मुख्य सामग्री पर जाएं
हिन्दी

MD5 कोलिजन हमलों के खिलाफ RADIUS को समझना और मजबूत करना

यह गाइड RADIUS MD5 कोलिजन भेद्यता (CVE-2024-3596, 'Blast-RADIUS') पर एक व्यापक तकनीकी संदर्भ प्रदान करता है, जिसमें बताया गया है कि कैसे मैन-इन-द-मिडल हमलावर उपयोगकर्ता क्रेडेंशियल जाने बिना ऑथेंटिकेशन स्वीकृतियों को जाली बनाने के लिए MD5-आधारित Response Authenticator की कमजोरियों का फायदा उठा सकते हैं। यह आतिथ्य (hospitality), रिटेल, इवेंट और सार्वजनिक क्षेत्र के वातावरण में एंटरप्राइज WiFi संचालित करने वाले IT प्रबंधकों, नेटवर्क आर्किटेक्ट्स और CTOs के लिए आवश्यक पठन है, जिन्हें अपने जोखिम का आकलन करने, तत्काल शमन लागू करने और आधुनिक ऑथेंटिकेशन मानकों में रणनीतिक माइग्रेशन की योजना बनाने की आवश्यकता है। यह गाइड पूर्ण हमले के जीवनचक्र, एक चरणबद्ध सुदृढ़ीकरण रोडमैप, वास्तविक दुनिया के परिनियोजन परिदृश्यों और PCI-DSS, GDPR और ISO 27001 के तहत अनुपालन निहितार्थों को कवर करता है।

