेंडर्स से सुरक्षा चेतावनियों की सदस्यता लें। FreeRADIUS, Cisco, Microsoft, Aruba और Ruckus सभी CVE सूचनाएं प्रकाशित करते हैं। इन्हें निर्धारित SLAs के साथ अपने भेद्यता प्रबंधन कार्यक्रम में शामिल करें: गंभीर भेद्यताएँ (CVSS ≥ 9.0) 72 घंटों के भीतर पैच की जाएं; उच्च-तीव्रता वाली भेद्यताएँ (CVSS 7.0-8.9) 14 दिनों के भीतर।

Troubleshooting and Risk Mitigation

Common failure modes

Authentication failures after patching. BlastRADIUS पैच लागू करने के बाद, कुछ NAS डिवाइस प्रमाणित करने में विफल हो सकते हैं यदि उनका फर्मवेयर Message-Authenticator का समर्थन नहीं करता है। लक्षण: उपयोगकर्ता क्रेडेंशियल में कोई बदलाव न होने पर भी Access-Reject प्रतिक्रियाओं में अचानक वृद्धि। निदान: RADIUS डिबग लॉगिंग सक्षम करें और "Message-Authenticator required but not present" त्रुटियों की जांच करें। समाधान: NAS फर्मवेयर को अपडेट करें, या एक अस्थायी उपाय के रूप में RADIUS सर्वर को विशिष्ट NAS IPs से बिना Message-Authenticator के अनुरोधों को स्वीकार करने के लिए कॉन्फ़िगर करें, जब तक कि फर्मवेयर अपडेट शेड्यूल न हो जाएं।

Certificate validation failures in EAP-TLS. लक्षण: क्लाइंट्स को RADIUS लॉग में बिना किसी संगत Access-Reject के "authentication failed" प्राप्त होता है। निदान: RADIUS सर्वर के सर्टिफिकेट चेन की जांच करें - क्या जारीकर्ता CA क्लाइंट सप्लिकेंट द्वारा विश्वसनीय है? क्या सर्वर सर्टिफिकेट अपनी वैधता अवधि के भीतर है? समाधान: सुनिश्चित करें कि पूर्ण सर्टिफिकेट चेन (leaf + intermediate + root) RADIUS सर्वर पर कॉन्फ़िगर की गई है। MDM या ग्रुप पॉलिसी के माध्यम से क्लाइंट डिवाइसेज पर रूट CA सर्टिफिकेट पुश करें।

RadSec TLS handshake failures. लक्षण: कॉन्फ़िगरेशन परिवर्तन के बाद NAS डिवाइस RadSec कनेक्शन स्थापित नहीं कर सकते। निदान: TLS संस्करण अनुकूलता की जांच करें - पुराना NAS फर्मवेयर TLS 1.2 का समर्थन नहीं कर सकता है। आपसी सर्टिफिकेट प्रमाणीकरण की जांच करें - दोनों सिरों को एक-दूसरे के CA पर भरोसा करना चाहिए। समाधान: NAS फर्मवेयर रिलीज नोट्स में TLS संस्करण समर्थन सत्यापित करें; सुनिश्चित करें कि NAS डिवाइस सर्टिफिकेट उसी CA द्वारा जारी किए गए हैं जिस पर RADIUS सर्वर भरोसा करता है।

Shared secret mismatch. लक्षण: एक विशेष NAS से प्रत्येक प्रमाणीकरण "invalid authenticator" त्रुटियों के साथ विफल हो जाता है। निदान: NAS कॉन्फ़िगरेशन और RADIUS सर्वर की क्लाइंट प्रविष्टि के बीच साझा गुप्त (shared secret) बेमेल होना। समाधान: दोनों सिरों पर साझा गुप्त को फिर से दर्ज करें, अंतिम व्हाइटस्पेस या कैरेक्टर-एन्कोडिंग समस्याओं की जांच करें। ट्रांसक्रिप्शन त्रुटियों से बचने के लिए अपने सीक्रेट्स मैनेजर से कॉपी और पेस्ट करें।

Risk register

जोखिम संभावना प्रभाव शमन नियंत्रण
BlastRADIUS exploitation High (if unpatched) Critical पैचिंग + Message-Authenticator प्रवर्तन
Shared secret brute-force Medium High 32-करैक्टर रैंडम सीक्रेट्स, वार्षिक रोटेशन
Rogue RADIUS server Medium High EAP-TLS पारस्परिक प्रमाणीकरण, सर्टिफिकेट पिनिंग
RADIUS server certificate expiry High Critical स्वचालित मॉनिटरिंग, 90 दिन पहले अलर्ट
Credential stuffing via 802.1X Medium High अकाउंट लॉकआउट पॉलिसी, SIEM अलर्टिंग
RADIUS server compromise Low Critical एडमिन एक्सेस पर MFA, नेटवर्क सेगमेंटेशन

ROI और व्यावसायिक प्रभाव

जोखिम को मापना

RADIUS को सुरक्षित और मजबूत बनाने (hardening) का वित्तीय औचित्य तब सबसे स्पष्ट होता है जब इसकी तुलना ब्रीच (डेटा चोरी) की लागतों से की जाती है। 2024 में यूके में डेटा ब्रीच की औसत लागत £3.58 मिलियन थी, जिसमें नियामक जुर्माने, सुधारात्मक उपाय, कानूनी लागत और प्रतिष्ठा को होने वाला नुकसान शामिल है। PCI-DSS के दायरे में आने वाले संगठनों के लिए - वास्तव में प्रत्येक Retail और Hospitality संचालक जो WiFi पर कार्ड भुगतान स्वीकार करते हैं - एक नेटवर्क एक्सेस कंट्रोल ब्रीच जो कार्डधारक के डेटा को उजागर करता है, एक अनिवार्य फॉरेंसिक जांच, संभावित कार्ड-स्कीम जुर्मानों और कार्ड प्रोसेसिंग अधिकारों के संभावित निलंबन को सक्रिय कर देता है।

