Expertos han advertido que distintos dispositivos, en todo Internet, podrían ser vulnerables a la toma de control de puntos finales debido a que ejecutan un protocolo de cifrado con décadas de antigüedad.
Los investigadores académicos Sharon Goldberg, Miro Haller, Nadia Heninger, Mike Milano, Dan Shumow, Marc Stevens y Adam Suhl publicaron recientemente un artículo que detalla cómo múltiples dispositivos, incluidos controladores industriales, servicios de telecomunicaciones y otros, construidos por 90 proveedores diferentes, aún funcionan con el Servicio de acceso telefónico de usuario con autenticación remota o RADIUS por sus siglas en inglés, que se introdujo por primera vez en 1991.
RADIUS es un protocolo de red que proporciona una gestión centralizada de autenticación, autorización y contabilidad (AAA) para los usuarios que se conectan y utilizan un servicio de red. Fue desarrollado para autenticar a los usuarios remotos y otorgarles acceso a la red, al tiempo que se garantiza que sus acciones se registren y controlen.
Problemas con el MD5
Cuando un usuario intenta conectarse a una red, se envía una solicitud a un servidor RADIUS, que verifica su identidad comparando sus credenciales, como nombre de usuario y contraseña, con una base de datos.
Si las credenciales son correctas, el servidor RADIUS autoriza al usuario a acceder a la red y especifica el nivel de acceso concedido. También mantiene un registro de la actividad del usuario, incluida la duración de su sesión y los recursos a los que accedió.
A pesar de tener décadas de antigüedad, RADIUS todavía se utiliza para acceso VPN, DSL y fibra, autenticación Wi-Fi y 802.1X, roaming 2G y 3G, autenticación de nombre de red de datos 5G, descarga de datos móviles y más.
“El núcleo del protocolo RADIUS es anterior al diseño criptográfico seguro moderno”, afirmaron los investigadores en el artículo. “Sorprendentemente, en las dos décadas transcurridas desde que Wang et al. demostraron una colisión de hash MD5 en 2004, RADIUS no ha sido actualizado para eliminar el MD5. De hecho, RADIUS parece haber recibido muy pocos análisis de seguridad dada su ubicuidad en las redes modernas”.
MD5 era una función hash criptográfica ampliamente utilizada, pero con el tiempo se descubrió que tenía fallas, por lo que desde 2012 se comenzó a eliminar gradualmente.