📖 9 मिनट का पाठ📝 2,516 शब्द🔧 2 हल किए गए उदाहरण❓ 3 अभ्यास प्रश्न📚 9 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, Purple में एक सीनियर टेक्निकल कंटेंट स्ट्रैटेजिस्ट। आज, हम एंटरप्राइज-ग्रेड WiFi चलाने वाले किसी भी संगठन के लिए एक गंभीर, समय-संवेदनशील मुद्दे से निपट रहे हैं: एक 30 साल पुराने प्रोटोकॉल में एक नई व्यावहारिक भेद्यता जो हमलावरों को सीधे आपके डिजिटल मुख्य दरवाजे से अंदर आने की अनुमति दे सकती है। हम RADIUS प्रोटोकॉल और MD5 कोलिजन हमले के बारे में बात कर रहे हैं जिसे Blast-RADIUS के रूप में जाना जाता है। आतिथ्य (hospitality), रिटेल और बड़े सार्वजनिक वेन्यू में IT प्रबंधकों, नेटवर्क आर्किटेक्ट्स और CTOs के हमारे दर्शकों के लिए, यह केवल एक सैद्धांतिक समस्या नहीं है। यह आपके नेटवर्क की अखंडता, डेटा सुरक्षा और अनुपालन स्थिति के लिए एक सीधा खतरा है। अगले दस मिनट में, हम विश्लेषण करेंगे कि यह भेद्यता क्या है, यह कैसे काम करती है, और सबसे महत्वपूर्ण बात, शमन के लिए एक स्पष्ट, कार्रवाई योग्य रोडमैप प्रदान करेंगे। चाहे आप 200-कमरों के होटल, एक राष्ट्रीय रिटेल श्रृंखला, या 60,000-सीटों वाले स्टेडियम के लिए जिम्मेदार हों, यह ब्रीफिंग सीधे उन निर्णयों से प्रासंगिक है जो आपको इस तिमाही में लेने की आवश्यकता है। आइए कुछ संदर्भ के साथ शुरू करें। RADIUS — Remote Authentication Dial-In User Service — को 1991 में डायल-अप इंटरनेट के युग के दौरान डिज़ाइन किया गया था। यह एक क्लाइंट-सर्वर प्रोटोकॉल है जो नेटवर्क एक्सेस के लिए ऑथेंटिकेशन, ऑथराइजेशन और अकाउंटिंग को संभालता है। जब कोई स्टाफ सदस्य या डिवाइस आपके एंटरप्राइज WiFi से जुड़ता है, तो एक्सेस पॉइंट एक RADIUS क्लाइंट के रूप में कार्य करता है और एक केंद्रीय RADIUS सर्वर को ऑथेंटिकेशन अनुरोध भेजता है। सर्वर क्रेडेंशियल की जांच करता है और या तो Access-Accept या Access-Reject के साथ प्रतिक्रिया देता है। यह आदान-प्रदान तीन दशकों से अधिक समय से एंटरप्राइज नेटवर्क सुरक्षा की रीढ़ रहा है। समस्या यह है कि RADIUS को आधुनिक क्रिप्टोग्राफिक मानकों के अस्तित्व में आने से पहले डिज़ाइन किया गया था। प्रोटोकॉल सर्वर प्रतिक्रियाओं पर एक बुनियादी अखंडता जांच प्रदान करने के लिए MD5 हैशिंग एल्गोरिदम का उपयोग करता है — जिसे Response Authenticator नामक फ़ील्ड कहा जाता है। MD5 को पहली बार 2004 में क्रिप्टोग्राफिक रूप से टूटा हुआ दिखाया गया था। फिर भी हम यहाँ 2024 में हैं, और RADIUS अभी भी इस पर निर्भर है। उद्योग जानता था कि MD5 कमजोर था। प्रोटोकॉल को कभी अपडेट ही नहीं किया गया। अब तकनीकी गहन विश्लेषण में आते हैं। Blast-RADIUS हमला, जिसे औपचारिक रूप से CVE-2024-3596 सौंपा गया है, जुलाई 2024 में बोस्टन यूनिवर्सिटी, UC San Diego, CWI एम्स्टर्डम और Microsoft रिसर्च के शोधकर्ताओं की एक टीम द्वारा उजागर किया गया था। यह एक MD5 चुने हुए-उपसर्ग कोलिजन हमले के साथ एक प्रोटोकॉल-स्तरीय भेद्यता को जोड़ता है — और गंभीर रूप से, महत्वपूर्ण गति सुधारों के साथ जो हमले को वास्तविक समय में व्यावहारिक बनाते हैं। यहाँ बताया गया है कि यह कैसे काम करता है। एक मैन-इन-द-मिडल हमलावर खुद को RADIUS क्लाइंट — आपके एक्सेस पॉइंट — और RADIUS सर्वर के बीच नेटवर्क पथ पर स्थापित करता है। जब कोई उपयोगकर्ता ऑथेंटिकेट करने का प्रयास करता है, तो हमलावर Access-Request पैकेट को इंटरसेप्ट करता है। वे इस अनुरोध में एक विशेष रूप से तैयार किया गया दुर्भावनापूर्ण एट्रिब्यूट इंजेक्ट करते हैं। यह एट्रिब्यूट एक गणितीय कोलिजन का कारण बनने के लिए डिज़ाइन किया गया है: एक ऐसी स्थिति जहाँ दो अलग-अलग इनपुट एक ही MD5 हैश उत्पन्न करते हैं। हमलावर इस कोलिजन की पूर्व-गणना करता है ताकि सर्वर से वैध Access-Reject प्रतिक्रिया का MD5 हैश हमलावर द्वारा बनाई गई जाली Access-Accept प्रतिक्रिया के MD5 हैश से मेल खाए। जब सर्वर अपना Access-Reject लौटाता है, तो हमलावर अपनी जाली Access-Accept को प्रतिस्थापित कर देता है। RADIUS क्लाइंट Response Authenticator की जांच करता है, इसे वैध पाता है — क्योंकि MD5 हैश मेल खाते हैं — और नेटवर्क एक्सेस प्रदान करता है। हमलावर को कभी भी उपयोगकर्ता का पासवर्ड जानने की आवश्यकता नहीं थी। उन्हें कभी भी RADIUS क्लाइंट और सर्वर के बीच साझा सीक्रेट जानने की आवश्यकता नहीं थी। उन्होंने जाली प्रतिक्रिया को वैध दिखाने के लिए केवल MD5 में गणितीय कमजोरी का फायदा उठाया। और आधुनिक हार्डवेयर के साथ, आवश्यक MD5 कोलिजन की गणना पांच मिनट से भी कम समय में की जा सकती है। यह कोई सैद्धांतिक हमला नहीं है। यह आज परिचालन रूप से व्यावहारिक है। यह भेद्यता UDP पर PAP — Password Authentication Protocol — CHAP, और MS-CHAP ऑथेंटिकेशन मोड का उपयोग करने वाले सभी RADIUS परिनियोजनों को प्रभावित करती है। ये एंटरप्राइज वातावरण में अत्यंत आम हैं, विशेष रूप से लीगेसी परिनियोजनों में। केवल वही ऑथेंटिकेशन मोड सुरक्षित हैं जो EAP — Extensible Authentication Protocol — का उपयोग कर रहे हैं क्योंकि EAP अपना खुद का क्रिप्टोग्राफिक टनल स्थापित करता है जो MD5 Response Authenticator से स्वतंत्र है। मुझे व्यावसायिक जोखिम को ठोस शब्दों में रखने दें। एक होटल श्रृंखला पर विचार करें। एक हमलावर जो कॉर्पोरेट नेटवर्क तक अनधिकृत पहुंच प्राप्त करता है, वह संपत्ति प्रबंधन प्रणाली (property management system) तक पहुंचने, अतिथि रिकॉर्ड तक पहुंचने, पॉइंट-ऑफ-सेल टर्मिनलों तक पहुंचने और संभावित रूप से भुगतान कार्ड डेटा चोरी करने के लिए लेटरल मूवमेंट कर सकता है। आतिथ्य (hospitality) क्षेत्र के डेटा उल्लंघन की औसत लागत तीन मिलियन पाउंड से अधिक है। GDPR के तहत, अतिथि व्यक्तिगत डेटा से जुड़े उल्लंघन पर वैश्विक वार्षिक टर्नओवर का चार प्रतिशत तक का जुर्माना लगाया जा सकता है। PCI-DSS के तहत, कार्डधारक डेटा से जुड़े उल्लंघन के परिणामस्वरूप अनिवार्य फोरेंसिक जांच, कार्ड ब्रांड जुर्माना और भुगतान प्रसंस्करण विशेषाधिकारों का संभावित नुकसान हो सकता है। वित्तीय और प्रतिष्ठित दांव काफी बड़े हैं। अब कार्यान्वयन सिफारिशों के लिए। आप इसके खिलाफ कैसे बचाव करते हैं? प्रतिक्रिया के दो स्तर हैं: तत्काल सुदृढ़ीकरण और दीर्घकालिक आधुनिकीकरण। तत्काल कार्रवाई CVE-2024-3596 के लिए विक्रेता पैच लागू करना है। प्रत्येक प्रमुख RADIUS विक्रेता — Cisco ISE, Microsoft NPS, FreeRADIUS, Juniper, Aruba, Ruckus — ने अपडेट जारी किए हैं। पैचिंग के साथ-साथ, महत्वपूर्ण कॉन्फ़िगरेशन बदलाव सभी RADIUS क्लाइंट और सर्वर पर Message-Authenticator एट्रिब्यूट को लागू करना है। RFC 2869 में परिभाषित यह एट्रिब्यूट पूरे RADIUS पैकेट पर HMAC-आधारित अखंडता जांच प्रदान करता है। Response Authenticator के विपरीत, HMAC संरचना चुने हुए-उपसर्ग कोलिजन हमले के प्रति संवेदनशील नहीं है। इस एट्रिब्यूट की आवश्यकता के लिए अपने इन्फ्रास्ट्रक्चर को कॉन्फ़िगर करना — और इसके बिना आने वाले किसी भी संदेश को अस्वीकार करना — तत्काल हमले के रास्ते को बंद कर देता है। FreeRADIUS के लिए, इसका मतलब है कि आपकी क्लाइंट कॉन्फ़िगरेशन फ़ाइल में require_message_authenticator equals yes सेट करना। Microsoft NPS के लिए, यह आपकी नेटवर्क पॉलिसी कॉन्फ़िगरेशन में एक पॉलिसी सेटिंग है। यह एक कम-व्यवधान वाला बदलाव है जिसे आमतौर पर रखरखाव विंडो (maintenance window) के भीतर तैनात किया जा सकता है। हालांकि, Message-Authenticator प्रवर्तन एक कामचलाऊ व्यवस्था (stop-gap) है, समाधान नहीं। दीर्घकालिक रणनीतिक प्रतिक्रिया EAP-आधारित ऑथेंटिकेशन पर माइग्रेट करना है। गोल्ड स्टैंडर्ड EAP-TLS के साथ WPA3-Enterprise है। EAP-TLS प्रमाणपत्र-आधारित पारस्परिक ऑथेंटिकेशन का उपयोग करता है — क्लाइंट डिवाइस और RADIUS सर्वर दोनों को एक विश्वसनीय प्रमाणपत्र प्राधिकरण (Certificate Authority) से वैध डिजिटल प्रमाणपत्र प्रस्तुत करने होंगे। यह साझा सीक्रेट को पूरी तरह से समाप्त कर देता है, MD5 पर निर्भरता को हटा देता है, और सुरक्षा का एक ऐसा स्तर प्रदान करता है जो हमलों के उस पूरे वर्ग से सुरक्षित है जिसका प्रतिनिधित्व Blast-RADIUS करता है। उन वातावरणों के लिए जहां एक पूर्ण PKI इन्फ्रास्ट्रक्चर तैनात करना जटिल है — विशेष रूप से उच्च डिवाइस टर्नओवर या ब्रिंग-योर-ओन-डिवाइस (BYOD) नीतियों वाले वेन्यू — PEAP के साथ MSCHAPv2 एक स्वीकार्य अंतरिम कदम है, बशर्ते कि क्लाइंट्स को RADIUS सर्वर प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर किया गया हो। सर्वर प्रमाणपत्र सत्यापन के बिना, PEAP दुष्ट एक्सेस पॉइंट हमलों के प्रति संवेदनशील है, जो एक अलग लेकिन समान रूप से गंभीर जोखिम है। आधुनिकीकरण रोडमैप का अंतिम चरण TLS पर RADIUS को तैनात करना है, जिसे RADSEC के रूप में जाना जाता है। RADSEC एक पारस्परिक रूप से ऑथेंटिकेट किए गए TLS सत्र के भीतर सभी RADIUS ट्रैफ़िक को एनकैप्सुलेट करता है, जो पूरे ऑथेंटिकेशन एक्सचेंज के लिए पूर्ण गोपनीयता और अखंडता प्रदान करता है। यह Blast-RADIUS जैसे ट्रांसपोर्ट-लेयर हमलों को असंभव बनाता है, क्योंकि इंटरसेप्ट करने के लिए कोई अनएन्क्रिप्टेड RADIUS ट्रैफ़िक नहीं होता है। RADSEC विशेष रूप से वितरित वातावरणों — होटल श्रृंखलाओं, रिटेल नेटवर्क, स्टेडियम परिसरों — में मूल्यवान है जहाँ RADIUS ट्रैफ़िक एक्सेस पॉइंट और केंद्रीय ऑथेंटिकेशन सर्वर के बीच कई नेटवर्क सेगमेंट से होकर गुजर सकता है। आइए रैपिड-फायर Q&A पर चलते हैं। प्रश्न एक: हम EAP का उपयोग करते हैं। क्या हम सुरक्षित हैं? यदि आप EAP-TLS, PEAP, या EAP-TTLS का उपयोग कर रहे हैं, तो आप विशिष्ट Blast-RADIUS MD5 कोलिजन हमले के प्रति संवेदनशील नहीं हैं। हालांकि, आपको अभी भी रक्षा-गहन उपाय के रूप में विक्रेता पैच लागू करने चाहिए, और आपको यह सुनिश्चित करने के लिए अपने कॉन्फ़िगरेशन का ऑडिट करना चाहिए कि सभी क्लाइंट्स पर सर्वर प्रमाणपत्र सत्यापन लागू है। प्रश्न दो: हमारा RADIUS ट्रैफ़िक एक समर्पित प्रबंधन VLAN में है। क्या यह हमारी रक्षा करता है? यह हमले के दायरे को कम करता है, लेकिन भेद्यता को समाप्त नहीं करता है। एक हमलावर जिसने प्रबंधन नेटवर्क पर किसी भी डिवाइस से पहले ही समझौता कर लिया है, वह अभी भी मैन-इन-द-मिडल हमला कर सकता है। सेगमेंटेशन सुरक्षा की एक मूल्यवान परत है, लेकिन इसे Message-Authenticator प्रवर्तन और EAP माइग्रेशन के साथ जोड़ा जाना चाहिए। प्रश्न तीन: तत्काल शमन कितना कठिन है? अधिकांश वातावरणों के लिए, Message-Authenticator को लागू करना एक सीधा कॉन्फ़िगरेशन बदलाव है। प्राथमिक चुनौती यह सुनिश्चित करना है कि सभी नेटवर्क डिवाइस — एक्सेस पॉइंट, स्विच, कंट्रोलर — एट्रिब्यूट का समर्थन करते हैं और इसे सक्षम किया है। लीगेसी हार्डवेयर पर ऑथेंटिकेशन विफलताओं से बचने के लिए सर्वर-साइड आवश्यकता को लागू करने से पहले एक डिवाइस ऑडिट आवश्यक है। प्रश्न चार: क्या मैं पता लगा सकता हूँ कि मुझ पर हमला हुआ है? यह बहुत कठिन है। जाली Access-Accept पैकेट RADIUS क्लाइंट के लिए वैध प्रतीत होता है क्योंकि MD5 हैश सही निकलता है। आपका सबसे अच्छा पहचान दृष्टिकोण असामान्य सफल ऑथेंटिकेशन के लिए RADIUS अकाउंटिंग लॉग की निगरानी करना है — जैसे अप्रत्याशित डिवाइस प्रकार, MAC पते जो आपकी इन्वेंट्री से मेल नहीं खाते हैं, या असामान्य समय पर सफल लॉगिन। स्वचालित अलर्टिंग के लिए अपने SIEM के साथ अपने RADIUS अकाउंटिंग डेटा को एकीकृत करें। संक्षेप में और आपके अगले कदमों को रेखांकित करने के लिए। Blast-RADIUS भेद्यता UDP पर लीगेसी RADIUS ऑथेंटिकेशन चलाने वाले किसी भी संगठन के लिए एक गंभीर, व्यावहारिक रूप से शोषण योग्य खतरा है। हमले के लिए किसी क्रेडेंशियल ज्ञान की आवश्यकता नहीं होती है और इसे मिनटों में निष्पादित किया जा सकता है। आपकी तत्काल प्राथमिकता अपने इन्फ्रास्ट्रक्चर का ऑडिट करना, विक्रेता पैच लागू करना और सभी RADIUS क्लाइंट और सर्वर पर Message-Authenticator एट्रिब्यूट को लागू करना है। आपका मध्यम अवधि का लक्ष्य EAP-TLS और WPA3-Enterprise पर माइग्रेट करना है। आपका दीर्घकालिक आर्किटेक्चरल लक्ष्य RADSEC है। Purple में, हम इंटेलिजेंस लेयर प्रदान करते हैं जो आपको अपने वेन्यू के WiFi नेटवर्क को समझने और सुरक्षित करने में मदद करती है। हमारा प्लेटफ़ॉर्म आपको डिवाइस प्रकारों की पहचान करने, ऑथेंटिकेशन पैटर्न की निगरानी करने और यह सुनिश्चित करने की दृश्यता देता है कि आपकी सुरक्षा नीतियां आपके एस्टेट के हर एक्सेस पॉइंट पर प्रभावी ढंग से लागू की जा रही हैं। आपकी कार्य योजना तीन शब्द हैं: ऑडिट, पैच और आधुनिकीकरण (Audit, Patch, and Modernise)। 30 साल पुराने प्रोटोकॉल को अपनी सुरक्षा स्थिति की कमजोर कड़ी न बनने दें। इस Purple टेक्निकल ब्रीफिंग में शामिल होने के लिए धन्यवाद। सुरक्षित रहें।

