RADIUS协议漏洞暴露网络设备认证
内容提要
安全研究人员发现了广泛使用的RADIUS协议的重大漏洞，利用MD5加密哈希函数的弱点，攻击者可以伪造有效的RADIUS响应，获得未经授权的管理访问权限。研究人员建议采取多种缓解措施，包括过渡到RADIUS over TLS、使用Message-Authenticator属性以及隔离RADIUS流量等。
延伸解读
漏洞影响范围与例外
Blast-RADIUS漏洞影响所有RADIUS/UDP认证模式，但使用可扩展认证协议（EAP）的模式不受影响。此外，通过TLS传输的RADIUS流量（RADSEC）也不受此攻击影响。这意味着并非所有RADIUS部署都面临同等风险，网络运营商应首先确认自身使用的认证模式和传输方式。
攻击实施条件与难度
攻击者需要处于RADIUS客户端和服务器之间进行中间人攻击，并利用改进的MD5碰撞技术伪造响应。研究团队的概念验证攻击使用老旧CPU和低端GPU在五分钟内完成，虽超出典型RADIUS超时设置，但资源充足的攻击者可能进一步优化以针对默认超时配置。这表明攻击虽需一定条件，但并非遥不可及。
缓解措施的有效性与局限
研究人员建议的缓解措施包括过渡到RADIUS over TLS、强制使用和验证Message-Authenticator属性、以及隔离RADIUS流量。其中，RADIUS over TLS提供最稳健的保护；Message-Authenticator需客户端和服务器同时更新；隔离流量可增加攻击难度。但切换到RADIUS/TCP并无安全优势，仍易受相同攻击。
升级挑战与行业启示
更新广泛部署的RADIUS协议面临挑战，尤其是难以升级的遗留设备。研究希望促使网络运营商审查RADIUS部署并应用供应商补丁。随着攻击手段日益复杂，理论漏洞与实际利用之间的差距正在缩小，这凸显了学术界与工业界合作识别和解决关键安全问题的价值。
Q&A
RADIUS协议的主要漏洞是什么？
RADIUS协议的主要漏洞是攻击者可以利用MD5加密哈希函数的弱点，伪造有效的RADIUS响应，从而获得未经授权的管理访问权限。
Blast-RADIUS漏洞是如何被利用的？
Blast-RADIUS漏洞通过中间人攻击，利用MD5消息认证码的弱点，攻击者可以将Access-Reject消息伪造为Access-Accept消息。
研究人员建议的缓解措施有哪些？
研究人员建议的缓解措施包括过渡到RADIUS over TLS、强制使用和验证Message-Authenticator属性，以及隔离RADIUS流量。
RADIUS协议自何时开始使用？
RADIUS协议自1991年设计以来，一直是远程访问路由器和交换机的重要认证协议。
该漏洞影响哪些RADIUS认证模式？
该漏洞影响所有RADIUS/UDP认证模式，但不包括使用可扩展认证协议（EAP）的模式。
更新RADIUS协议面临哪些挑战？
更新RADIUS协议面临的挑战包括难以升级的遗留设备和广泛部署的网络协议的更新困难。
