[국내보안뉴스] 틀린 비밀번호로도 통과? RADIUS 취약점 '블라스트래디어스' 재현과 대응책
· 2026-09-28 07:00
· 조회 21
· 원문 ↗
네트워크 보안 전문 기업 빅오(BigO)가 최근 네트워크 인증 프로토콜에서 발견된 고위험 취약점인 '블라스트래디어스(BlastRADIUS, CVE-2024-3596)'를 자체 검증 환경에서 재현하는 데 성공했다고 밝혔습니다. 실제 테스트에서 틀린 비밀번호로 인증을 시도했음에도 불구하고, 클라이언트가 이를 유효한 인증 승인 응답으로 처리하여 최종 접속이 허용되는 치명적인 결과가 확인되었습니다.
블라스트래디어스는 네트워크 장비와 인증 서버 간에 주고받는 RADIUS 프로토콜 통신에 개입하는 중간자 공격(MitM) 유형입니다. 공격자는 서버가 보낸 '인증 거부(Access-Reject)' 패킷을 '인증 승인(Access-Accept)'으로 위조하면서도 클라이언트의 응답 검증을 우회합니다. 이 취약점은 기존 RADIUS 프로토콜의 MD5 해시 기반 검증 메커니즘의 약점을 악용한 것으로, 해당 프로토콜을 사용하는 기업 내 인트라넷, VPN, 무선 네트워크 등 광범위한 네트워크 인프라가 영향을 받을 수 있습니다.
이를 방지하기 위해 보안 관리자는 RADIUS 인증 통신 구간의 보안을 즉각 강화해야 합니다. UDP 기반의 평문 통신 대신 TLS/DTLS 기반의 암호화 프로토콜(RadSec)을 도입하고, 모든 RADIUS 요청 및 응답 패킷에 '메시지 인증 특성(Message-Authenticator)'을 필수적으로 적용하도록 장비 설정을 업데이트해야 합니다. 또한, RADIUS 통신이 일어나는 네트워크 구간을 격리하여 악의적인 중간자 개입을 사전 차단하는 노력이 요구됩니다.
MD5 해시 충돌을 악용해 인증 패킷을 위조하는 전형적인 레거시 프로토콜의 구조적 한계가 드러난 사례입니다.
우선 즉각적인 조치로 RADIUS 설정에서
Message-Authenticator속성을 필수(Require)로 강제하여 중간자 공격(MitM)을 차단해야 합니다.장기적으로는 보안성이 취약한 기존 RADIUS 패킷 구조에서 벗어나 RadSec(RADIUS over TLS) 도입이나 현대적인 IAM 아키텍처로의 전환을 검토해야 합니다.
BlastRADIUS는 공격자가 네트워크 중간자(MitM) 위치만 확보하면, 비밀번호 없이도 내부망 침투를 가능하게 하는 매우 파괴적인 인증 우회 벡터입니다. MD5 해시 충돌을 악용해 서버의 '거부(Reject)' 응답을 실시간으로 '승인(Accept)'으로 위조하는 방식이라, 기존의 지식 기반 인증 체계를 완전히 무력화합니다. 특히 암호화되지 않은 레거시 RADIUS 프로토콜에 의존하는 기업의 VPN이나 네트워크 장비일수록 공격 성공 가능성과 타격이 매우 클 것으로 보입니다.
수십 년간 네트워크 인증의 기반이 되어온 RADIUS 프로토콜의 우회 취약점(BlastRADIUS)은 조직의 경계 보안에 심각한 리스크를 의미합니다. 즉각 내부 인프라의 RADIUS 활용 현황을 전수 조사하고, 최신 패치 적용과 함께 RadSec(TLS 기반 RADIUS) 등 암호화 통신으로의 전환 정책을 수립해야 합니다. 아울러 단일 네트워크 인증에만 의존하지 않도록 MFA(다중인증) 적용을 강제하고 제로 트러스트 관점의 이상 탐지 체계를 강화하겠습니다.