Healthcare संगठनों के लिए, एक समझौता किए गए RADIUS सर्वर के माध्यम से रोगी के डेटा तक पहुंच से संबंधित GDPR ब्रीच पर अनुच्छेद 83(5) के तहत वैश्विक वार्षिक टर्नओवर का 4% तक का जुर्माना लग सकता है। ICO का प्रवर्तन रिकॉर्ड दर्शाता है कि नेटवर्क सुरक्षा विफलताओं को लापरवाही माना जाता है, न कि कोई तकनीकी दुर्भाग्य।

कार्यान्वयन लागत बेंचमार्क

निम्नलिखित लागत अनुमान 500-डिवाइस वाले कॉर्पोरेट नेटवर्क को मानकर लगाए गए हैं:

सुरक्षा गतिविधि अनुमानित लागत समय-सीमा
पैचिंग (FreeRADIUS / NPS / ISE) केवल आंतरिक श्रम 1-2 सप्ताह
Shared secret ऑडिट और रोटेशन आंतरिक श्रम + सीक्रेट्स मैनेजर लाइसेंस (~£2,000/वर्ष) 2-4 सप्ताह
EAP-TLS PKI परिनियोजन £15,000 - £30,000 (टूलिंग + प्रोफेशनल सर्विसेज) 2-3 महीने
RadSec कार्यान्वयन आंतरिक श्रम + सर्टिफिकेट लागत (~£1,500) 4-6 सप्ताह
SIEM एकीकरण और अलर्टिंग मौजूदा SIEM पर निर्भर करता है; £0 - £10,000 4-8 सप्ताह

एक मध्यम आकार के उद्यम के लिए कुल सुरक्षा सुदृढ़ीकरण निवेश लगभग £20,000 - £45,000 है। £3.58 मिलियन की ब्रीच लागत के आधार पर, जोखिम-समायोजित ROI रूढ़िवादी ब्रीच-प्रायिकता मान्यताओं के तहत भी बेहद आकर्षक है।

सुरक्षा से परे परिचालन संबंधी लाभ

सुरक्षित और मजबूत किया गया RADIUS इन्फ्रास्ट्रक्चर परिचालन संबंधी लाभ भी प्रदान करता है। विश्वसनीय, अच्छी तरह से मॉनिटर किया गया प्रमाणीकरण WiFi कनेक्टिविटी से संबंधित हेल्प डेस्क टिकटों को कम करता है। RADIUS अकाउंटिंग डेटा, जब WiFi Analytics के साथ एकीकृत होता है, तो नेटवर्क उपयोग के पैटर्न, रुकने के समय और डिवाइस के प्रकारों में सत्र-स्तरीय दृश्यता प्रदान करता है - ऐसा डेटा जिसका Hospitality और Transport वातावरण में वेन्यू ऑपरेटरों के लिए सीधा व्यावसायिक मूल्य है।

सार्वजनिक क्षेत्र और स्वास्थ्य सेवा संगठनों के लिए, एक प्रलेखित RADIUS हार्डनिंग कार्यक्रम Cyber Essentials Plus, ISO 27001 और NHS DSPT आकलनों के लिए तकनीकी नियंत्रणों का प्रमाण प्रदान करता है - जिससे ऑडिट के प्रयास कम होते हैं और नियामकों के प्रति उचित तत्परता प्रदर्शित होती है।

मुख्य परिभाषाएं

RADIUS (Remote Authentication Dial-In User Service)

RFC 2865 में परिभाषित एक क्लाइंट-सर्वर प्रोटोकॉल जो नेटवर्क एक्सेस के लिए केंद्रीकृत ऑथेंटिकेशन, ऑथराइजेशन और अकाउंटिंग (AAA) प्रदान करता है। RADIUS सर्वर नेटवर्क डिवाइसों (NAS) द्वारा सबमिट किए गए क्रेडेंशियल्स को Active Directory या LDAP जैसे बैकएंड आइडेंटिटी स्टोर के खिलाफ सत्यापित करते हैं।

IT टीमें 802.1X WiFi, वायर्ड पोर्ट ऑथेंटिकेशन, VPN एक्सेस और नेटवर्क डिवाइस प्रबंधन के लिए ऑथेंटिकेशन बैकएंड के रूप में RADIUS का सामना करती हैं। यह वह प्रोटोकॉल है जो यह तय करता है कि नेटवर्क पर किसे एक्सेस मिलेगा।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए एक IEEE मानक जो LAN पर EAP (EAPOL) के एनकैप्सुलेशन को परिभाषित करता है। यह वायर्ड और वायरलेस दोनों नेटवर्कों के लिए एक ऑथेंटिकेशन फ्रेमवर्क प्रदान करता है, जिसके तहत डिवाइसों को नेटवर्क एक्सेस दिए जाने से पहले ऑथेंटिकेट होना आवश्यक होता है।

802.1X वह मानक है जो एंटरप्राइज WiFi ऑथेंटिकेशन को काम करने योग्य बनाता है। जब कोई कर्मचारी किसी कॉर्पोरेट SSID से कनेक्ट होता है और उससे क्रेडेंशियल्स मांगे जाते हैं, तो 802.1X ही वह फ्रेमवर्क है जो बैकएंड के रूप में RADIUS के साथ उस एक्सचेंज को संचालित करता है।

