Mitigazione delle vulnerabilità RADIUS: una guida al rafforzamento della sicurezza

MITIGARE LE VULNERABILITÀ RADIUS: GUIDA AL RAFFORZAMENTO DELLA SICUREZZA Un briefing informativo di Purple WiFi [INTRODUZIONE — circa 1 minuto] Benvenuti. Sono il vostro ospite per il briefing di oggi e, nei prossimi dieci minuti, andremo dritti al cuore di un problema che tiene svegli molti architetti di rete e responsabili IT: la sicurezza dei server RADIUS. Se gestite il WiFi aziendale in un patrimonio alberghiero, una catena di negozi, uno stadio o un edificio del settore pubblico, la vostra infrastruttura RADIUS è uno dei componenti più critici — e più frequentemente trascurati — della vostra postura di sicurezza. Entriamo nel vivo dell'argomento. [CONTESTO — circa 1 minuto] Il RADIUS — Remote Authentication Dial-In User Service — è la spina dorsale del controllo degli accessi alla rete fin dalla metà degli anni Novanta. È il protocollo che si interpone tra i vostri punti di accesso e la vostra directory di identità, decidendo chi può accedere alla rete e chi no. Lo standard IEEE 802.1X, che è alla base di quasi tutte le distribuzioni di autenticazione cablate e WiFi aziendali, si affida al RADIUS per funzionare. Il problema è che il RADIUS è stato progettato in un'era in cui lo scenario delle minacce era molto diverso. Il protocollo utilizza l'UDP, che è privo di connessione e quindi più difficile da proteggere. Il suo meccanismo di autenticazione principale si è storicamente affidato all'hashing MD5, un algoritmo crittografico che si è dimostrato vulnerabile fin dal 2004. Inoltre, i segreti condivisi, ovvero le chiavi precondivise che autenticano i punti di accesso al server RADIUS, vengono spesso impostati una sola volta e mai ruotati. Nel 2024, alcuni ricercatori hanno pubblicato un attacco pratico contro il RADIUS chiamato BlastRADIUS — un attacco man-in-the-middle che sfrutta la vulnerabilità MD5 per contraffare le risposte di autenticazione. Non si tratta di teoria. È un vettore di attacco reale e documentato che colpisce le installazioni che eseguono FreeRADIUS, Cisco ISE e Microsoft NPS non patchati. Se non avete applicato le patch da metà 2024, siete esposti. La posta in gioco per il business è significativa. Un server RADIUS compromesso non significa solo un accesso WiFi non autorizzato. Significa che un utente malintenzionato può autenticarsi come qualsiasi utente sulla rete, aggirare la segmentazione della rete e potenzialmente accedere ai sistemi di pagamento, alle cartelle cliniche o alla tecnologia operativa. Per gli ambienti retail che elaborano pagamenti con carta, si tratta di una violazione diretta del PCI DSS. Per la sanità, è un problema di GDPR e di governance clinica. Per il settore dell'ospitalità, si tratta di un danno al marchio e di potenziali sanzioni normative. [APPROFONDIMENTO TECNICO — circa 5 minuti] Esaminiamo sistematicamente la superficie di attacco. La prima classe di vulnerabilità è il rischio di collisione MD5. RADIUS utilizza MD5 per proteggere l'attributo User-Password e per generare il campo Response Authenticator. MD5 produce un hash a 128 bit e gli attacchi di collisione — in cui due input diversi producono lo stesso hash — sono fattibili dal 2004. L'attacco BlastRADIUS sfrutta specificamente la mancanza di protezione dell'integrità sui pacchetti Access-Request. Un utente malintenzionato posizionato tra il dispositivo NAS — ovvero il server di accesso alla rete, in genere l'access point o lo switch — e il server RADIUS può iniettare un attributo appositamente creato nel pacchetto e forzare il server a restituire un Access-Accept, anche per una credenziale non valida. La soluzione in questo caso è duplice: applicare la patch al server RADIUS all'ultima versione e imporre il Message-Authenticator su tutti i pacchetti Access-Request. FreeRADIUS 3.2.5 e versioni successive lo richiedono per impostazione predefinita. La seconda classe di vulnerabilità è rappresentata da segreti condivisi deboli o statici. Il segreto condiviso è la chiave precondivisa tra il NAS e il server RADIUS. Se è breve, vulnerabile ad attacchi a dizionario o non viene ruotato da anni, rappresenta un rischio. RADIUS utilizza questo segreto per crittografare l'attributo User-Password e per generare il Response