header_image.png

कार्यकारी सारांश

RADIUS प्रोटोकॉल, जो 1991 से एंटरप्राइज नेटवर्क ऑथेंटिकेशन का एक मुख्य आधार रहा है, में एक गंभीर और अब व्यावहारिक रूप से शोषण योग्य (exploitable) भेद्यता (vulnerability) है। जुलाई 2024 में CVE-2024-3596 के तहत उजागर और 'Blast-RADIUS' नाम की यह खामी, एक मैन-इन-द-मिडल (MitM) हमलावर को, जो RADIUS क्लाइंट और सर्वर के बीच स्थित है, एक वैध ऑथेंटिकेशन अप्रूवल को जाली बनाने की अनुमति देती है — यानी एक वैध 'Access-Reject' को 'Access-Accept' में बदलना — बिना उपयोगकर्ता का पासवर्ड या साझा RADIUS सीक्रेट जाने। यह हमला MD5 चुने हुए-उपसर्ग (chosen-prefix) कोलिजन तकनीकों का फायदा उठाता है, जिन्हें आधुनिक हार्डवेयर के साथ मिनटों में निष्पादित किया जा सकता है।

वेन्यू ऑपरेटरों और एंटरप्राइज IT टीमों के लिए, व्यावसायिक जोखिम सीधा है: एक हमलावर जो अनधिकृत नेटवर्क एक्सेस प्राप्त करता है, वह इन्फ्रास्ट्रक्चर में लेटरल मूवमेंट कर सकता है, पॉइंट-ऑफ-सेल सिस्टम तक पहुंच सकता है, मेहमानों का डेटा चोरी कर सकता है, और PCI-DSS और GDPR के तहत अनुपालन उल्लंघनों को ट्रिगर कर सकता है। PAP, CHAP, या MS-CHAP ऑथेंटिकेशन मोड के साथ RADIUS/UDP चलाने वाला प्रत्येक संगठन तब तक असुरक्षित है जब तक कि पैच लागू नहीं किए जाते और आर्किटेक्चरल बदलावों की योजना नहीं बनाई जाती। तत्काल शमन (mitigation) — सभी RADIUS ट्रैफ़िक पर Message-Authenticator एट्रिब्यूट को लागू करना — एक कम-व्यवधान वाला कॉन्फ़िगरेशन बदलाव है जो सभी प्रमुख विक्रेताओं से उपलब्ध है। रणनीतिक प्रतिक्रिया EAP-TLS और RADIUS over TLS (RADSEC) में चरणबद्ध माइग्रेशन है।

mitigation_roadmap.png

तकनीकी गहन विश्लेषण

RADIUS प्रोटोकॉल और इसकी क्रिप्टोग्राफिक विरासत

RADIUS (Remote Authentication Dial-In User Service), जिसे RFC 2865 में मानकीकृत किया गया है, को एक ऐसे युग में डिज़ाइन किया गया था जब नेटवर्क सुरक्षा आवश्यकताएं मौलिक रूप से भिन्न थीं। यह प्रोटोकॉल UDP पर काम करता है और संदेश की अखंडता (integrity) प्रदान करने के लिए RADIUS क्लाइंट (आमतौर पर एक एक्सेस पॉइंट या नेटवर्क एक्सेस सर्वर) और RADIUS सर्वर के बीच एक साझा सीक्रेट का उपयोग करता है। विशेष रूप से, सर्वर प्रतिक्रियाओं को Response Authenticator नामक एक संरचना का उपयोग करके 'ऑथेंटिकेट' किया जाता है, जिसकी गणना इस प्रकार की जाती है:

MD5(Code || ID || Length || RequestAuthenticator || Attributes || SharedSecret)

यह संरचना कभी भी एक उचित संदेश ऑथेंटिकेशन कोड (MAC) नहीं थी। यह HMAC से पहले का है, जिसे 1997 में सटीक रूप से कच्चे हैश-आधारित MAC की कमजोरियों को दूर करने के लिए मानकीकृत किया गया था। HMAC पेश किए जाने पर RADIUS विनिर्देश (specification) को अपडेट नहीं किया गया था, और न ही तब जब 2004 में पहली बार MD5 कोलिजन का प्रदर्शन किया गया था। यह आर्किटेक्चरल ऋण अब एक गंभीर दायित्व बन गया है।

Blast-RADIUS हमले की कार्यप्रणाली

Blast-RADIUS हमला (CVE-2024-3596) तीन तत्वों को जोड़ता है: RADIUS द्वारा अपने Response Authenticator को बनाने के तरीके में एक प्रोटोकॉल-स्तरीय भेद्यता, एक MD5 चुने हुए-उपसर्ग (chosen-prefix) कोलिजन तकनीक, और कोलिजन गणना में महत्वपूर्ण गति सुधार जो वास्तविक समय के नेटवर्क इंटरसेप्शन परिदृश्य में हमले को व्यावहारिक बनाते हैं।

हमला इस प्रकार आगे बढ़ता है। एक MitM हमलावर RADIUS क्लाइंट से सर्वर पर भेजे गए Access-Request पैकेट को इंटरसेप्ट करता है। हमलावर इस अनुरोध में एक दुर्भावनापूर्ण एट्रिब्यूट इंजेक्ट करता है — एक सावधानीपूर्वक तैयार किया गया पेलोड जो वैध सर्वर प्रतिक्रिया के MD5 हैश और हमलावर की वांछित जाली प्रतिक्रिया के MD5 हैश के बीच कोलिजन का कारण बनेगा। जब सर्वर एक Access-Reject (एक विफल ऑथेंटिकेशन) लौटाता है, तो हमलावर पूर्व-गणना किए गए कोलिजन का उपयोग करके एक वैध Access-Accept पैकेट तैयार करता है, जिसमें एक Response Authenticator भी शामिल होता है जिसे RADIUS क्लाइंट वास्तविक मानकर स्वीकार कर लेगा। हमलावर को साझा सीक्रेट या उपयोगकर्ता के क्रेडेंशियल जानने की आवश्यकता नहीं होती है।

बोस्टन यूनिवर्सिटी, UC San Diego, CWI एम्स्टर्डम और Microsoft के शोधकर्ताओं ने प्रदर्शित किया कि अनुकूलित एल्गोरिदम के साथ, इस हमले के लिए आवश्यक MD5 चुने हुए-उपसर्ग कोलिजन को कमोडिटी हार्डवेयर पर पांच मिनट से भी कम समय में गिना जा सकता है। यह हमले को RADIUS क्लाइंट और सर्वर के बीच नेटवर्क पथ तक पहुंच रखने वाले एक दृढ़ विरोधी के लिए परिचालन रूप से व्यावहारिक बनाता है।

attack_vector_diagram.png

प्रभावित ऑथेंटिकेशन मोड

यह भेद्यता गैर-EAP ऑथेंटिकेशन विधियों का उपयोग करने वाले सभी RADIUS/UDP परिनियोजनों को प्रभावित करती है। नीचे दी गई तालिका ऑथेंटिकेशन मोड द्वारा जोखिम को संक्षेप में प्रस्तुत करती है:

ऑथेंटिकेशन मोड प्रोटोकॉल क्या Blast-RADIUS के प्रति संवेदनशील है? नोट्स
PAP Password Authentication Protocol हाँ लीगेसी परिनियोजनों में सबसे आम
CHAP Challenge Handshake Authentication Protocol हाँ PAP से थोड़ा मजबूत, फिर भी असुरक्षित
MS-CHAP / MS-CHAPv2 Microsoft CHAP हाँ Windows वातावरण में आम
EAP-MD5 EAP with MD5 हाँ अप्रचलित (Deprecated); पूरी तरह से बचें
PEAP (MSCHAPv2 inner) Protected EAP नहीं (EAP टनल सुरक्षा करता है) सही सर्वर प्रमाणपत्र सत्यापन की आवश्यकता है
EAP-TLS EAP with TLS नहीं अनुशंसित गोल्ड स्टैंडर्ड
EAP-TTLS EAP Tunnelled TLS नहीं स्वीकार्य विकल्प

महत्वपूर्ण अंतर यह है कि EAP-आधारित विधियां ऑथेंटिकेशन के लिए अपना खुद का क्रिप्टोग्राफिक टनल स्थापित करती हैं, जो MD5 Response Authenticator पर निर्भर नहीं है। यह उन्हें विशिष्ट Blast-RADIUS हमले के प्रति प्रतिरक्षित (immune) बनाता है।

VLAN सेगमेंटेशन क्यों पर्याप्त नहीं है

एक आम गलतफहमी यह है कि RADIUS ट्रैफ़िक को एक समर्पित प्रबंधन VLAN में अलग करने से पर्याप्त सुरक्षा मिलती है। हालांकि नेटवर्क सेगमेंटेशन एक अच्छी सुरक्षा प्रथा है, लेकिन यह Blast-RADIUS जोखिम को समाप्त नहीं करती है। एक हमलावर जिसने पहले से ही प्रबंधन नेटवर्क पर किसी डिवाइस से समझौता कर लिया है — फ़िशिंग हमले, आपूर्ति-श्रृंखला समझौते, या किसी अन्य भेद्यता के शोषण के माध्यम से — वह खुद को RADIUS ट्रैफ़िक पथ पर MitM के रूप में स्थापित कर सकता है। हमले के लिए केवल नेटवर्क-पथ तक पहुंच की आवश्यकता होती है, बाहरी इंटरनेट पहुंच की नहीं। सेगमेंटेशन हमले के दायरे (attack surface) को कम करता है लेकिन अंतर्निहित क्रिप्टोग्राफिक कमजोरी को समाप्त नहीं करता है।

