daloRADIUS es una plataforma web avanzada RADIUS diseñada para gestionar puntos de acceso Wi-Fi (Hotspots) y despliegues de ISP de propósito general. Ofrece una gestión de usuarios completa, reportes gráficos, contabilidad, y se integra con Google Maps para la geolocalización (SIG). daloRADIUS está escrito en PHP y JavaScript, además utiliza una capa de abstracción de base de datos, lo cual significa es compatible con numerosos sistemas de bases de datos, entre estos los populares MySQL, PostgreSQL, SQLite, MSSQL, y muchos otros.
Esta basado sobre un despliegue FreeRADIUS con un servidor de base de datos el cual sirve como backend. Entre otras características, implementa listas para control de acceso (ACL), integración con Google Maps para la localización visual de puntos de acceso, y mucho más. daloRADIUS es esencialmente una aplicación web para gestionar un servidor RADIUS, por lo cual teóricamente puede gestionar cualquier servidor RADIUS, pero específicamente gestiona FreeRADIUS y su estructura de base de datos. Desde la versión 0.9-3, daloRADIUS ha introducido una capa de abstracción de base de datos a nivel de aplicación basada en el paquete PEAR::DB de PHP, el cual admite un amplio rango de servidores de bases de datos.
Esta es la página de inicio de sesión (Login) de daloRADIUS, específicamente el Portal de Usuarios (Users Portal). Es decir esta es la interfaz para los usuarios o clientes (no los administradores) inicien sesión.
Al ingresar credenciales incorrectas se muestra un mensaje bastante llamativo el cual versa sobre haber ingresado credenciales incorrectas, como también la posibilidad de contactarse con el área de soporte.
Un profesional en ciberseguridad o un ciberatacante podría realizar diversos tipos de ataques contra este escenario.
- Ataques por fuerza bruta o diccionario. Un ciberatacante utiliza herramientas automáticas para enviar cientos de usuarios y contraseñas al formulario.
- Interceptación de credenciales: Si es factible de ser accedido por HTTP el tráfico viaja en texto plano.
- Enumeración de usuarios: Algunas veces las aplicaciones muestran un mensaje el cual permite diferencias si un usuario existe o la contraseña es incorrecta.
- Secuestro de sesión: Si un usuario administrador inicia sesión, y en otra pestaña visita un sitio web maliciosa, ese sitio podría intentar enviar comandos ocultos a daloRUDIUS, aprovechando la sesión sigue abierta
Fuente: