RADIUS

Wat is RADIUS?

RADIUS (Remote Authentication Dial-In User Service) is een netwerkprotocol waarmee een centrale server de authenticatie, autorisatie en accounting (AAA) verzorgt voor gebruikers en apparaten die toegang vragen tot een netwerk of netwerkapparaat. Switches, wifi-accesspoints en VPN-gateways stellen zelf geen toegangsvragen meer, maar leggen elke aanmelding voor aan de RADIUS-server. RADIUS is de motor achter 802.1X-netwerktoegangscontrole en wordt ook gebruikt voor beheerderslogins op netwerkapparatuur.

In OT-omgevingen biedt RADIUS een manier om toegang tot netwerkapparatuur en segmenten centraal te beheren, zonder dat elk apparaat afzonderlijk met lokale accounts geconfigureerd hoeft te worden.

🧠 Hoe werkt RADIUS?

RADIUS werkt met drie rollen: de supplicant (gebruiker of apparaat), de authenticator of NAS (de Switch, Router, accesspoint of VPN-gateway) en de RADIUS-server. De stappen:

1. Een gebruiker of apparaat probeert toegang te krijgen via de authenticator.
2. De authenticator stuurt een Access-Request naar de RADIUS-server.
3. De server controleert de inloggegevens (wachtwoord of certificaat) tegen een eigen database of tegen een externe bron zoals Active Directory of LDAP.
4. De server antwoordt met Access-Accept, Access-Reject of Access-Challenge (vraag om extra invoer, bijvoorbeeld een MFA-code of de volgende stap van een EAP-handshake).
5. Bij een Accept stuurt de server attributen mee, zoals een VLAN-nummer of beheerdersrol; de authenticator past die toe.
6. Optioneel meldt de authenticator begin en einde van de sessie voor auditing (accounting).

Authenticator en server vertrouwen elkaar via een gedeeld geheim (shared secret). Het protocol is vastgelegd in RFC 2865 (2000) voor authenticatie en RFC 2866 voor accounting.

🔧 Welke poorten, berichten en attributen gebruikt RADIUS?

Klassiek RADIUS versleutelt alleen het wachtwoordattribuut, met een MD5-bewerking over het gedeelde geheim. Alle andere attributen, zoals gebruikersnaam en toegekend VLAN, gaan leesbaar over het netwerk. RadSec is beschreven in RFC 6614 (2012) en heeft, net als de DTLS-variant in RFC 7360, nog de status experimenteel. RFC 9765 (2025, eveneens experimenteel) voegt daar RADIUS/1.1 aan toe: binnen een TLS 1.3-verbinding vervallen alle MD5-bewerkingen.

🏭 Waar wordt RADIUS gebruikt in industriële netwerken?

• 802.1X op industriële switches - engineeringlaptops en servers melden zich aan voordat de poort opengaat; zie ook NAC.
• MAC Authentication Bypass (MAB) - PLC’s, HMI-panelen en sensoren zonder 802.1X-ondersteuning worden toegelaten op basis van hun MAC-adres. Dat is zwakker, want een MAC-adres is te vervalsen.
• Beheerderslogins - inloggen op switches, firewalls en routers met persoonlijke accounts in plaats van één gedeeld admin-wachtwoord, met RBAC-rollen.
• Dynamische VLAN’s - een onderhoudslaptop komt automatisch in het juiste segment terecht, wat netwerksegmentatie afdwingt.
• Toegang op afstand en wifi - VPN-gateways en industriële wifi (WPA2/WPA3-Enterprise) gebruiken RADIUS voor gebruikersverificatie.
• Logging - accountingrecords gaan via Syslog naar een SIEM voor audit en detectie.

🔍 Wat is het verschil tussen RADIUS en TACACS+?

Veel organisaties gebruiken beide: RADIUS voor netwerktoegang en TACACS+ voor het beheer van netwerkapparatuur.

🔐 Hoe beveiligt u RADIUS?

In juli 2024 werd Blast-RADIUS (CVE-2024-3596) gepubliceerd. Een aanvaller tussen authenticator en server kan via een MD5-botsing een Access-Reject omzetten in een Access-Accept, vooral bij PAP, CHAP en andere niet-EAP-methoden. EAP-verkeer is beter beschermd, omdat daar het Message-Authenticator-attribuut al verplicht is. Maatregelen:

• Message-Authenticator verplicht - laat server en clients dit attribuut in alle Access-berichten eisen; patch eerst de servers, daarna switches en andere clients.
• RadSec of IPsec - versleutel het verkeer tussen authenticator en server, zeker als het over gedeelde of onbetrouwbare netwerken loopt.
• Sterke EAP-methoden - gebruik EAP-TLS met certificaten in plaats van wachtwoorden; regel certificaatbeheer goed.
• Lange gedeelde geheimen - minimaal 16 tekens, uniek per apparaat of per site.
• Toegang beperken - beperk toegang tot de RADIUS-server met Firewall-regels en ACL’s tot de bekende authenticators.
• Monitoring - koppel aan een SIEM om mislukte aanmeldingen en afwijkende patronen te zien.