कार्यान्वयन गाइड

चरण 1: तत्काल सुदृढ़ीकरण (सप्ताह 1-2)

पहली प्राथमिकता सभी RADIUS इन्फ्रास्ट्रक्चर में CVE-2024-3596 के लिए विक्रेता पैच लागू करना है। सभी प्रमुख विक्रेताओं — जिनमें Cisco ISE, Microsoft NPS, FreeRADIUS, Juniper, Aruba, और Ruckus शामिल हैं — ने अपडेट जारी किए हैं। पैचिंग के साथ-साथ, महत्वपूर्ण कॉन्फ़िगरेशन बदलाव सभी RADIUS क्लाइंट और सर्वर पर Message-Authenticator एट्रिब्यूट को लागू करना है।

Message-Authenticator एट्रिब्यूट (RFC 2869 में परिभाषित) पूरे RADIUS पैकेट पर एक HMAC-MD5 अखंडता जांच प्रदान करता है। Response Authenticator के विपरीत, यह संरचना चुने हुए-उपसर्ग कोलिजन हमले के प्रति संवेदनशील नहीं है क्योंकि HMAC संरचना हैश को साझा सीक्रेट से इस तरह बांधती है जो हमलावर को वैध जालसाजी करने से रोकती है। इस एट्रिब्यूट की आवश्यकता के लिए क्लाइंट और सर्वर को कॉन्फ़िगर करना — और किसी भी ऐसे संदेश को अस्वीकार करना जिसमें यह शामिल नहीं है — तत्काल हमले के रास्ते को बंद कर देता है।

FreeRADIUS के लिए, इसमें clients.conf फ़ाइल में require_message_authenticator = yes सेट करना शामिल है। Microsoft NPS के लिए, समकक्ष नीति को नेटवर्क पॉलिसी सेटिंग्स के माध्यम से लागू किया जाता है। Cisco ISE के लिए, यह सेटिंग ऑथेंटिकेशन पॉलिसी के तहत RADIUS क्लाइंट कॉन्फ़िगरेशन में उपलब्ध है। सटीक कॉन्फ़िगरेशन चरणों के लिए CVE-2024-3596 के लिए अपने विक्रेता की विशिष्ट सलाह से परामर्श करें।

चरण 2: ऑथेंटिकेशन आधुनिकीकरण (महीने 1-3)

मध्यम अवधि का उद्देश्य WiFi ऑथेंटिकेशन को लीगेसी PAP/CHAP मोड से EAP-आधारित विधियों में माइग्रेट करना है। एंटरप्राइज WiFi वातावरण के लिए, अनुशंसित पथ WPA3-Enterprise के साथ EAP-TLS है। इसके लिए डिवाइस और/या उपयोगकर्ता प्रमाणपत्र जारी करने के लिए एक पब्लिक की इन्फ्रास्ट्रक्चर (PKI) तैनात करने, इन प्रमाणपत्रों को सत्यापित करने के लिए आपके RADIUS सर्वर को कॉन्फ़िगर करने, और क्लाइंट डिवाइसों को उपयुक्त प्रमाणपत्रों और RADIUS सर्वर ट्रस्ट एंकरों के साथ प्रोविज़निंग करने की आवश्यकता होती है।

उन वातावरणों के लिए जहां प्रमाणपत्र परिनियोजन जटिल है — जैसे कि उच्च डिवाइस टर्नओवर या BYOD नीतियों वाले वेन्यू — PEAP के साथ MSCHAPv2 एक स्वीकार्य अंतरिम कदम प्रदान करता है, बशर्ते कि क्लाइंट को RADIUS सर्वर प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर किया गया हो। सर्वर प्रमाणपत्र सत्यापन के बिना, PEAP दुष्ट एक्सेस पॉइंट (rogue access point) हमलों के प्रति संवेदनशील है। पूरे नेटवर्क में सुसंगत ऑथेंटिकेशन नीति सुनिश्चित करने के लिए वायर्ड इन्फ्रास्ट्रक्चर पर एक साथ IEEE 802.1X पोर्ट-आधारित एक्सेस कंट्रोल लागू किया जाना चाहिए।

चरण 3: ट्रांसपोर्ट लेयर सुरक्षा (महीने 3-12)

दीर्घकालिक आर्किटेक्चरल लक्ष्य RFC 6614 में मानकीकृत RADIUS over TLS (RADSEC) का उपयोग करके एक TLS टनल के भीतर सभी RADIUS ट्रैफ़िक को एनकैप्सुलेट करना है। RADSEC, UDP को TCP से बदल देता है और पूरे RADIUS सत्र को पारस्परिक रूप से ऑथेंटिकेट किए गए TLS कनेक्शन में लपेटता है। यह सभी ऑथेंटिकेशन ट्रैफ़िक के लिए गोपनीयता, अखंडता और रीप्ले सुरक्षा प्रदान करता है, जिससे MD5 Response Authenticator अप्रासंगिक हो जाता है क्योंकि ट्रांसपोर्ट लेयर स्वयं क्रिप्टोग्राफिक रूप से सुरक्षित होती है।

RADSEC विशेष रूप से वितरित परिनियोजनों में मूल्यवान है — जैसे कि होटल श्रृंखलाएं, रिटेल नेटवर्क, या स्टेडियम वातावरण — जहां RADIUS ट्रैफ़िक मध्यवर्ती नेटवर्क सेगमेंट से होकर गुजर सकता है। IETF वर्तमान में RADIUS over TLS और DTLS को मानक-ट्रैक स्थिति में आगे बढ़ा रहा है, जो उद्योग की आम सहमति को दर्शाता है कि संवेदनशील परिनियोजनों के लिए RADIUS/UDP को अप्रचलित किया जाना चाहिए।

सर्वोत्तम प्रथाएं

निम्नलिखित विक्रेता-तटस्थ सर्वोत्तम प्रथाएं एंटरप्राइज WiFi ऑथेंटिकेशन सुरक्षा के लिए वर्तमान उद्योग मानकों और नियामक मार्गदर्शन को दर्शाती हैं।

Message-Authenticator को सार्वभौमिक रूप से लागू करें। आपके एस्टेट में प्रत्येक RADIUS क्लाइंट और सर्वर को Message-Authenticator एट्रिब्यूट भेजने और उसकी आवश्यकता के लिए कॉन्फ़िगर किया जाना चाहिए। यह आज उपलब्ध सबसे अधिक प्रभाव वाला, सबसे कम व्यवधान वाला एकल कार्य है। Blast-RADIUS अनुसंधान टीम के मार्गदर्शन के अनुसार, यह एट्रिब्यूट Access-Accept और Access-Reject प्रतिक्रियाओं में पहले एट्रिब्यूट के रूप में दिखाई देना चाहिए।

EAP-TLS को ऑथेंटिकेशन मानक के रूप में अपनाएं। EAP-TLS के साथ IEEE 802.1X पारस्परिक प्रमाणपत्र-आधारित ऑथेंटिकेशन प्रदान करता है जो Blast-RADIUS हमले के वर्ग से सुरक्षित है और वायरलेस नेटवर्क एक्सेस में EAP विधियों के लिए NIST SP 800-120 सिफारिशों के अनुरूप है। WPA3-Enterprise उच्चतम सुरक्षा स्तर के लिए EAP-TLS के साथ 192-बिट सुरक्षा मोड को अनिवार्य करता है।

RADIUS साझा सीक्रेट को नियमित रूप से घुमाएं (Rotate)। हालांकि Blast-RADIUS हमले के लिए साझा सीक्रेट के ज्ञान की आवश्यकता नहीं होती है, मजबूत, अद्वितीय साझा सीक्रेट (न्यूनतम 32 वर्ण, बेतरतीब ढंग से उत्पन्न) अन्य हमले के वर्गों से जोखिम को कम करते हैं। सीक्रेट को कम से कम सालाना और किसी भी संदिग्ध समझौते पर तुरंत घुमाया जाना चाहिए।

RADIUS अकाउंटिंग और विसंगति (anomaly) निगरानी लागू करें। RADIUS अकाउंटिंग लॉग ऑथेंटिकेशन घटनाओं का एक ऑडिट ट्रेल प्रदान करते हैं। असामान्य पैटर्न की निगरानी करना — जैसे कि अप्रत्याशित डिवाइस प्रकारों, MAC पतों से या असामान्य समय पर सफल ऑथेंटिकेशन — शोषण की प्रारंभिक चेतावनी प्रदान कर सकता है। स्वचालित अलर्टिंग के लिए अपने SIEM के साथ RADIUS अकाउंटिंग को एकीकृत करें।

RADIUS ट्रैफ़िक को विभाजित (Segment) करें। हालांकि यह एक पूर्ण शमन नहीं है, सख्त ACL के साथ एक समर्पित प्रबंधन VLAN में RADIUS ट्रैफ़िक रखने से उन उपकरणों की संख्या कम हो जाती है जिनका उपयोग MitM पिवट पॉइंट के रूप में किया जा सकता है। यह सुनिश्चित करने के लिए नेटवर्क एक्सेस कंट्रोल के साथ संयोजन करें कि केवल अधिकृत डिवाइस ही RADIUS सर्वर तक पहुंच सकें।