Authenticator. Un segreto condiviso debole significa che un utente malintenzionato che intercetta il traffico RADIUS — operazione banale su una rete che ha già parzialmente compromesso — può forzare la password offline tramite brute-force. La best practice prevede un minimo di 32 caratteri, generati casualmente e ruotati almeno una volta all'anno. Automatizza questa rotazione; eseguirla manualmente su un'infrastruttura di grandi dimensioni è soggetto a errori. La terza classe di vulnerabilità è il trasporto non crittografato. Il protocollo RADIUS standard viene eseguito su UDP sulla porta 1812 per l'autenticazione e 1813 per l'accounting. UDP non fornisce alcuna crittografia a livello di trasporto, nessun controllo di integrità e nessuna protezione contro i replay oltre a quanto implementato da RADIUS stesso — il che, come abbiamo stabilito, è insufficiente. RadSec, formalmente definito nella RFC 6614, incapsula RADIUS in TLS 1.2 o 1.3 sulla porta TCP 2083. Ciò fornisce un'autenticazione reciproca tramite certificati, la crittografia completa del payload RADIUS e la protezione contro i replay. Se si esegue RADIUS su un qualsiasi segmento di rete non attendibile — incluso un collegamento WAN tra una sede remota e un server RADIUS centrale — RadSec non è opzionale. È un requisito fondamentale. La quarta classe di vulnerabilità è la selezione del metodo EAP. Non tutti i metodi EAP sono uguali. EAP-MD5 deve essere considerato deprecato: non fornisce alcuna autenticazione reciproca e nessuna crittografia dello scambio di autenticazione. PEAP ed EAP-TTLS sono accettabili per la maggior parte delle implementazioni aziendali, poiché stabiliscono un tunnel TLS prima di trasmettere le credenziali e supportano l'autenticazione reciproca tramite certificati server. EAP-TLS è il gold standard: richiede che sia il server sia il client presentino certificati, eliminando completamente la password dallo scambio di autenticazione. Questo lo rende immune al phishing delle credenziali e agli attacchi di forza bruta. L'onere operativo derivante dall'implementazione di una PKI per il rilascio dei certificati client è reale, ma per gli ambienti ad alta sicurezza (reti sanitarie, zone di elaborazione dei pagamenti, sistemi retail di back-of-house) è la scelta giusta. La quinta classe di vulnerabilità è l'insufficiente registrazione e monitoraggio. I dati di accounting RADIUS sono una miniera d'oro per il rilevamento delle minacce e la maggior parte delle organizzazioni non li utilizza. Ogni tentativo di autenticazione, riuscito o fallito, genera un record di accounting. I pattern di autenticazioni non riuscite, le autenticazioni da indirizzi MAC imprevisti o le autenticazioni in orari insoliti sono tutti indicatori di compromissione. Integra il tuo flusso di accounting RADIUS nel tuo SIEM. Imposta avvisi per più di cinque autenticazioni non riuscite da un singolo indirizzo MAC entro sessanta secondi. Monitora le tempeste di Access-Reject, che possono indicare un attacco di credential stuffing in corso. [RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE — circa 2 minuti] Lascia che ti fornisca una sequenza pratica per un progetto di hardening. Inizia con l'applicazione delle patch. Questo non è negoziabile e dovrebbe essere fatto entro la tua prossima finestra di manutenzione. FreeRADIUS, Cisco ISE e Microsoft NPS hanno tutti rilasciato patch per BlastRADIUS a luglio 2024. Controlla la tua versione, applica la patch e verifica che l'applicazione del Message-Authenticator sia attiva. Successivamente, esegui un audit dei tuoi shared secret. Estrai l'elenco di ogni dispositivo NAS registrato sul tuo server RADIUS. Per ognuno, controlla la lunghezza e l'anzianità dello shared secret. Qualsiasi segreto inferiore a 20 caratteri o più vecchio di due anni dovrebbe essere ruotato immediatamente. Utilizza un gestore di password o un archivio di segreti (HashiCorp Vault funziona bene in questo caso) per memorizzarli e ruotarli a livello di codice. In terzo luogo, valuta il tuo metodo EAP. Se utilizzi EAP-MD5 in qualsiasi punto, avvia subito la migrazione. PEAP-MSCHAPv2 è una posizione provvisoria ragionevole per la maggior parte degli ambienti aziendali. Se disponi dell'infrastruttura PKI, EAP-TLS è lo stato obiettivo. In quarto luogo, implementa