Questão de Redes de Computadores — Conceitos Básicos em Redes de Computadores — FUNDATEC 2023

RADIUS e o Segredo Compartilhado

Gabarito: letra A. No protocolo RADIUS, o segredo compartilhado (shared secret) é uma cadeia de caracteres configurada manualmente no cliente e no servidor, usada para autenticar as transações entre eles — e, por definição, nunca é enviado pela rede. Ele serve apenas para calcular hashes (como o Message-Authenticator) e criptografar atributos sensíveis, mas o próprio segredo jamais trafega.

O RADIUS (Remote Authentication Dial-In User Service) é um protocolo de autenticação, autorização e contabilidade (AAA) amplamente usado em redes para validar usuários que tentam acessar a rede. A comunicação ocorre entre um cliente RADIUS (geralmente um roteador, switch ou access point) e um servidor RADIUS (que consulta um banco de dados de usuários). Para garantir que as mensagens trocadas entre esses dois dispositivos sejam autênticas e não adulteradas, ambos compartilham um segredo — uma senha conhecida apenas por eles.

A grande sacada é que esse segredo não é transmitido em nenhum momento. Se ele fosse enviado pela rede, um atacante que o capturasse (por exemplo, com um packet sniffer) poderia se passar pelo cliente ou pelo servidor. Em vez disso, o segredo é usado como entrada para funções de hash e para derivar chaves de criptografia. Por exemplo, o atributo User-Password é criptografado usando o segredo compartilhado, e o atributo Message-Authenticator é um HMAC-MD5 calculado com base no segredo. Assim, mesmo que um pacote seja interceptado, o segredo em si não é exposto — apenas o resultado de operações criptográficas que o utilizam.

A alternativa correta é a letra A, pois afirma exatamente isso: o segredo compartilhado nunca é enviado pela rede. As demais alternativas erram ao sugerir que ele é transmitido, que circula entre mais entidades ou que é atualizado a cada transação.

Alternativa A — ✅ Correta ⟵ GABARITO

Esta é a definição correta do shared secret no RADIUS. O segredo é configurado estaticamente no cliente e no servidor, e nunca trafega pela rede. Ele é usado apenas como parâmetro para funções de hash (como o Message-Authenticator) e para criptografar atributos como a senha do usuário. Se o segredo fosse transmitido, um atacante que o interceptasse poderia forjar mensagens ou descriptografar dados sensíveis, comprometendo toda a autenticação.

Alternativa B — ❌ Incorreta

Afirma que o segredo é "transmitido somente entre cliente e servidor". Isso é falso: o segredo não é transmitido em nenhum momento. Ele é apenas compartilhado (configurado) entre as duas partes, mas nunca enviado pela rede. A transmissão do segredo seria uma falha grave de segurança, pois qualquer interceptação comprometeria o sistema.

Alternativa C — ❌ Incorreta

Diz que o segredo "circula na rede somente entre o usuário, o cliente e o servidor". Além de repetir o erro de afirmar que ele circula na rede, inclui o usuário como parte do compartilhamento — o que é incorreto. O segredo é conhecido apenas pelo cliente RADIUS e pelo servidor RADIUS; o usuário final não tem acesso a ele. O usuário fornece suas credenciais (login e senha), que são protegidas pelo segredo, mas não conhece o segredo em si.

Alternativa D — ❌ Incorreta

Afirma que o segredo "também é compartilhado com o usuário". Isso é falso. O shared secret é um segredo entre o cliente e o servidor RADIUS, usado para autenticar a comunicação entre eles. O usuário final não participa desse compartilhamento — ele apenas apresenta suas credenciais, que são verificadas pelo servidor. Compartilhar o segredo com o usuário eliminaria a segurança que ele proporciona.

Alternativa E — ❌ Incorreta

Diz que o segredo "é atualizado a cada transação, para maior segurança". Isso não corresponde ao funcionamento do RADIUS. O segredo compartilhado é estático — configurado manualmente e mantido até que o administrador decida alterá-lo. A atualização a cada transação seria inviável na prática, pois exigiria um mecanismo de troca segura de chaves que não existe no protocolo básico. O que pode ser atualizado são as chaves de sessão derivadas, mas não o segredo compartilhado em si.

Gabarito: letra A — o segredo compartilhado do RADIUS nunca é enviado pela rede.