EAP-TLS (एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल - ट्रांसपोर्ट लेयर सिक्योरिटी)

एक EAP विधि जो क्लाइंट और RADIUS सर्वर के बीच आपसी ऑथेंटिकेशन के लिए X.509 सर्टिफिकेट का उपयोग करती है। दोनों पक्षों को वैध सर्टिफिकेट प्रस्तुत करना होगा, जिससे ऑथेंटिकेशन प्रक्रिया से पासवर्ड की आवश्यकता पूरी तरह से समाप्त हो जाती है।

एंटरप्राइज WiFi ऑथेंटिकेशन के लिए EAP-TLS सबसे बेहतरीन और सुरक्षित विकल्प है। यह क्रेडेंशियल फ़िशिंग और ब्रूट-फ़ोर्स हमलों से पूरी तरह सुरक्षित है। इसके संचालन के लिए क्लाइंट सर्टिफिकेट जारी करने और प्रबंधित करने के लिए एक PKI इन्फ्रास्ट्रक्चर की आवश्यकता होती है।

RadSec (TLS पर RADIUS)

RFC 6614 में परिभाषित एक प्रोटोकॉल जो TCP पोर्ट 2083 पर एक TLS सेशन के भीतर RADIUS पैकेट को एनकैप्सुलेट करता है। यह RADIUS ट्रैफ़िक के लिए ट्रांसपोर्ट-लेयर एन्क्रिप्शन, आपसी सर्टिफिकेट ऑथेंटिकेशन और रीप्ले सुरक्षा प्रदान करता है।

किसी भी ऐसे RADIUS ट्रैफ़िक के लिए RadSec आवश्यक है जो एक असुरक्षित नेटवर्क सीमा को पार करता है - जैसे WAN लिंक, इंटरनेट कनेक्शन, या साझा नेटवर्क इन्फ्रास्ट्रक्चर। मल्टी-साइट डिप्लॉयमेंट में UDP पर मानक RADIUS के स्थान पर इसका उपयोग किया जाना चाहिए।

BlastRADIUS (CVE-2024-3596)

जुलाई 2024 में सामने आया एक मैन-इन-द-मिडल हमला जो RADIUS Access-Request पैकेटों पर अखंडता सुरक्षा की अनुपस्थिति का फायदा उठाता है। MD5 चुने हुए-प्रिफिक्स कॉलिजन तकनीकों का उपयोग करके, एक हमलावर नकली Access-Accept प्रतिक्रिया तैयार कर सकता है, जिससे किसी अनऑथेंटिकेटेड उपयोगकर्ता को नेटवर्क एक्सेस मिल जाता है।

BlastRADIUS सभी प्रमुख RADIUS कार्यान्वयनों को प्रभावित करता है जिसमें FreeRADIUS, Cisco ISE, और Microsoft NPS शामिल हैं। जिन संगठनों ने जुलाई 2024 में जारी किए गए पैच लागू नहीं किए हैं, वे अभी भी इस हमले के प्रति असुरक्षित हैं।

Message-Authenticator

एक RADIUS विशेषता (विशेषता 80) जो पूरे RADIUS पैकेट पर HMAC-MD5 अखंडता सुरक्षा प्रदान करती है। जब यह Access-Request में मौजूद होती है, तो यह BlastRADIUS में उपयोग किए जाने वाले पैकेट संशोधन हमले को रोकती है।

सभी Access-Request पैकेटों पर Message-Authenticator को लागू करना BlastRADIUS के लिए प्राथमिक समाधान है। इसे RADIUS सर्वर (विशेषता की आवश्यकता के लिए) और NAS डिवाइस (अनुरोधों में विशेषता शामिल करने के लिए) दोनों पर कॉन्फ़िगर किया जाना चाहिए।

NAS (नेटवर्क एक्सेस सर्वर)

RADIUS शब्दावली में, NAS एक नेटवर्क डिवाइस है - आमतौर पर एक WiFi एक्सेस पॉइंट, स्विच, या VPN कंसंट्रेटर - जो RADIUS क्लाइंट के रूप में कार्य करता है। यह अंतिम डिवाइसों से आने वाले कनेक्शन अनुरोधों को रोकता है और ऑथेंटिकेशन अनुरोधों को RADIUS सर्वर पर अग्रेषित करता है।

डिप्लॉयमेंट में NAS डिवाइस ही RADIUS क्लाइंट होते हैं। प्रत्येक NAS के अनुसार शेयर्ड सीक्रेट कॉन्फ़िगर किए जाते हैं। BlastRADIUS समाधान के लिए NAS डिवाइस पर फ़र्मवेयर अपडेट के साथ-साथ RADIUS सर्वर पर पैच की आवश्यकता होती है।

PEAP (प्रोटेक्टेड एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल)

एक EAP विधि जो आंतरिक ऑथेंटिकेशन विधि (आमतौर पर MSCHAPv2) को प्रसारित करने से पहले सर्वर-साइड सर्टिफिकेट का उपयोग करके एक TLS टनल स्थापित करती है। यह आपसी ऑथेंटिकेशन प्रदान करती है और क्रेडेंशियल को ईव्सड्रॉपिंग (गुप्त रूप से सुनने) से बचाती है।