PCI-DSS आवश्यकताओं के साथ संरेखित करें। PCI-DSS v4.0 आवश्यकता 8.6 सभी खातों के लिए मजबूत ऑथेंटिकेशन को अनिवार्य करती है। आवश्यकता 1.3 के लिए नेटवर्क सेगमेंटेशन नियंत्रणों की आवश्यकता होती है। भुगतान कार्ड डेटा को संसाधित करने वाले संगठनों को यह सुनिश्चित करना चाहिए कि उनका WiFi ऑथेंटिकेशन आर्किटेक्चर इन आवश्यकताओं को पूरा करता है, और Blast-RADIUS भेद्यता सीधे दायरे में आने वाले किसी भी नेटवर्क सेगमेंट के लिए अनुपालन स्थिति को प्रभावित करती है।

समस्या निवारण और जोखिम शमन

सुदृढ़ीकरण के दौरान सामान्य विफलता मोड

Message-Authenticator लागू करते समय सबसे आम समस्या लीगेसी डिवाइस असंगति (incompatibility) है। पुराने एक्सेस पॉइंट, स्विच या VPN कंसंट्रेटर एट्रिब्यूट का समर्थन नहीं कर सकते हैं, जिससे सर्वर को इसकी आवश्यकता के लिए कॉन्फ़िगर करने के बाद ऑथेंटिकेशन विफल हो जाता है। अनुशंसित दृष्टिकोण सर्वर-साइड आवश्यकता को लागू करने से पहले सभी RADIUS क्लाइंट का ऑडिट करना है, और उन उपकरणों की एक सूची बनाए रखना है जिन्हें फ़र्मवेयर अपडेट या प्रतिस्थापन की आवश्यकता है।

दूसरी आम समस्या EAP-TLS माइग्रेशन के दौरान प्रमाणपत्र सत्यापन विफलताएं हैं। यदि क्लाइंट डिवाइसों को सही RADIUS सर्वर प्रमाणपत्र ट्रस्ट एंकर के साथ प्रोविज़निंग नहीं किया गया है, तो वे सर्वर प्रमाणपत्र को अस्वीकार कर देंगे और ऑथेंटिकेशन विफल हो जाएगा। यह विशेष रूप से BYOD वातावरण में प्रचलित है। प्रमाणपत्र प्रोफाइल को पुश करने के लिए मोबाइल डिवाइस प्रबंधन (MDM) समाधान तैनात करना मानक समाधान है।

RADSEC माइग्रेशन के दौरान साझा सीक्रेट बेमेल (mismatches) हो सकते हैं यदि TLS प्रमाणपत्र कॉमन नेम (Common Name) अपेक्षित क्लाइंट पहचानकर्ता से मेल नहीं खाता है। सुनिश्चित करें कि प्रमाणपत्र विषय नाम सर्वर पर कॉन्फ़िगर किए गए RADIUS क्लाइंट IP पते या होस्टनाम के अनुरूप हैं।

उन वातावरणों के लिए जोखिम शमन जो तुरंत पैच नहीं कर सकते

उन वातावरणों के लिए जहां तत्काल पैचिंग व्यवहार्य नहीं है — जैसे कि लीगेसी औद्योगिक नियंत्रण प्रणाली या एम्बेडेड नेटवर्क डिवाइस — सख्त नेटवर्क एक्सेस नियंत्रण लागू करके जोखिम को आंशिक रूप से कम किया जा सकता है जो यह सीमित करते हैं कि कौन से होस्ट RADIUS सर्वर के साथ संचार कर सकते हैं, जिससे MitM हमलावर को ट्रैफ़िक इंटरसेप्ट करने का अवसर कम हो जाता है। यह केवल एक अस्थायी उपाय है; एक पैचिंग और प्रतिस्थापन रोडमैप स्थापित किया जाना चाहिए।

ROI और व्यावसायिक प्रभाव

जोखिम की मात्रा निर्धारित करना

उल्लंघन लागत और अनुपालन दायित्व के संदर्भ में तैयार किए जाने पर RADIUS सुदृढ़ीकरण के लिए व्यावसायिक मामला सीधा है। होटल या रिटेल वातावरण में एक सफल Blast-RADIUS शोषण एक हमलावर को कॉर्पोरेट नेटवर्क तक पहुंच प्रदान कर सकता है, जो संभावित रूप से पॉइंट-ऑफ-सेल सिस्टम, अतिथि डेटा रिपॉजिटरी और बैक-ऑफिस इन्फ्रास्ट्रक्चर तक पहुंच सकता है। उद्योग बेंचमार्क के अनुसार, आतिथ्य (hospitality) क्षेत्र में डेटा उल्लंघन की औसत लागत £3 मिलियन से अधिक है, जिसमें GDPR के तहत नियामक जुर्माना संभावित रूप से वैश्विक वार्षिक टर्नओवर का 4% तक हो सकता है।

PCI-DSS के दायरे में आने वाले संगठनों के लिए, एक नेटवर्क ऑथेंटिकेशन विफलता जिसके परिणामस्वरूप कार्डधारक डेटा का खुलासा होता है, अनिवार्य फोरेंसिक जांच, कार्ड ब्रांड जुर्माना और कार्ड प्रोसेसिंग विशेषाधिकारों के संभावित नुकसान को ट्रिगर कर सकती है — ये ऐसी लागतें हैं जो EAP-TLS और RADSEC को लागू करने के लिए आवश्यक निवेश से कहीं अधिक हैं।

कार्यान्वयन लागत बेंचमार्क

नीचे दी गई तालिका विशिष्ट वेन्यू वातावरणों में तीन-चरण के सुदृढ़ीकरण रोडमैप के लिए सांकेतिक लागत और प्रयास अनुमान प्रदान करती है:

चरण कार्रवाई अनुमानित प्रयास अनुमानित लागत जोखिम में कमी
चरण 1 पैच + Message-Authenticator लागू करना 1-3 दिन (IT टीम) केवल स्टाफ का समय उच्च (तत्काल CVE बंद करता है)
चरण 2 EAP-TLS / WPA3-Enterprise माइग्रेशन 2-6 सप्ताह PKI + MDM लाइसेंसिंग बहुत उच्च
चरण 3 RADSEC परिनियोजन 4-12 सप्ताह इन्फ्रास्ट्रक्चर अपग्रेड व्यापक

सुरक्षा से परे परिचालन लाभ

EAP-TLS और RADSEC पर माइग्रेट करना सुरक्षा सुदृढ़ीकरण से परे परिचालन लाभ प्रदान करता है। प्रमाणपत्र-आधारित ऑथेंटिकेशन बड़े डिवाइस बेड़े में साझा पासवर्ड के प्रबंधन और रोटेशन के परिचालन ओवरहेड को समाप्त करता है। WPA3-Enterprise घने वातावरण में कनेक्शन विश्वसनीयता में सुधार करता है — स्टेडियमों और सम्मेलन केंद्रों के लिए एक मापने योग्य लाभ जहां सैकड़ों डिवाइस ऑथेंटिकेशन के लिए प्रतिस्पर्धा करते हैं। RADSEC का TCP ट्रांसपोर्ट उच्च-विलंबता (high-latency) या नुकसानदेह नेटवर्क स्थितियों में UDP की तुलना में बेहतर विश्वसनीयता भी प्रदान करता, जिससे अंतिम उपयोगकर्ताओं के लिए ऑथेंटिकेशन अनुभव में सुधार होता है।

hospitality_implementation.png

मुख्य परिभाषाएं

RADIUS (Remote Authentication Dial-In User Service)

एक क्लाइंट-सर्वर नेटवर्किंग प्रोटोकॉल (RFC 2865) जो नेटवर्क से जुड़ने वाले उपयोगकर्ताओं के लिए केंद्रीकृत ऑथेंटिकेशन, ऑथराइजेशन और अकाउंटिंग (AAA) प्रदान करता है। RADIUS क्लाइंट (एक्सेस पॉइंट, स्विच, VPN कंसंट्रेटर) ऑथेंटिकेशन अनुरोधों को एक केंद्रीय RADIUS सर्वर पर अग्रेषित करते हैं, जो क्रेडेंशियल को सत्यापित करता है और एक Access-Accept या Access-Reject प्रतिक्रिया लौटाता है।

IT टीमें एंटरप्राइज WiFi (802.1X), VPN एक्सेस और नेटवर्क डिवाइस प्रशासन के लिए ऑथेंटिकेशन बैकबोन के रूप में RADIUS का सामना करती हैं। इसकी उम्र और आर्किटेक्चरल सीमाएं अब CVE-2024-3596 के तहत एक सीधा सुरक्षा दायित्व हैं।

MD5 Chosen-Prefix Collision Attack

MD5 हैश फ़ंक्शन के खिलाफ एक क्रिप्टोग्राफिक हमला जिसमें एक हमलावर एक ही MD5 हैश के साथ दो अलग-अलग संदेशों का निर्माण करता है, जहां दोनों संदेश हमलावर द्वारा चुने गए उपसर्गों (prefixes) से शुरू होते हैं। यह एक मानक कोलिजन हमले की तुलना में अधिक शक्तिशाली है क्योंकि हमलावर दोनों कोलाइडिंग संदेशों की सार्थक सामग्री को नियंत्रित कर सकता है।

यह Blast-RADIUS में उपयोग की जाने वाली विशिष्ट हमला तकनीक है। हमलावर इसका उपयोग एक RADIUS Response Authenticator को जाली बनाने के लिए करता है जिसे क्लाइंट वास्तविक मानकर स्वीकार कर लेगा, भले ही प्रतिक्रिया सामग्री को Access-Reject से Access-Accept में बदल दिया गया हो।

