Sicherheitsanfälligkeit im RADIUS-Protokoll, die eine Antwortfälschung bei der Authentifizierung ermöglicht

Eine Gruppe von Forschern aus mehreren amerikanischen Universitäten sowie den Unternehmen Cloudflare und Microsoft hat eine neue Angriffstechnik auf das RADIUS-Protokoll entwickelt, das von Telekommunikationsanbietern, Cloud-Diensten und VPN-Anbietern zur Authentifizierung, Autorisierung und Abrechnung von Nutzern verwendet wird. Der Angriff mit dem Codenamen Blast-RADIUS ermöglicht es, die Antwort des RADIUS-Servers während der Authentifizierung zu fälschen und eine Verbindung des Teilnehmers ohne Kenntnis des Zugangspassworts herzustellen.

Um die Schwachstelle (CVE-2024-3596) auszunutzen, muss der Angreifer in der Lage sein, transitiven Datenverkehr abzufangen und einen vollständigen MITM-Angriff durchzuführen, der es ihm ermöglicht, eingehende und ausgehende transitive UDP-Pakete zu lesen, abzufangen, zu blockieren und zu ändern, die von den Access Points zur Anforderung der Authentifizierung der Clients (Access-Request) und vom RADIUS-Server als Bestätigung oder Ablehnung der Operation zurückgesendet werden. Hat der Angreifer die Authentifizierungsanfrage abgefangen, kann er eine gefälschte Antwort senden, die einen anderen Ergebnistyp angibt (zum Beispiel Access-Accept anstelle von Access-Reject). Der Angreifer könnte auch potenziell die Antwort Access-Challenge abfangen, die bei der Zwei-Faktor-Authentifizierung verwendet wird, und sie durch eine Antwort Access-Accept ersetzen, um die zusätzliche Überprüfungsstufe zu umgehen.

Der Angriff beruht darauf, dass das RADIUS-Protokoll UDP als Transportprotokoll verwendet und die Integrität der übertragenen Nachrichten mittels des MD5-Algorithmus verifiziert. Zur Verifizierung der zwischen Server dem Zugangspunkt und dem RADIUS-Server übertragenen Nachrichten wird ein geheimer Schlüssel verwendet, der dem Zugangspunkt und dem RADIUS-Server bekannt, dem Angreifer jedoch unbekannt ist. In Antwort auf eine Authentifizierungsanfrage generiert der RADIUS-Server einen MD5-Hash, mit dem der Zugangspunkt bestätigen kann, dass die Nachricht von einem autorisierten Server gesendet wurde. Der MD5-Hash umfasst das in der Anfrage gesendete Zufallswert, die Anforderungs-ID, die zurückgegebenen Attribute und den geheimen Schlüssel.

Ein Angreifer kann im Verlauf eines MITM-Angriffs die in der Anfrage übermittelte Identifikation und Zufallswerte abfangen und zudem den Operationscode, die Größe und die Attribute vorhersagen. Die Aufgabe besteht darin, einen gültigen Prüfhash zu bilden, der dem veränderten Ergebnis der Operation entspricht und die Überprüfung durch Hashing mit einem geheimen Schlüssel besteht. Der MD5-Algorithmus ist gegenüber Kollisionsangriffen nicht widerstandsfähig, was es dem Angreifer ermöglicht, durch Manipulation mit unwichtigen Füllwerten eine Kombination von Daten zu finden, deren MD5-Hash mit dem MD5-Hash der ursprünglichen Antwort übereinstimmt, und eine gefälschte Antwort mit dem Code für eine erfolgreiche Authentifizierung (Access-Accept) anstelle einer Fehlermeldung zu senden.

Da bei der Verarbeitung von Zugriffsanfragepaketen (Access-Request) keine Authentifizierung und Integritätsprüfung angewendet wird, kann der Angreifer während eines Angriffs im ursprünglichen Zugriffsgesuch Server einen zusätzlichen Attribut „Proxy-State“ und dessen Inhalt so ersetzen, dass er im RADIUS-Server-Antwort dargestellt wird. Der Inhalt des „Proxy-State“ wird unter Berücksichtigung einer Kollision so gewählt, dass der Wert des Prüfziffern-MD5-Hashes in den echten und gefälschten Antworten identisch ist. Bei einem Experiment dauerte die Suche nach einer Kollision in MD5 für den Angriff 3-6 Minuten, was länger ist als das typische Timeout von 30-60 Sekunden, aber die Zeit zur Kollisionssuche kann durch die Verwendung leistungsfähigerer Hardware, GPU-Beteiligung und Parallelisierung der Operationen verkürzt werden.

Als wichtigste Maßnahme zur Abwehr der Schwachstelle wird empfohlen, das EAP-Protokoll (Extensible Authentication Protocol, RFC 3579) zu verwenden, bei dem zur zusätzlichen Verifizierung der Nachrichten das Attribut Message-Authenticator eingesetzt wird. Zur Abwehr des Angriffs können auch Protokollerweiterungen (RadSec) verwendet werden, die die Übertragung von RADIUS-Nachrichten über verschlüsselte Kanäle auf Basis von TLS oder DTLS umfassen. Darüber hinaus können die Timeout-Werte für den Empfang von Antworten auf ein Minimum verkürzt und Antworten mit dem Attribut Proxy-State blockiert werden. Die Übertragung von RADIUS-Nachrichten über TCP erschwert den Angriff, schließt ihn jedoch nicht aus.

Der Code für den Angriff wurde bisher nicht öffentlich gemacht, aber dem Projekt hashclash wurden Änderungen übergeben, die die Kollisionserkennung in MD5 unter Berücksichtigung der Angriffsspezifikationen verbessern. Im RADIUS-Server FreeRADIUS wurde das Problem in den Versionen 3.0.27 und 3.2.5 durch die obligatorische Anwendung des Attributs Message-Authenticator und das Hinzufügen einer Einstellung zur Begrenzung der Verarbeitung von Paketen mit dem Attribut Proxy-State behoben.

Quelle: opennet.ru