RadSec per qualsiasi traffico RADIUS che attraversa segmenti di rete non attendibili. Questo è particolarmente rilevante per le implementazioni multi-sito in cui un server RADIUS centrale serve sedi remote tramite Internet o una WAN condivisa. Quinto, abilita l'autenticazione a più fattori per l'accesso privilegiato al server RADIUS stesso. L'interfaccia di gestione del server è un bersaglio di alto valore. Imponi l'MFA per tutti gli accessi amministrativi e limita l'accesso di gestione a una rete di gestione out-of-band dedicata. Ora, le insidie. L'errore più comune che riscontro è che le organizzazioni applicano le patch al server RADIUS ma lasciano i dispositivi NAS su un firmware obsoleto che non supporta Message-Authenticator. La patch è efficace solo se applicata da entrambi i lati. Esegui un audit del firmware dei tuoi access point e switch come parte dello stesso progetto. La seconda insidia comune è la scadenza dei certificati. Se utilizzi EAP-TLS o RadSec, ci sono dei certificati in gioco. Un certificato del server RADIUS che scade silenziosamente causerà il fallimento simultaneo di ogni autenticazione sulla tua rete. Integra il monitoraggio della scadenza dei certificati nel tuo runbook operativo. Imposta avvisi a 90, 30 e 7 giorni prima della scadenza. La terza insidia è l'eccessivo affidamento sulla segmentazione della rete come controllo compensativo. La segmentazione è importante, ma non protegge da un utente malintenzionato che si è già autenticato tramite un server RADIUS compromesso. La difesa in profondità significa che hai bisogno sia del rafforzamento del RADIUS sia della segmentazione. [D&R RAPIDE — circa 1 minuto] Domanda: Ho bisogno di RadSec se il mio server RADIUS si trova sulla stessa LAN dei miei access point? Risposta: Se si trovano sulla stessa VLAN di gestione affidabile e segmentata, senza dispositivi non attendibili, il RADIUS standard su UDP è accettabile per la tratta da NAS a server. Ma se esiste una qualsiasi possibilità di movimento laterale da un dispositivo compromesso che raggiunge quella VLAN, RadSec aggiunge una protezione significativa a un costo contenuto. Domanda: Utilizziamo Microsoft NPS. Siamo interessati da BlastRADIUS? Risposta: Sì. Microsoft ha rilasciato una patch a luglio 2024. Applicala. Imponi anche la chiave di registro RequireMessageAuthenticator sul tuo server NPS. Domanda: Come gestisco il WiFi per gli ospiti? Gli ospiti non hanno certificati. Risposta: Il WiFi per gli ospiti utilizza in genere un modello di Captive Portal anziché l'802.1X, quindi il RADIUS viene utilizzato in modo diverso, spesso solo per il bypass dell'autenticazione MAC o per l'accounting. Si applicano le stesse regole di patching e igiene dei segreti condivisi, ma l'EAP-TLS non è rilevante per l'accesso degli ospiti non autenticati. Concentrati sull'isolamento dell'istanza RADIUS per gli ospiti dalla tua infrastruttura RADIUS aziendale. Domanda: Qual è il caso di ROI per una migrazione completa a EAP-TLS? Risposta: Quantificalo rispetto al rischio di violazione. Una singola violazione PCI DSS costa in media quattro milioni di sterline in sanzioni, rimedi e danni alla reputazione. Un'implementazione PKI per un parco di 500 dispositivi costa circa da 15.000 a 30.000 sterline in strumenti e servizi professionali. Il calcolo è semplice. [RIASSUNTO E PROSSIMI PASSI — circa 1 minuto] Lascia che ti indichi cinque cose da fare in questo trimestre. Uno: Applica la patch al tuo server RADIUS e a tutti i dispositivi NAS per BlastRADIUS. Fai questo come prima cosa. Due: Esegui un audit e ruota tutti i segreti condivisi. Automatizza la rotazione per il futuro. Tre: Imponi il Message-Authenticator su tutti i pacchetti Access-Request. Quattro: Implementa RadSec per qualsiasi traffico RADIUS che attraversa confini di rete non attendibili. Cinque: Integra i log di accounting RADIUS nel tuo SIEM e imposta avvisi di anomalia. La sicurezza RADIUS non è affascinante, ma è fondamentale. Gestisci correttamente questi cinque aspetti e avrai chiuso i vettori di attacco più significativi contro la tua infrastruttura di controllo degli accessi alla rete. Grazie per l'ascolto. Per saperne di più sull'architettura di sicurezza WiFi aziendale, visita purple.ai. Questo è stato un Purple WiFi Intelligence Briefing.