Response Authenticator

RADIUS प्रतिक्रिया पैकेट (Access-Accept, Access-Reject, Access-Challenge) में एक 16-बाइट फ़ील्ड जिसकी गणना MD5(Code || ID || Length || RequestAuthenticator || Attributes || SharedSecret) के रूप में की जाती है। इसका उद्देश्य सर्वर प्रतिक्रिया की अखंडता को सत्यापित करना है लेकिन यह एक उचित क्रिप्टोग्राफिक MAC नहीं है और Blast-RADIUS हमले के प्रति संवेदनशील है।

नेटवर्क आर्किटेक्ट्स को यह समझने की आवश्यकता है कि Response Authenticator वह विशिष्ट फ़ील्ड है जिसे Blast-RADIUS हमले में जाली बनाया जा रहा है। Message-Authenticator एट्रिब्यूट को लागू करना एक मजबूत अखंडता जांच प्रदान करता है जो समान कोलिजन तकनीक के प्रति संवेदनशील नहीं है।

Message-Authenticator Attribute

एक RADIUS एट्रिब्यूट (एट्रिब्यूट 80, RFC 2869 में परिभाषित) जो सभी एट्रिब्यूट्स सहित पूरे RADIUS पैकेट पर एक HMAC-MD5 अखंडता जांच प्रदान करता है। Response Authenticator के विपरीत, HMAC संरचना अखंडता जांच को साझा सीक्रेट से इस तरह बांधती है जो चुने हुए-उपसर्ग कोलिजन जालसाजी को रोकती है।

सभी RADIUS क्लाइंट और सर्वर पर Message-Authenticator एट्रिब्यूट को लागू करना CVE-2024-3596 के लिए प्राथमिक अल्पकालिक शमन है। IT टीमों को यह सत्यापित करना चाहिए कि किसी भी प्रतिक्रिया को स्वीकार करने से पहले सभी RADIUS इन्फ्रास्ट्रक्चर को पैच किया गया है और इस एट्रिब्यूट की आवश्यकता के लिए कॉन्फ़िगर किया गया है।

EAP-TLS (Extensible Authentication Protocol – Transport Layer Security)

एक EAP विधि (RFC 5216) जो क्लाइंट और RADIUS सर्वर के बीच पारस्परिक प्रमाणपत्र-आधारित ऑथेंटिकेशन के लिए TLS का उपयोग करती है। दोनों पक्षों को एक विश्वसनीय प्रमाणपत्र प्राधिकरण (Certificate Authority) से वैध डिजिटल प्रमाणपत्र प्रस्तुत करने होंगे। यह Blast-RADIUS हमले से सुरक्षित है और एंटरप्राइज WiFi ऑथेंटिकेशन के लिए अनुशंसित गोल्ड स्टैंडर्ड है।

CTOs और नेटवर्क आर्किटेक्ट्स को सभी एंटरप्राइज WiFi ऑथेंटिकेशन के लिए EAP-TLS को लक्षित स्थिति के रूप में मानना चाहिए। इसके लिए एक PKI इन्फ्रास्ट्रक्चर की आवश्यकता होती है लेकिन यह साझा सीक्रेट, पासवर्ड-आधारित हमलों और MD5 भेद्यता वर्ग को पूरी तरह से समाप्त कर देता है।

RADSEC (RADIUS over TLS)

एक प्रोटोकॉल एक्सटेंशन (RFC 6614) जो पारंपरिक UDP ट्रांसपोर्ट को बदलकर, TCP पर पारस्परिक रूप से ऑथेंटिकेट किए गए TLS सत्र के भीतर RADIUS संदेशों को एनकैप्सुलेट करता है। RADSEC सभी RADIUS ट्रैफ़िक के लिए गोपनीयता, अखंडता और रीप्ले सुरक्षा प्रदान करता, जिससे Blast-RADIUS जैसे ट्रांसपोर्ट-लेयर हमले असंभव हो जाते हैं।

RADSEC, RADIUS सुरक्षा के लिए दीर्घकालिक आर्किटेक्चरल समाधान है। यह विशेष रूप से वितरित परिनियोजनों (होटल श्रृंखलाओं, रिटेल नेटवर्क) में मूल्यवान है जहां RADIUS ट्रैफ़िक कई नेटवर्क सेगमेंट से होकर गुजरता है। Cisco, Juniper, Aruba, और FreeRADIUS सहित विक्रेता RADSEC का समर्थन करते हैं।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक IEEE मानक जो LAN या WLAN से जुड़ने के इच्छुक उपकरणों के लिए एक ऑथेंटिकेशन तंत्र प्रदान करता है। यह ऑथेंटिकेशन ढांचे के रूप में EAP का और बैकएंड ऑथेंटिकेशन सर्वर के रूप में RADIUS का उपयोग करता है। 802.1X यह सुनिश्चित करता है कि केवल ऑथेंटिकेट किए गए डिवाइस ही नेटवर्क संसाधनों तक पहुंच सकें।

802.1X वह ढांचा (framework) है जिसके भीतर एंटरप्राइज WiFi के लिए RADIUS और EAP काम करते हैं। WPA2/WPA3-Enterprise लागू करने वाले IT प्रबंधक 802.1X तैनात कर रहे हैं। ऑथेंटिकेशन नीतियों को कॉन्फ़िगर करने और एक्सेस समस्याओं के निवारण के लिए इस संबंध को समझना आवश्यक है।

WPA3-Enterprise

Wi-Fi Protected Access 3 (WPA3) सुरक्षा मानक का एंटरप्राइज संस्करण, जो 802.1X ऑथेंटिकेशन को अनिवार्य करता है और, अपने उच्चतम सुरक्षा मोड (192-बिट) में, 384-बिट एलिप्टिक कर्व सिफर सूट के साथ EAP-TLS की आवश्यकता होती है। WPA3-Enterprise, WPA2-Enterprise की तुलना में काफी मजबूत सुरक्षा गारंटी प्रदान करता है और सही ढंग से कॉन्फ़िगर होने पर Blast-RADIUS हमले से सुरक्षित रहता है।

नए WiFi परिनियोजनों या प्रमुख इन्फ्रास्ट्रक्चर रिफ्रेश की योजना बनाने वाले नेटवर्क आर्किटेक्ट्स को न्यूनतम सुरक्षा मानक के रूप में WPA3-Enterprise निर्दिष्ट करना चाहिए। यह 2020 के बाद निर्मित सभी आधुनिक एक्सेस पॉइंट्स और क्लाइंट डिवाइसों द्वारा समर्थित है।

Man-in-the-Middle (MitM) Attack

एक ऐसा हमला जिसमें विरोधी गुप्त रूप से उन दो पक्षों के बीच संचार को इंटरसेप्ट करता है और संभावित रूप से बदल देता है जो मानते हैं कि वे एक-दूसरे से सीधे संवाद कर रहे हैं। Blast-RADIUS के संदर्भ में, MitM को RADIUS क्लाइंट (एक्सेस पॉइंट) और RADIUS सर्वर के बीच रखा जाता है, जिससे वे ऑथेंटिकेशन प्रतिक्रियाओं को इंटरसेप्ट और जाली बनाने में सक्षम होते हैं।

Blast-RADIUS हमले के लिए MitM पोजिशनिंग की आवश्यकता होती है। यह एक साझा नेटवर्क सेगमेंट पर ARP स्पूफिंग, एक मध्यवर्ती नेटवर्क डिवाइस के समझौते, या नेटवर्क इन्फ्रास्ट्रक्चर तक भौतिक पहुंच के माध्यम से प्राप्त किया जा सकता है। इस खतरे के मॉडल को समझने से IT टीमों को RADIUS-विशिष्ट शमन के साथ-साथ नेटवर्क सेगमेंटेशन और डिवाइस सुदृढ़ीकरण को प्राथमिकता देने में मदद मिलती है।

हल किए गए उदाहरण

12 संपत्तियों वाली एक 350-कमरों की लक्जरी होटल श्रृंखला कर्मचारियों के WiFi के लिए RADIUS सर्वर के रूप में Microsoft NPS के साथ Cisco Meraki एक्सेस पॉइंट चला रही है। ऑथेंटिकेशन MSCHAPv2 के माध्यम से होता है। IT निदेशक को CVE-2024-3596 के बारे में सतर्क किया गया है और उन्हें 24/7 होटल संचालन को बाधित किए बिना जोखिम का आकलन करने और शमन उपायों को लागू करने की आवश्यकता है।

तत्काल प्राथमिकता यह पुष्टि करना है कि Microsoft NPS को Message-Authenticator प्रवर्तन पैच (जुलाई 2024 में जारी) को शामिल करने के लिए अपडेट किया गया है। NPS में, RADIUS क्लाइंट्स और सर्वर कॉन्फ़िगरेशन पर नेविगेट करें और सभी कॉन्फ़िगर किए गए RADIUS क्लाइंट्स के लिए 'Require Message-Authenticator' सेटिंग सक्षम करें। Meraki की तरफ, पुष्टि करें कि फ़र्मवेयर संस्करण Access-Request पैकेट में Message-Authenticator एट्रिब्यूट भेजने का समर्थन करता है — Meraki ने Q3 2024 में CVE-2024-3596 को संबोधित करते हुए एक फ़र्मवेयर अपडेट जारी किया था। यह कॉन्फ़िगरेशन बदलाव न्यूनतम अतिथि प्रभाव के साथ कम-ट्रैफ़िक विंडो (आमतौर पर स्थानीय समयानुसार 03:00-05:00) के दौरान तैनात किया जा सकता है, क्योंकि यह केवल कर्मचारियों के ऑथेंटिकेशन को प्रभावित करता है। एक बार चरण 1 स्थिर हो जाने पर, MSCHAPv2 से EAP-TLS में माइग्रेशन की योजना बनाएं। समूह नीति (Group Policy) के माध्यम से सभी कर्मचारी उपकरणों को कंप्यूटर प्रमाणपत्र जारी करने के लिए एक Microsoft Active Directory Certificate Services (ADCS) PKI तैनात करें। EAP-TLS नेटवर्क नीति के साथ NPS को कॉन्फ़िगर करें और Meraki SSID सुरक्षा सेटिंग्स को EAP-TLS के साथ WPA2/WPA3-Enterprise पर अपडेट करें। सभी प्रबंधित उपकरणों पर NPS सर्वर प्रमाणपत्र ट्रस्ट एंकर को पुश करने के लिए Meraki के Systems Manager MDM का उपयोग करें। जोखिम का प्रबंधन करने के लिए संपत्ति-दर-संपत्ति रोल आउट करें, सबसे कम अधिभोग (occupancy) वाली संपत्ति से शुरू करें।

