InfoQ
·
RADIUS协议漏洞暴露网络设备认证
💡
原文英文，约700词，阅读约需3分钟。
📝
内容提要
安全研究人员发现了广泛使用的RADIUS协议的重大漏洞，利用MD5加密哈希函数的弱点，攻击者可以伪造有效的RADIUS响应，获得未经授权的管理访问权限。研究人员建议采取多种缓解措施，包括过渡到RADIUS over TLS、使用Message-Authenticator属性以及隔离RADIUS流量等。
🎯
关键要点
- 安全研究人员发现RADIUS协议存在重大漏洞，攻击者可伪造有效的RADIUS响应，获得未经授权的管理访问权限。
- RADIUS协议自1991年设计以来，仍然是远程访问路由器和交换机的重要认证协议，但依赖过时的安全措施。
- 新发现的漏洞名为'Blast-RADIUS'，利用MD5加密哈希函数的弱点，攻击者可在RADIUS客户端和服务器之间进行中间人攻击。
- 研究团队包括加州大学圣地亚哥分校、阿姆斯特丹CWI、微软和BastionZero，CERT已为该漏洞分配CVE-2024-3596和VU#456537。
- 攻击利用RADIUS响应认证器的MD5消息认证码，通过改进的MD5碰撞技术伪造有效的RADIUS响应。
- 研究人员展示了一个概念验证攻击，使用老旧的CPU核心和低端GPU在五分钟内完成，尽管超出了典型的RADIUS超时设置。
- 该漏洞影响所有RADIUS/UDP认证模式，但不包括使用可扩展认证协议（EAP）的模式，RADIUS通过TLS传输的流量不受此攻击影响。
- 研究人员建议的缓解措施包括过渡到RADIUS over TLS、在所有数据包中强制使用和验证Message-Authenticator属性，以及隔离RADIUS流量。
- 切换到RADIUS/TCP并没有安全优势，因为仍然容易受到相同攻击的影响。
- 更新广泛部署的网络协议如RADIUS面临挑战，尤其是在难以升级的遗留设备中，研究希望促使网络运营商审查其RADIUS部署。
- 随着攻击变得更加复杂，理论漏洞与实际利用之间的差距在缩小，强调了学术界与工业界合作的重要性。
➡️