Een kwetsbare RADIUS-server is een centraal aanvalsdoel: wie hem beheerst, beheerst de toegang tot het hele netwerk.

🛠️ Hoe richt u RADIUS in voor een OT-netwerk?

1. Plaats de server in de juiste zone - zet een eigen RADIUS-server op niveau 3 van het Purdue Model of in de OT-DMZ, zodat OT niet afhankelijk is van het kantoornetwerk.
2. Bouw redundantie in - minimaal twee servers; switches proberen bij geen antwoord na enkele seconden de volgende server (High Availability).
3. Regel een noodaccount - één lokaal break-glass-account per apparaat dat alleen werkt als geen RADIUS-server bereikbaar is, veilig opgeborgen.
4. Begin in monitormodus - log eerst welke apparaten zich zouden aanmelden voordat u poorten daadwerkelijk blokkeert; een onterecht geblokkeerde PLC stopt de productie.
5. Inventariseer apparaten - bepaal per apparaat of 802.1X, MAB of een vaste poort met Port Security het beste past.
6. Koppel aan normen - IEC 62443-3-3 vraagt in SR 1.1 en SR 1.2 om identificatie en authenticatie van gebruikers en apparaten; centrale RADIUS-authenticatie is een gangbare invulling.

Voor organisaties onder NIS2 en de Cyberbeveiligingswet (in werking per 15 augustus 2026) helpt centrale authenticatie om toegangsbeheer aantoonbaar te maken.

❓ Veelgestelde vragen

Waar staat RADIUS voor?

RADIUS staat voor Remote Authentication Dial-In User Service. De naam stamt uit de tijd van inbelverbindingen, maar het protocol wordt nu gebruikt voor 802.1X, wifi, VPN en beheerderslogins. RADIUS regelt authenticatie, autorisatie en accounting vanaf één centrale server.

Is RADIUS veilig?

Klassiek RADIUS versleutelt alleen het wachtwoord en leunt op MD5; Blast-RADIUS (CVE-2024-3596) liet in 2024 zien dat die constructie in de praktijk te misbruiken is. RADIUS is goed te beveiligen met het verplichte Message-Authenticator-attribuut, EAP-TLS en versleuteling via RadSec of IPsec. Zonder die maatregelen hoort RADIUS-verkeer alleen over een afgeschermd beheernetwerk te lopen.

Welke poorten gebruikt RADIUS?

RADIUS gebruikt UDP-poort 1812 voor authenticatie en UDP-poort 1813 voor accounting. Oudere apparatuur gebruikt soms nog de poorten 1645 en 1646. RadSec, RADIUS over TLS, gebruikt TCP-poort 2083.

Wat is het verschil tussen RADIUS en 802.1X?

802.1X is de IEEE-norm die bepaalt hoe een apparaat zich op een switchpoort of wifi-netwerk aanmeldt. RADIUS is het protocol waarmee de switch of het accesspoint die aanmelding doorstuurt naar een centrale server. In een 802.1X-opstelling is RADIUS dus de verbinding tussen authenticator en authenticatieserver.

Wat gebeurt er als de RADIUS-server uitvalt?

Als geen RADIUS-server bereikbaar is, kunnen nieuwe aanmeldingen mislukken en kunnen beheerders niet meer inloggen op switches. Daarom gebruikt u in OT minimaal twee RADIUS-servers en een lokaal noodaccount. Veel switches kunnen bovendien poorten bij uitval in een vooraf ingesteld VLAN laten werken.

Kunnen PLC’s zich via RADIUS aanmelden?

De meeste PLC’s en veldapparaten ondersteunen geen 802.1X, dus zij kunnen zich niet zelf via RADIUS aanmelden. Een gangbare oplossing is MAC Authentication Bypass, waarbij de switch het MAC-adres van de PLC aan de RADIUS-server voorlegt. Omdat een MAC-adres te vervalsen is, combineert u dit met segmentatie en monitoring.

📌 Samengevat

RADIUS is het standaardprotocol voor centrale authenticatie, autorisatie en accounting van netwerktoegang, en daarmee de basis onder 802.1X, VPN en beheerderslogins in IT- en OT-netwerken. Door RADIUS redundant in de OT-zone te plaatsen, Message-Authenticator te eisen en het verkeer te versleutelen, wordt toegangsbeheer centraal, aantoonbaar en bestand tegen aanvallen zoals Blast-RADIUS.