परीक्षक की टिप्पणी: यह परिदृश्य मध्य-बाजार आतिथ्य (hospitality) परिनियोजनों के बहुमत का प्रतिनिधि है। मुख्य अंतर्दृष्टि यह है कि MSCHAPv2 Blast-RADIUS के प्रति संवेदनशील है, भले ही यह एक 'चैलेंज-रिस्पॉन्स' प्रोटोकॉल है, क्योंकि भेद्यता RADIUS ट्रांसपोर्ट लेयर में है, न कि आंतरिक ऑथेंटिकेशन विधि में। 24/7 संचालन के लिए चरणबद्ध रोलआउट दृष्टिकोण महत्वपूर्ण है — पूरी श्रृंखला में एक साथ माइग्रेशन का प्रयास करना अस्वीकार्य परिचालन जोखिम पैदा करता है। मौजूदा Microsoft इन्फ्रास्ट्रक्चर (ADCS, Group Policy, NPS) का उपयोग अतिरिक्त लाइसेंसिंग लागतों को कम करता है। विकल्प — अंतर्निहित EAP-TLS समर्थन के साथ क्लाउड-आधारित RADIUS सेवा तैनात करना — मौजूदा PKI इन्फ्रास्ट्रक्चर के बिना छोटी श्रृंखलाओं के लिए व्यवहार्य है, लेकिन ऑथेंटिकेशन के लिए इंटरनेट कनेक्टिविटी पर निर्भरता पेश करता है।

200 स्टोर वाली एक राष्ट्रीय रिटेल श्रृंखला अपने स्टोर नेटवर्क इन्फ्रास्ट्रक्चर पर 802.1X ऑथेंटिकेशन के लिए एक केंद्रीकृत FreeRADIUS सर्वर का उपयोग करती है। प्रत्येक स्टोर में प्रबंधित कॉर्पोरेट उपकरणों (Windows लैपटॉप, हैंडहेल्ड स्कैनर) और अप्रबंधित IoT उपकरणों (डिजिटल साइनेज, भुगतान टर्मिनल) का मिश्रण है। नेटवर्क टीम को भुगतान कार्ड वातावरण के लिए PCI-DSS अनुपालन बनाए रखते हुए Blast-RADIUS के खिलाफ सुदृढ़ करने की आवश्यकता है।

यह पुष्टि करने के लिए नेटवर्क सेगमेंटेशन ऑडिट से शुरू करें कि स्टोर एक्सेस पॉइंट्स और केंद्रीय FreeRADIUS सर्वर के बीच RADIUS ट्रैफ़िक भुगतान कार्ड डेटा वातावरण (CDE) से अलग है। यदि RADIUS ट्रैफ़िक किसी ऐसे सेगमेंट से होकर गुजरता है जो PCI-DSS के दायरे में है, तो इसे प्राथमिकता के रूप में संबोधित किया जाना चाहिए। FreeRADIUS को संस्करण 3.2.3 या बाद के संस्करण में अपडेट करें, जिसमें Message-Authenticator प्रवर्तन सुधार शामिल है। FreeRADIUS clients.conf फ़ाइल में, सभी स्टोर RADIUS क्लाइंट्स के लिए 'require_message_authenticator = yes' जोड़ें। प्रबंधित डिवाइस बेड़े के लिए, मौजूदा PKI या क्लाउड प्रमाणपत्र प्राधिकरण का उपयोग करके EAP-TLS तैनात करें। अप्रबंधित IoT उपकरणों के लिए जो 802.1X का समर्थन नहीं कर सकते हैं, CDE में लेटरल मूवमेंट को रोकने वाले सख्त फ़ायरवॉल नियमों के साथ एक अलग, पृथक VLAN पर MAC Authentication Bypass (MAB) लागू करें। यह सुनिश्चित करता है कि भले ही किसी IoT डिवाइस के MAC पते को स्पूफ किया गया हो, हमलावर को केवल IoT VLAN तक पहुंच प्राप्त होगी, न कि कॉर्पोरेट या भुगतान नेटवर्क तक। RADSEC माइग्रेशन के लिए, प्रत्येक स्टोर पर एक RADSEC प्रॉक्सी तैनात करें जो स्थानीय UDP RADIUS ट्रैफ़िक को समाप्त करता है और इसे TLS पर केंद्रीय FreeRADIUS सर्वर पर अग्रेषित करता, जिससे हर स्टोर के नेटवर्क डिवाइस फ़र्मवेयर को एक साथ अपग्रेड करने की आवश्यकता से बचा जा सके।

परीक्षक की टिप्पणी: रिटेल परिदृश्य मिश्रित प्रबंधित और अप्रबंधित डिवाइस वातावरण की गंभीर चुनौती पेश करता, जो बहु-साइट रिटेल में अपवाद के बजाय आदर्श है। मुख्य आर्किटेक्चरल निर्णय यह है कि IoT उपकरणों को कभी भी कॉर्पोरेट उपकरणों के समान ऑथेंटिकेशन पथ पर न रखें — उन्हें अलग-अलग ट्रस्ट स्तरों और अलग-अलग जोखिम प्रोफाइलों की आवश्यकता होती है। RADSEC प्रॉक्सी दृष्टिकोण बड़े वितरित एस्टेट के लिए एक व्यावहारिक समाधान है जहां अल्पावधि में हर एज डिवाइस को अपग्रेड करना व्यवहार्य नहीं है; यह सबसे संवेदनशील सेगमेंट (स्टोर और केंद्रीय सर्वर के बीच WAN) के लिए ट्रांसपोर्ट-लेयर सुरक्षा प्रदान करता है जबकि चरणबद्ध डिवाइस अपग्रेड कार्यक्रम की अनुमति देता है। PCI-DSS अनुपालन के लिए आवश्यक है कि CDE को संवेदनशील ऑथेंटिकेशन पथ से स्पष्ट रूप से अलग किया जाए, जिसे VLAN सेगमेंटेशन और MAB दृष्टिकोण प्राप्त करता है।

अभ्यास प्रश्न

Q1. आपका संगठन एक 500-सीटों वाला सम्मेलन केंद्र संचालित करता है जो कॉर्पोरेट कार्यक्रमों की मेजबानी करता है। वेन्यू का WiFi, FreeRADIUS सर्वर के साथ WPA2-Enterprise और PEAP/MSCHAPv2 का उपयोग करता है। एक सुरक्षा सलाहकार ने अपनी रिपोर्ट में CVE-2024-3596 को चिह्नित किया है। वेन्यू निदेशक जानना चाहते हैं: (a) क्या आप वर्तमान में असुरक्षित हैं? (b) तत्काल जोखिम को बंद करने के लिए आवश्यक न्यूनतम कार्रवाई क्या है? (c) अनुशंसित दीर्घकालिक आर्किटेक्चर क्या है?

संकेत: विचार करें कि क्या PEAP, Blast-RADIUS के प्रति प्रतिरक्षा प्रदान करता है, और उस प्रतिरक्षा को बनाए रखने के लिए किन शर्तों को पूरा किया जाना चाहिए। उपचार (remediation) समयरेखा की योजना बनाते समय 24/7 वेन्यू वातावरण की परिचालन बाधाओं पर भी विचार करें।

मॉडल उत्तर देखें

(a) MSCHAPv2 के साथ PEAP एक EAP टनल का उपयोग करता है जो आंतरिक ऑथेंटिकेशन को Blast-RADIUS हमले से बचाता है, इसलिए आप सीधे CVE-2024-3596 के प्रति संवेदनशील नहीं हैं — बशर्ते कि क्लाइंट्स को FreeRADIUS सर्वर प्रमाणपत्र को सत्यापित करने के लिए सही ढंग से कॉन्फ़िगर किया गया हो। यदि प्रमाणपत्र सत्यापन लागू नहीं किया गया है, तो आप दुष्ट एक्सेस पॉइंट (rogue access point) हमलों के प्रति संवेदनशील हैं, जो एक अलग लेकिन समान रूप से गंभीर जोखिम है। आपको अभी भी FreeRADIUS को पैच किए गए संस्करण में अपडेट करना चाहिए और रक्षा-गहन (defence-in-depth) उपाय के रूप में Message-Authenticator लागू करना चाहिए। (b) न्यूनतम तत्काल कार्रवाई FreeRADIUS को संस्करण 3.2.3 या बाद के संस्करण में अपडेट करना और clients.conf में Message-Authenticator लागू करना है। इसके साथ ही, यह पुष्टि करने के लिए सभी क्लाइंट उपकरणों का ऑडिट करें कि सर्वर प्रमाणपत्र सत्यापन सक्षम है। (c) अनुशंसित दीर्घकालिक आर्किटेक्चर WPA3-Enterprise के साथ EAP-TLS है, जो प्रमाणपत्र जारी करने के लिए एक PKI द्वारा समर्थित है। उच्च डिवाइस टर्नओवर और BYOD वाले सम्मेलन केंद्र के लिए, प्रमाणपत्र प्रबंधन के परिचालन बोझ को कम करने के लिए स्वचालित प्रोविज़निंग के साथ क्लाउड-आधारित प्रमाणपत्र प्राधिकरण पर विचार करें।