PEAP-MSCHAPv2 सबसे व्यापक रूप से डिप्लॉय की जाने वाली एंटरप्राइज WiFi ऑथेंटिकेशन विधि है। यह PCI DSS के अनुरूप है और EAP-TLS की तुलना में संचालित करने में सरल है क्योंकि इसमें क्लाइंट सर्टिफिकेट की आवश्यकता नहीं होती है। हालांकि, यदि क्लाइंट-साइड सर्टिफिकेट सत्यापन लागू नहीं किया जाता है, तो यह नकली RADIUS सर्वर हमलों के प्रति संवेदनशील हो सकता है।

शेयर्ड सीक्रेट

RADIUS सर्वर और प्रत्येक NAS डिवाइस दोनों पर कॉन्फ़िगर की गई एक प्री-शेयर्ड की। इसका उपयोग Response Authenticator फ़ील्ड जनरेट करने और User-Password विशेषता को छिपाने के लिए किया जाता है। यह अंतिम उपयोगकर्ताओं के लिए पासवर्ड नहीं है - यह एक सर्वर-टू-सर्वर ऑथेंटिकेशन क्रेडेंशियल है।

कमजोर या स्थिर शेयर्ड सीक्रेट सबसे आम RADIUS कमजोरियों में से एक हैं। कोई भी हमलावर जो RADIUS ट्रैफ़िक को कैप्चर करता है, वह कमजोर शेयर्ड सीक्रेट के खिलाफ ऑफलाइन ब्रूट-फ़ोर्स हमला कर सकता है। इसकी न्यूनतम अनुशंसित लंबाई 32 वर्ण है, जो रैंडम रूप से जनरेट की गई हो।

PCI DSS (पेमेंट कार्ड इंडस्ट्री डेटा सिक्योरिटी स्टैंडर्ड)

प्रमुख कार्ड योजनाओं (Visa, Mastercard, Amex) द्वारा उन संगठनों के लिए अनिवार्य सुरक्षा मानकों का एक सेट जो कार्डधारक के डेटा को प्रोसेस, स्टोर या ट्रांसमिट करते हैं। मार्च 2024 से प्रभावी संस्करण 4.0 में नेटवर्क एक्सेस कंट्रोल और मजबूत ऑथेंटिकेशन के लिए विशिष्ट आवश्यकताएं शामिल हैं, जो PCI-DSS के अनुपालन के लिए आवश्यक हैं।

WiFi से जुड़े POS टर्मिनलों वाले रिटेल और हॉस्पिटैलिटी संगठन PCI DSS के दायरे में आते हैं। RADIUS सर्वर की कमजोरियां जो कार्डधारक डेटा परिवेशों तक अनधिकृत नेटवर्क पहुंच की अनुमति दे सकती हैं, वे सीधे तौर पर अनुपालन के लिए एक गंभीर जोखिम हैं।

हल किए गए उदाहरण

12 संपत्तियों वाला एक 350-कमरों का होटल समूह अपने मुख्य कार्यालय डेटा सेंटर में होस्ट किए गए एक केंद्रीकृत RADIUS सर्वर का उपयोग करता है। प्रत्येक संपत्ति एक शेयर्ड MPLS WAN पर कनेक्ट होती है। एक सुरक्षा ऑडिट ने संकेत दिया है कि WAN पर RADIUS ट्रैफ़िक अनएन्क्रिप्टेड है, शेयर्ड सीक्रेट्स 8-कैरेक्टर के स्ट्रिंग्स हैं जो पांच साल पहले शुरुआती डिप्लॉयमेंट के दौरान सेट किए गए थे, और RADIUS सर्वर FreeRADIUS 3.0.21 चला रहा है। यह समूह अपने रेस्तरां और स्पा सुविधाओं में WiFi से जुड़े POS टर्मिनलों के माध्यम से कार्ड भुगतान प्रोसेस करता है। समाधान की प्राथमिकता और कार्यान्वयन का क्रम क्या है?

समाधान क्रम को जोखिम की गंभीरता और कार्यान्वयन की गति के आधार पर व्यवस्थित किया जाना चाहिए। चरण 1 (तत्काल, 72 घंटों के भीतर): FreeRADIUS को 3.2.5 या 3.0.27 पर पैच करें। यह BlastRADIUS को संबोधित करता है और डिफ़ॉल्ट रूप से Message-Authenticator लागू करता है। इसके साथ ही, सभी 12 संपत्तियों में एक्सेस पॉइंट फ़र्मवेयर संस्करणों की जाँच करें और उन NAS डिवाइसों के लिए फ़र्मवेयर अपडेट शेड्यूल करें जो Message-Authenticator का समर्थन नहीं करते हैं। चरण 2 (सप्ताह 1-2): सभी शेयर्ड सीक्रेट्स को बदलें। 12 संपत्ति NAS पंजीकरणों में से प्रत्येक के लिए openssl rand -base64 32 का उपयोग करके 32-कैरेक्टर के रैंडम सीक्रेट्स जेनरेट करें। इन्हें HashiCorp Vault या इसके समकक्ष में स्टोर करें। रोटेशन की तारीख को डॉक्यूमेंट करें। चरण 3 (महीना 1-2): WAN पथ पर RadSec लागू करें। FreeRADIUS सर्वर को TCP 2083 पर RadSec कनेक्शन स्वीकार करने के लिए कॉन्फ़िगर करें। प्रत्येक संपत्ति के NAS उपकरणों को एक आंतरिक CA से TLS प्रमाणपत्र जारी करें। संपत्ति NAS IP सीमाओं से RADIUS सर्वर तक TCP 2083 की अनुमति देने के लिए फ़ायरवॉल नियमों को अपडेट करें। RadSec के चालू होने की पुष्टि होने के बाद WAN-फेसिंग इंटरफेस से UDP 1812/1813 को अक्षम करें। चरण 4 (महीना 2-3): PCI-DSS स्कोप वाले POS WiFi SSID के लिए, PEAP-MSCHAPv2 से EAP-TLS पर माइग्रेट करें। एक आंतरिक PKI (Microsoft ADCS या HashiCorp Vault PKI इंजन) को डिप्लॉय करें। MDM के माध्यम से POS टर्मिनलों को क्लाइंट प्रमाणपत्र जारी करें। POS SSID के लिए EAP-TLS की आवश्यकता के लिए RADIUS नीति को अपडेट करें। चरण 5 (महीना 3): RADIUS अकाउंटिंग लॉग्स को SIEM में एकीकृत करें। विफल प्रमाणीकरण स्पाइक्स और प्रमाणपत्र की समाप्ति के लिए अलर्ट कॉन्फ़िगर करें।

