サイバーセキュリティの警鐘：RADIUSプロトコルに新たな脆弱性「BlastRADIUS」発見

2024年7月10日3:45

Last Updated on 2024-07-10 05:14 by admin

サイバーセキュリティ研究者たちは、RADIUS（Remote Authentication Dial-In User Service）ネットワーク認証プロトコルにおけるセキュリティ脆弱性「BlastRADIUS」を発見した。この脆弱性を悪用すると、攻撃者が中間者攻撃（MitM）を仕掛け、特定の状況下で整合性チェックを回避することが可能になる。RADIUSプロトコルは、ネットワークサービスを利用するユーザーの認証、認可、およびアカウンティング（AAA）管理を一元化するためのクライアント/サーバープロトコルである。このプロトコルのセキュリティは、MD5アルゴリズムを使用して導出されるハッシュに依存しているが、2008年12月には暗号学的に破られたとみなされている。これにより、Access-Requestパケットは、元の応答の整合性チェックをすべて通過するように応答パケットを変更できる「選択されたプレフィックス攻撃」の対象となる可能性がある。しかし、攻撃が成功するためには、敵対者がRADIUSクライアントとサーバー間のトランジット中にRADIUSパケットを変更できる必要がある。この脆弱性は、インターネット上でRADIUS/UDPトラフィックを送信するネットワークに特に影響を与え、「ほとんどのRADIUSトラフィックは暗号化されずに送信される」とされている。この脆弱性は、すべての標準準拠のRADIUSクライアントとサーバーに影響を与え、インターネットサービスプロバイダー（ISP）とプロトコルを使用する組織に最新バージョンへの更新を求めている。特に、PAP、CHAP、MS-CHAPv2認証方法が最も脆弱であるとされている。この攻撃は、RADIUSプロトコルのセキュリティが長い間無視されてきた結果であり、攻撃を防ぐことができたであろう保護策が標準で提案されていたが、それらが必須とされていなかったこと、多くのベンダーが提案された保護策を実装していなかったことが指摘されている。

【ニュース解説】

RADIUS（Remote Authentication Dial-In User Service）ネットワーク認証プロトコルにおける新たなセキュリティ脆弱性「BlastRADIUS」が発見されました。この脆弱性を悪用すると、攻撃者が中間者攻撃（MitM）を行い、特定の状況下でデータの整合性チェックを回避することが可能になります。RADIUSは、ネットワークサービスを利用するユーザーの認証、認可、およびアカウンティング（AAA）を一元管理するためのプロトコルであり、そのセキュリティはMD5アルゴリズムによって生成されるハッシュ値に依存しています。しかし、MD5は2008年に暗号学的に安全でないと判断されており、これが脆弱性の根本原因となっています。

この脆弱性の影響を受けるのは、インターネット上でRADIUS/UDPトラフィックを送信するネットワークであり、特にPAP、CHAP、MS-CHAPv2認証方法を使用するシステムが脆弱です。攻撃者が成功するためには、RADIUSクライアントとサーバー間の通信を傍受し、パケットを改ざんする能力が必要です。このため、インターネットサービスプロバイダー（ISP）やその他のRADIUSを使用する組織は、脆弱性に対処するためにシステムの更新が必要とされます。

この問題の根本的な原因は、RADIUSプロトコルのセキュリティが長年にわたって軽視されてきたことにあります。攻撃を防ぐための保護策は以前から提案されていましたが、それらが必須ではなく、多くのベンダーがこれらの保護策を実装していなかったことが問題を悪化させています。

この脆弱性の発見は、ネットワークセキュリティにおける重要な警告となります。一方で、TLSやIPSecのような追加のセキュリティ対策を用いることで、攻撃を防ぐことが可能です。また、802.1X（EAP）を使用するシステムはこの脆弱性の影響を受けません。しかし、この脆弱性は、インターネットを介してRADIUSトラフィックを送信する組織やISPにとって、セキュリティ対策の見直しとシステムの更新を迫るものです。

長期的な視点では、このような脆弱性の発見は、セキュリティプロトコルの設計と実装における厳格な基準の必要性を浮き彫りにします。また、既存のセキュリティ対策の適用と新たな脅威に対する迅速な対応が、ネットワークセキュリティを維持する上で不可欠であることを示しています。組織は、セキュリティのベストプラクティスを常に更新し、新たな脆弱性に対して迅速に対応する体制を整える必要があります。

from RADIUS Protocol Vulnerability Exposes Networks to MitM Attacks.