Q2. एक रिटेल श्रृंखला की सुरक्षा टीम ने एक RADIUS ऑडिट पूरा किया है और अपने स्टोर नेटवर्क पर उपकरणों की तीन श्रेणियों की पहचान की है: (1) MS-CHAP का उपयोग करने वाले प्रबंधित Windows लैपटॉप, (2) PAP का उपयोग करने वाले Android हैंडहेल्ड स्कैनर, (3) IoT डिजिटल साइनेज डिवाइस जो 802.1X का बिल्कुल भी समर्थन नहीं करते हैं। उपचारात्मक (remediation) कार्रवाइयों को प्राथमिकता दें और प्रत्येक डिवाइस श्रेणी के लिए तर्क स्पष्ट करें।

संकेत: प्रत्येक ऑथेंटिकेशन मोड की सापेक्ष भेद्यता, प्रत्येक डिवाइस श्रेणी को EAP में माइग्रेट करने की व्यवहार्यता, और 802.1X का समर्थन नहीं करने वाले उपकरणों के लिए उपयुक्त नेटवर्क आर्किटेक्चर पर विचार करें।

मॉडल उत्तर देखें

तीनों श्रेणियों में कार्रवाई की आवश्यकता है, लेकिन दृष्टिकोण अलग है। श्रेणी 1 (Windows लैपटॉप, MS-CHAP): EAP-TLS माइग्रेशन के लिए सर्वोच्च प्राथमिकता क्योंकि MS-CHAP सीधे Blast-RADIUS के प्रति संवेदनशील है। समूह नीति (Group Policy) के माध्यम से कंप्यूटर प्रमाणपत्र तैनात करें और 30-60 दिनों के भीतर EAP-TLS पर माइग्रेट करें। अंतरिम उपाय के रूप में तुरंत Message-Authenticator लागू करें। श्रेणी 2 (Android स्कैनर, PAP): यह भी सीधे संवेदनशील है। PAP क्रेडेंशियल को ऐसे रूप में प्रसारित करता है जिसे RADIUS ट्रैफ़िक इंटरसेप्ट होने पर आसानी से पढ़ा जा सकता है, जिससे यह क्रेडेंशियल एक्सपोज़र के दृष्टिकोण से भी सबसे अधिक जोखिम वाली श्रेणी बन जाती है। Android के अंतर्निहित 802.1X समर्थन का उपयोग करके PEAP या EAP-TLS पर माइग्रेट करें। यदि स्कैनर फ़र्मवेयर EAP का समर्थन नहीं करता है, तो फ़र्मवेयर अपडेट या डिवाइस प्रतिस्थापन को प्राथमिकता दें। श्रेणी 3 (IoT साइनेज, कोई 802.1X नहीं): इसे EAP में माइग्रेट नहीं किया जा सकता है। कॉर्पोरेट नेटवर्क या CDE तक पहुंच को रोकने वाले सख्त फ़ायरवॉल नियमों के साथ एक समर्पित IoT VLAN पर MAC Authentication Bypass (MAB) लागू करें। स्वीकार करें कि MAB कमजोर ऑथेंटिकेशन प्रदान करता है (MAC पते स्पूफ किए जा सकते हैं) और नेटवर्क निगरानी और विसंगति पहचान के साथ इसकी भरपाई करें।

Q3. 50-संपत्तियों वाली एक होटल श्रृंखला की CTO आपसे 12 महीनों में £180,000 के अनुमानित बजट के साथ एक पूर्ण RADIUS आधुनिकीकरण कार्यक्रम (EAP-TLS + RADSEC) के लिए व्यावसायिक मामला प्रस्तुत करने के लिए कहती हैं। वह समझना चाहती हैं: कम किया जा रहा जोखिम, अनुपालन लाभ, और सुरक्षा से परे परिचालन ROI। आप व्यावसायिक मामले को कैसे संरचित करते हैं?

संकेत: व्यावसायिक मामले को तीन स्तंभों के इर्द-गिर्द तैयार करें: जोखिम की मात्रा निर्धारित करना (उल्लंघन की लागत क्या है?), अनुपालन मूल्य (यह किन जुर्मानों या ऑडिट लागतों से बचाता है?), और परिचालन दक्षता (यह सुरक्षा से परे क्या सक्षम बनाता है?)। संदर्भ बिंदु के रूप में 350-कमरों के होटल परिदृश्य का उपयोग करें।

मॉडल उत्तर देखें

व्यावसायिक मामले को तीन स्तंभों के इर्द-गिर्द संरचित करें। जोखिम की मात्रा निर्धारित करना: एक ही संपत्ति पर एक सफल Blast-RADIUS शोषण अतिथि PII, भुगतान प्रणालियों और बैक-ऑफिस इन्फ्रास्ट्रक्चर तक नेटवर्क पहुंच प्रदान कर सकता है। औसत आतिथ्य (hospitality) डेटा उल्लंघन की लागत उपचार, अधिसूचना और प्रतिष्ठा के नुकसान में £3M+ है। 50 संपत्तियों पर, कुल जोखिम महत्वपूर्ण है। £180,000 का निवेश एकल उल्लंघन लागत के 6% से भी कम का प्रतिनिधित्व करता है। अनुपालन मूल्य: PCI-DSS v4.0 को दायरे में आने वाले सभी प्रणालियों के लिए मजबूत ऑथेंटिकेशन की आवश्यकता होती है। EAP-TLS और RADSEC सीधे आवश्यकताओं 8.6 (ऑथेंटिकेशन प्रबंधन) और 1.3 (network segmentation) को पूरा करते हैं। एक PCI-DSS लेवल 1 फोरेंसिक जांच (आमतौर पर £50,000-£150,000) और संभावित कार्ड ब्रांड जुर्मानों से बचना कार्यक्रम की लागत को सही ठहराता है। GDPR अनुच्छेद 32 के लिए 'उपयुक्त तकनीकी उपायों' की आवश्यकता होती है — एक प्रलेखित आधुनिकीकरण कार्यक्रम अनुपालन उचित तत्परता (due diligence) को प्रदर्शित करता है। परिचालन ROI: प्रमाणपत्र-आधारित ऑथेंटिकेशन 50 संपत्तियों में साझा WiFi पासवर्ड के प्रबंधन के ओवरहेड को समाप्त करता है (रोटेशन और वितरण के लिए प्रति वर्ष प्रति संपत्ति अनुमानित 2-4 घंटे)। WPA3-Enterprise उच्च-घनत्व वाले वातावरण में कनेक्शन विश्वसनीयता में सुधार करता है, जिससे सीधे अतिथि संतुष्टि स्कोर में सुधार होता है। RADSEC का TCP ट्रांसपोर्ट उच्च-विलंबता वाले WAN कनेक्शन वाली संपत्तियों में ऑथेंटिकेशन विफलताओं को कम करता है। संयुक्त रूप से, ये परिचालन लाभ बचाए गए प्रशासन समय में प्रति वर्ष अनुमानित 200-300 IT घंटों का प्रतिनिधित्व करते हैं।

इस श्रृंखला में आगे पढ़ें

अतिथि और स्टाफ WiFi नेटवर्क के लिए RADIUS ऑथेंटिकेशन को कॉन्फ़िगर करना

यह तकनीकी संदर्भ गाइड एंटरप्राइज़ अतिथि और स्टाफ WiFi नेटवर्क के लिए RADIUS ऑथेंटिकेशन के आर्किटेक्चर, कॉन्फ़िगरेशन और डिप्लॉयमेंट की रूपरेखा तैयार करती है। यह नेटवर्क आर्किटेक्ट्स और IT प्रबंधकों को सुरक्षित, स्केलेबल वायरलेस एक्सेस कंट्रोल सिस्टम बनाने के लिए आवश्यक सटीक प्रोटोकॉल, सुरक्षा मानक और ट्रबलशूटिंग कार्यप्रणाली प्रदान करती है।

गाइड पढ़ें →

Passpoint और OpenRoaming: संपूर्ण गाइड

यह तकनीकी संदर्भ गाइड एंटरप्राइज़ WiFi नेटवर्क के भीतर Passpoint (हॉटस्पॉट 2.0) और WBA OpenRoaming फ्रेमवर्क का एक व्यापक विश्लेषण प्रदान करती है। यह सुरक्षित, निर्बाध अतिथि कनेक्टिविटी स्थापित करने के लिए आवश्यक बुनियादी ऑथेंटिकेशन प्रोटोकॉल, आर्किटेक्चरल घटकों और परिनियोजन रणनीतियों का विवरण देती है। नेटवर्क आर्किटेक्ट और IT लीडर्स सीखेंगे कि कैसे इन मानकों को डिज़ाइन, लागू और ट्रबलशूट किया जाए ताकि एंटरप्राइज़-ग्रेड सुरक्षा बनाए रखते हुए मैनुअल लॉगिन बाधाओं को समाप्त किया जा सके।

गाइड पढ़ें →

उच्च शिक्षा में सुरक्षित BYOD और नेटवर्क नामांकन के लिए SCEP को कैसे लागू करें

यह तकनीकी मार्गदर्शिका नेटवर्क आर्किटेक्ट्स और IT प्रबंधकों को उच्च शिक्षा परिसर नेटवर्क को सुरक्षित करने के लिए SCEP-आधारित प्रमाणपत्र नामांकन को तैनात करने के लिए एक वेंडर-न्यूट्रल ब्लूप्रिंट प्रदान करती है। यह विवरण देती है कि पासवर्ड-आधारित PEAP से 802.1X EAP-TLS पर कैसे माइग्रेट करें, BYOD ऑनबोर्डिंग को स्वचालित करें, और मजबूत VLAN सेगमेंटेशन लागू करें।

गाइड पढ़ें →