परीक्षक की टिप्पणी: यह परिदृश्य अधिकांश मल्टी-साइट हॉस्पिटैलिटी डिप्लॉयमेंट का प्रतिनिधित्व करता है। मुख्य बात यह है कि MPLS WAN, हालांकि यह सार्वजनिक इंटरनेट नहीं है, एक शेयर्ड नेटवर्क है जिसे पूरी तरह से विश्वसनीय नहीं माना जा सकता है - विशेष रूप से एक होटल समूह में जहां WAN को किसी तीसरे पक्ष के प्रदाता द्वारा प्रबंधित किया जा सकता है। इसलिए RadSec वैकल्पिक नहीं है। PCI-DSS का दृष्टिकोण महत्वपूर्ण है: WiFi पर POS टर्मिनल PCI-DSS आवश्यकता 8.3 (मजबूत प्रमाणीकरण) और आवश्यकता 4.2.1 (ट्रांजिट में डेटा के लिए मजबूत क्रिप्टोग्राफी) के दायरे में हैं। EAP-TLS दोनों को पूरा करता है। यह अनुक्रम पैचिंग को पहले प्राथमिकता देता है क्योंकि BlastRADIUS एक सक्रिय, शोषण योग्य भेद्यता है; अन्य हार्डनिंग कदम महत्वपूर्ण हैं लेकिन उनमें तत्काल समान जोखिम नहीं है। एक वैकल्पिक दृष्टिकोण - क्लाउड-होस्टेड RADIUS-as-a-Service पर माइग्रेट करना - पर विचार किया गया था लेकिन समूह के मौजूदा MPLS निवेश और एक साथ 12 संपत्तियों को माइग्रेट करने की जटिलता के कारण इस परिदृश्य के लिए इसे खारिज कर दिया गया था।

45 स्टोरों वाली एक क्षेत्रीय रिटेल चेन कर्मचारियों के WiFi के लिए WPA2-Personal (प्री-शेयर्ड की) और ग्राहकों के WiFi के लिए एक ओपन नेटवर्क का उपयोग करती है। IT डायरेक्टर कर्मचारियों के WiFi को Active Directory के साथ एकीकृत RADIUS सर्वर के रूप में Microsoft NPS का उपयोग करके 802.1X ऑथेंटिकेशन पर माइग्रेट करना चाहते हैं। इन स्टोरों में Aruba और Cisco एक्सेस पॉइंट्स का मिश्रण है। यह चेन PCI DSS के दायरे में आती है। उन्हें कौन सा आर्किटेक्चर तैनात करना चाहिए, और मुख्य कॉन्फ़िगरेशन निर्णय क्या हैं?

अनुशंसित आर्किटेक्चर प्रारंभिक EAP विधि के रूप में PEAP-MSCHAPv2 के साथ 802.1X है, जिसमें EAP-TLS के लिए एक डॉक्यूमेंटेड रोडमैप शामिल है। NPS सर्वर को केंद्रीय डेटा सेंटर में एक रिडंडेंट पेयर (प्राइमरी + सेकेंडरी) में तैनात किया जाना चाहिए, जिसमें स्वचालित रूप से फेलओवर करने के लिए एक्सेस पॉइंट्स पर RADIUS प्रॉक्सी कॉन्फ़िगरेशन हो। कॉन्फ़िगरेशन निर्णय: (1) NPS नेटवर्क पॉलिसी: PEAP-MSCHAPv2 के साथ कर्मचारियों के SSID से मेल खाती हुई एक पॉलिसी बनाएं, जिसके लिए एक AD सुरक्षा समूह (जैसे, 'WiFi-Staff-Access') में समूह सदस्यता की आवश्यकता हो। फिर से ऑथेंटिकेट करने के लिए बाध्य करने हेतु सेशन टाइमआउट को 8 घंटे पर सेट करें। (2) सर्टिफिकेट: एक आंतरिक Microsoft ADCS CA से एक NPS सर्वर सर्टिफिकेट तैनात करें। ग्रुप पॉलिसी (Windows) और MDM (iOS/Android) के माध्यम से सभी कर्मचारी डिवाइसों पर रूट CA सर्टिफिकेट पुश करें। (3) सप्लिकेंट कॉन्फ़िगरेशन: Windows डिवाइसों को ग्रुप पॉलिसी (Computer Configuration > Windows Settings > Security Settings > Wireless Network Policies) के माध्यम से कॉन्फ़िगर करें। iOS और Android डिवाइसों के लिए, एक MDM प्रोफाइल का उपयोग करें। सर्वर सर्टिफिकेट वैलिडेशन लागू करें - उपयोगकर्ताओं को मनमाने सर्टिफिकेट स्वीकार करने की अनुमति न दें। (4) एक्सेस पॉइंट कॉन्फ़िगरेशन: Aruba पर, Authentication > Servers के अंतर्गत RADIUS सर्वर को कॉन्फ़िगर करें। शेयर्ड सीक्रेट को 32-अक्षर की रैंडम स्ट्रिंग पर सेट करें। यदि Aruba फर्मवेयर इसका समर्थन करता है (AOS 8.9+), तो RadSec सक्षम करें। Cisco पर, Security > AAA > RADIUS के अंतर्गत कॉन्फ़िगर करें। (5) NPS लॉगिंग: SQL Server डेटाबेस में NPS अकाउंटिंग लॉगिंग सक्षम करें। PCI DSS अनुपालन के लिए न्यूनतम 90 दिनों की लॉग रिटेंशन अवधि कॉन्फ़िगर करें। (6) माइग्रेशन के बाद: कर्मचारियों के SSID पर WPA2-Personal को अक्षम करें। इसे केवल सीक्रेट्स मैनेजर में संग्रहीत एक जटिल PSK वाले ब्रेक-ग्लास SSID के रूप में रखें, जिसका उपयोग केवल तब किया जाए जब NPS अनुपलब्ध हो।

