Различные устройства, распределенные по всему интернету, могут быть уязвимы для захвата конечной точки из-за использования десятилетнего протокола шифрования, предупредили эксперты.
Академические исследователи Шарон Голдберг, Миро Халлер, Надия Хенингер, Майк Милано, Дэн Шумов, Марк Стивенс и Адам Сул недавно опубликовали статью, в которой подробно описано, как несколько устройств, включая промышленные контроллеры, телекоммуникационные службы и другие, построенные 90 различными производителями, до сих пор работают на протоколе удаленной аутентификации пользователя по вызову, сокращенно RADIUS, который был впервые представлен еще в 1991 году.
RADIUS — это сетевой протокол, который обеспечивает централизованное управление аутентификацией, авторизацией и учетом (AAA) для пользователей, которые подключаются и используют сетевую службу. Он был разработан для аутентификации удаленных пользователей и предоставления им доступа к сети, обеспечивая регистрацию и мониторинг их действий.
Когда пользователь пытается подключиться к сети, запрос отправляется на сервер RADIUS, который проверяет его личность, проверяя учетные данные, такие как имя пользователя и пароль, в базе данных. Если учетные данные верны, сервер RADIUS разрешает пользователю доступ к сети и указывает уровень предоставленного доступа. Он также ведет запись деятельности пользователя, включая продолжительность его сеанса и ресурсы, к которым он получил доступ.
Несмотря на свой многолетний возраст, RADIUS все еще используется для доступа к VPN, DSL и оптоволокну, Wi-Fi и аутентификации 802.1X, роуминга 2G и 3G, аутентификации имени сети 5G Data Network, мобильной передачи данных и многого другого.
«Основа протокола RADIUS предшествует современному безопасному криптографическому дизайну», — говорят исследователи в статье. «Удивительно, что за два десятилетия после того, как Ванг и др. продемонстрировали коллизию хешей MD5 в 2004 году, RADIUS не обновлялся, чтобы убрать MD5. Фактически, RADIUS по-видимому получил значительно меньше анализа безопасности, учитывая его всеобщность в современных сетях».
MD5 была широко используемой криптографической хеш-функцией, но со временем она оказалась недостаточно надежной, поэтому с 2012 года ее постепенно вытесняли.
Теперь исследователи говорят, что многие из 90 производителей уже реализовали краткосрочные исправления и в настоящее время работают над долгосрочными решениями.
Источник: TechRadar