परीक्षक की टिप्पणी: WPA2-Personal से 802.1X पर माइग्रेशन रिटेल IT में सबसे आम सुरक्षा सुदृढ़ीकरण परियोजनाओं में से एक है। इस परिदृश्य में मुख्य जोखिम मिश्रित एक्सेस पॉइंट एस्टेट है - Aruba और Cisco के पास अलग-अलग RADIUS क्लाइंट कॉन्फ़िगरेशन इंटरफेस हैं, और शेयर्ड सीक्रेट रोटेशन प्रक्रिया को प्रत्येक के लिए अलग से प्रबंधित किया जाना चाहिए। EAP-TLS के बजाय PEAP-MSCHAPv2 से शुरुआत करने का निर्णय व्यावहारिक है: यह PKI परिनियोजन जटिलता से बचाता है और PSK की तुलना में महत्वपूर्ण सुरक्षा सुधार प्रदान करता है। EAP-TLS रोडमैप को MDM रोलआउट समयसीमा से जोड़ा जाना चाहिए - क्लाइंट सर्टिफिकेट परिनियोजन केवल तभी परिचालन रूप से व्यवहार्य होता है जब सभी डिवाइस MDM-नामांकित हों। PCI DSS दृष्टिकोण NPS लॉगिंग आवश्यकता को सुदृढ़ करता है: PCI DSS आवश्यकता 10.2.1 कार्डधारक डेटा तक सभी व्यक्तिगत उपयोगकर्ता पहुंच की लॉगिंग को अनिवार्य करती है, जिसमें नेटवर्क एक्सेस इवेंट शामिल हैं।

अभ्यास प्रश्न

Q1. आपका संगठन एक FreeRADIUS 3.0.21 सर्वर चलाता है जो एकल-साइट कैंपस में 800 स्टाफ उपकरणों के लिए 802.1X ऑथेंटिकेशन का समर्थन करता है। RADIUS सर्वर उसी मैनेजमेंट VLAN पर है जिस पर सभी एक्सेस पॉइंट हैं। एक पेनेट्रेशन टेस्ट से पता चला है कि एक्सेस पॉइंट बिना Message-Authenticator एट्रिब्यूट के Access-Request पैकेट भेज रहे हैं। सुरक्षा टीम तुरंत Message-Authenticator लागू करना चाहती है, लेकिन नेटवर्क ऑपरेशंस टीम को डर है कि इससे 800 उपयोगकर्ताओं का ऑथेंटिकेशन बाधित हो सकता है। सेवा में व्यवधान को न्यूनतम करने के लिए आप इस सुधार प्रक्रिया को किस क्रम में व्यवस्थित करेंगे?

संकेत: इस बात पर विचार करें कि RADIUS सर्वर को Message-Authenticator की आवश्यकता होने और NAS डिवाइस द्वारा इसे भेजने में क्या अंतर है। ये विभिन्न जोखिम प्रोफाइल वाले दो अलग-अलग कॉन्फ़िगरेशन परिवर्तन हैं।

मॉडल उत्तर देखें

सही क्रम इस प्रकार है: (1) सबसे पहले, FreeRADIUS को 3.2.5 पर पैच करें। यह संस्करण डिफ़ॉल्ट रूप से Message-Authenticator लागू करता है लेकिन इसमें एक कम्पैटिबिलिटी मोड शामिल होता है जो एट्रिब्यूट की कमी वाले पैकेटों को अस्वीकार करने के बजाय केवल चेतावनी लॉग करता है। इससे आपको ऑथेंटिकेशन को तुरंत बाधित किए बिना पैच मिल जाता है। (2) एक्सेस पॉइंट फ़र्मवेयर संस्करणों का ऑडिट करें। पहचानें कि कौन से मॉडल और फ़र्मवेयर संस्करण Access-Request पैकेट में Message-Authenticator का समर्थन करते हैं। (3) एक्सेस पॉइंट फ़र्मवेयर को बैचों में अपडेट करें, जिसकी शुरुआत 50 उपकरणों के पायलट समूह से करें। सत्यापित करें कि प्रत्येक बैच के बाद ऑथेंटिकेशन काम करना जारी रखता है। (4) एक बार जब सभी एक्सेस पॉइंट Message-Authenticator भेजने के लिए सत्यापित हो जाएं, तो FreeRADIUS सर्वर पर सख्त प्रवर्तन सक्षम करें (clients.conf में require_message_authenticator = yes)। (5) किसी भी शेष 'Message-Authenticator missing' चेतावनियों के लिए RADIUS लॉग की निगरानी करें, जो उन NAS उपकरणों को इंगित करेंगी जिनका फ़र्मवेयर अपडेट छूट गया था। मुख्य सिद्धांत यह है कि आप किसी भी चीज़ को बाधित किए बिना पहले सर्वर को पैच कर सकते हैं, क्योंकि कम्पैटिबिलिटी मोड एक संक्रमण अवधि की अनुमति देता है। सर्वर पर सख्त अस्वीकृति लागू करना अंतिम चरण होना चाहिए, जब सभी NAS उपकरणों को अपडेट कर दिया गया हो।

Q2. एक कॉन्फ्रेंस सेंटर ऑपरेटर एक एकल RADIUS सर्वर चलाता है जो कॉर्पोरेट स्टाफ SSID (PEAP-MSCHAPv2 के साथ 802.1X) और इवेंट गेस्ट WiFi (MAC Authentication Bypass के साथ captive portal) दोनों का समर्थन करता है। IT मैनेजर पूछता है कि क्या गेस्ट WiFi RADIUS इंस्टेंस को कॉर्पोरेट RADIUS इंस्टेंस के समान स्तर तक सुरक्षित करने की आवश्यकता है, यह देखते हुए कि गेस्ट कॉर्पोरेट क्रेडेंशियल के साथ ऑथेंटिकेट नहीं कर रहे हैं। आपकी क्या सिफारिश है?

संकेत: उन अटैक वेक्टर्स पर विचार करें जो MAC Authentication Bypass बनाम EAP-आधारित ऑथेंटिकेशन पर लागू होते हैं, और गेस्ट और कॉर्पोरेट RADIUS इंस्टेंस के बीच लेटरल मूवमेंट के जोखिम पर ध्यान दें।

मॉडल उत्तर देखें

गेस्ट WiFi RADIUS इंस्टेंस को सुरक्षित और मजबूत बनाने (hardening) की आवश्यकता है, लेकिन विशिष्ट नियंत्रण कॉर्पोरेट इंस्टेंस से भिन्न होते हैं। BlastRADIUS पैच समान रूप से लागू होता है - यह भेद्यता RADIUS सर्वर को प्रभावित करती है, चाहे क्लाइंट द्वारा किसी भी प्रमाणीकरण विधि का उपयोग किया जा रहा हो। साझा सीक्रेट हाइजीन (Shared secret hygiene) भी समान रूप से लागू होती है - गेस्ट captive portal कंट्रोलर और RADIUS सर्वर के बीच एक कमजोर साझा सीक्रेट का फायदा उठाया जा सकता है, भले ही EAP उपयोग में हो या न हो। मुख्य अतिरिक्त जोखिम साझा RADIUS सर्वर है: यदि गेस्ट और कॉर्पोरेट SSID प्रमाणीकरण अनुरोधों को एक ही RADIUS सर्वर प्रोसेस द्वारा नियंत्रित किया जाता है, तो गेस्ट RADIUS पाथ में भेद्यता का उपयोग कॉर्पोरेट प्रमाणीकरण नीति पर जाने के लिए किया जा सकता है। अनुशंसित आर्किटेक्चर गेस्ट और कॉर्पोरेट प्रमाणीकरण के लिए अलग-अलग RADIUS इंस्टेंस (या कम से कम FreeRADIUS के भीतर अलग वर्चुअल सर्वर) चलाने का है, जिसमें अलग साझा सीक्रेट और अलग नीति सेट हों। यह अलगाव प्रदान करता है ताकि गेस्ट RADIUS पाथ के साथ समझौता होने पर कॉर्पोरेट क्रेडेंशियल सुरक्षित रहें। विशेष रूप से गेस्ट इंस्टेंस के लिए: BlastRADIUS के लिए पैच करें, साझा सीक्रेट को रोटेट करें, और सुनिश्चित करें कि गेस्ट RADIUS इंस्टेंस की कॉर्पोरेट Active Directory तक कोई पहुंच न हो। captive portal परिनियोजन के लिए EAP-TLS और RadSec आवश्यकताएं कम प्रासंगिक हैं, लेकिन यदि captive portal कंट्रोलर RADIUS सर्वर से अलग नेटवर्क सेगमेंट में है तो भी RadSec पर विचार किया जाना चाहिए।

Q3. एक हेल्थकेयर ट्रस्ट अपने क्लिनिकल WiFi को WPA2-Personal से 802.1X प्रमाणीकरण पर माइग्रेट करने की योजना बना रहा है। ट्रस्ट के पास 1,200 क्लिनिकल डिवाइस हैं जिनमें Windows लैपटॉप, iOS टैबलेट और Android हैंडहेल्ड शामिल हैं। CISO लक्ष्य स्थिति के रूप में EAP-TLS चाहता है। IT निदेशक PKI परिनियोजन की जटिलता को लेकर चिंतित है और स्थायी समाधान के रूप में PEAP-MSCHAPv2 का प्रस्ताव करता है। आप CISO और IT निदेशक को क्या सलाह देते हैं, और अनुशंसित कार्यान्वयन का रास्ता क्या है?

संकेत: स्वास्थ्य सेवा (healthcare) वातावरण के लिए विशिष्ट थ्रेट मॉडल पर विचार करें - क्रेडेंशियल समझौता होने के क्या परिणाम होंगे, और EAP-TLS उन जोखिमों को कैसे संबोधित करता है जिन्हें PEAP-MSCHAPv2 नहीं करता?

मॉडल उत्तर देखें

CISO का सोचना सही है, लेकिन IT निदेशक की चिंता भी जायज है। अनुशंसित सलाह यह है: वर्तमान में एक अंतरिम स्थिति के रूप में PEAP-MSCHAPv2 को लागू करें, और EAP-TLS के लिए प्रतिबद्ध 12-महीने का रोडमैप तैयार करें। स्वास्थ्य सेवा में स्थायी समाधान के रूप में PEAP-MSCHAPv2 को स्वीकार न करने का तर्क है: (1) यदि क्लाइंट-साइड सर्टिफिकेट सत्यापन लागू नहीं किया जाता है, तो PEAP-MSCHAPv2 दुष्ट (rogue) RADIUS सर्वर हमलों के प्रति संवेदनशील है। स्वास्थ्य सेवा के माहौल में जहां क्लिनिकल कर्मचारी व्यक्तिगत उपकरणों को जोड़ सकते हैं, 1,200 उपकरणों पर लगातार सप्लिकेंट कॉन्फ़िगरेशन लागू करना परिचालन रूप से चुनौतीपूर्ण है। (2) MSCHAPv2 क्रेडेंशियल्स, यदि किसी दुष्ट RADIUS हमले के माध्यम से कैप्चर किए जाते हैं, तो hashcat जैसे उपकरणों का उपयोग करके ऑफ़लाइन क्रैक किए जा सकते हैं। स्वास्थ्य सेवा के संदर्भ में, वे क्रेडेंशियल्स संभवतः क्लिनिकल प्रणालियों तक भी पहुंच प्रदान करते हैं। (3) NHS DSPT और CQC आकलन तेजी से क्लिनिकल नेटवर्क पहुंच के लिए मजबूत प्रमाणीकरण नियंत्रण की अपेक्षा करते हैं। EAP-TLS एक मजबूत ऑडिट साक्ष्य स्थिति प्रदान करता है। कार्यान्वयन का रास्ता: महीना 1-2: सभी 1,200 उपकरणों पर MDM प्रोफाइल के माध्यम से लागू सर्वर सर्टिफिकेट सत्यापन के साथ PEAP-MSCHAPv2 तैनात करें। महीना 3-6: PKI बुनियादी ढांचे के रूप में Microsoft ADCS तैनात करें। Group Policy ऑटो-एनरोलमेंट के माध्यम से Windows उपकरणों को नामांकित करें। महीना 6-9: MDM सर्टिफिकेट प्रोफाइल के माध्यम से iOS और Android उपकरणों को नामांकित करें। महीना 9-12: क्लिनिकल SSID नीति को PEAP से EAP-TLS पर माइग्रेट करें। बढ़ी हुई निगरानी के साथ, उन सभी उपकरणों के लिए फ़ॉलबैक के रूप में PEAP को बनाए रखें जो सर्टिफिकेट नामांकन में विफल रहते हैं। क्लिनिकल नेटवर्क सुरक्षा आर्किटेक्चर के बारे में अधिक जानकारी के लिए, WiFi in Hospitals guide प्रासंगिक परिनियोजन संदर्भ प्रदान करता है।

इस श्रृंखला में आगे पढ़ें

कर्मचारी के जाने पर WiFi एक्सेस को कैसे निरस्त करें

यह गाइड IT और वेन्यू ऑपरेशन्स टीमों को दिखाती है कि जब कोई कर्मचारी नौकरी छोड़ता है, तो बाकी वर्कफोर्स को बाधित किए बिना स्टाफ WiFi एक्सेस को कैसे हटाया जाए। यह सर्टिफिकेट-आधारित 802.1X, पहचान-विशिष्ट iPSK और SCIM-driven डीप्रोविज़निंग की तुलना करता है, और फिर उसी दिन का रनबुक, परीक्षण विधि और ऑडिट साक्ष्य मॉडल प्रदान करता है।

गाइड पढ़ें →

गैस्ट WiFi के लिए RADIUS ऑथेंटिकेशन कॉन्फ़िगर करने के लिए एक नेटवर्क एडमिनिस्ट्रेटर की गाइड

गैस्ट WiFi के लिए RADIUS ऑथेंटिकेशन को डिप्लॉय करने पर नेटवर्क एडमिनिस्ट्रेटर के लिए एक व्यापक तकनीकी संदर्भ। इसमें आर्किटेक्चर, वेंडर-न्यूट्रल कॉन्फ़िगरेशन स्टेप्स, सुरक्षा के सर्वोत्तम तरीके और सामान्य डिप्लॉयमेंट विफलताओं को हल करना शामिल है।

गाइड पढ़ें →

सुरक्षित BYOD WiFi: Passpoint प्रमाणपत्र ऑनबोर्डिंग बनाम xPSK (iPSK)

ज़ीरो-टच Passpoint EAP-TLS प्रमाणपत्रों बनाम वेंडर-विशिष्ट xPSK (iPSK/easyPSK, DPSK, PPSK, MPSK) का उपयोग करके अप्रबंधित कर्मचारियों और छात्रों के उपकरणों (BYOD) को सुरक्षित करने पर IT टीमों के लिए एक व्यापक तकनीकी गाइड।

गाइड पढ़ें →

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।