国内外VPN产品安全现状和趋势的思考

2019年8月，一伙来自中东的黑客悄无声息的遛进了美国政府的网站，黑客们带走了什么没有人清楚，不过后知后觉的美国政府在几个月之后才发出了相关漏洞的预警，这个漏洞存在于美国政府的VPN提供商Pluse VPN的产品上，漏洞编号为CVE-2019-11510，据美国FBI的预警，黑客可以利用这个漏洞获取登录用户的名单，读取服务器的配置，读取登录验证缓存并且拿到高级权限。漏洞一经披露，整个网络风声鹤唳，各种受影响的消息铺天盖地而来，攻击者渗透进了数个美国政府的网络，尝试获取了邮件信息，据悉漏洞发生的时候，美国宇航局（NASA），有超过十个带了这个Bug的服务器暴露在外网。蓝星最强的美帝尚且如此狼狈，可见VPN漏洞之普遍。

自新冠疫情发生以来，越来越多的机构或者企业选择在家远程办公，为了满足足不出户就能上课和学习，为了对企业人员进行远程授权管理，VPN又被推到了时代的聚光灯下。VPN，全称为虚拟专用网络，其主要作用是连接处于互联网上的各个终端，使其能够像在局域网一样访问彼此的资源，并且提供统一的数据加密，授权管理服务，因此在政府、学校、商业机构中被广泛应用。VPN在疫情期间变得越来越火，企业级用户激增，其带来丰厚效益提升的同时也带来层出不穷的问题。

为什么VPN是众多黑客喜闻乐攻的香饽饽

VPN是从外网进入内网的核心节点，类似的节点还有IPS、IDS等，这些节点是内网和外网边界的核心节点，如果被攻克的话，黑客就能事半功倍的进入内网，如入无人之境，带来的收益是及其诱人的，同时VPN这个品类本身的产品渗透率就比IPS、IDS等这些产品高，因此更容易成为黑客最常攻击的目标。

以国外的VPN为例，除了上述美国政府面临的VPN问题之外，在过去一年中海外的其他VPN服务提供商例如：Palo Alto Networks、Fortinet、Cisco等都被披露有严重安全漏洞。从身份验证失效，到远程代码执行问题，从登录信息泄漏，到权限管理失效。以Cisco为例子，最近就出现了远程代码执行的漏洞，例如CVE-2020-3323和CVE-2020-3331黑客能够利用该漏洞控制Cisco用户的服务器。国内的VPN也一样，目前国内市场占有率靠前的深信服，其VPN也面临同样的情况，也在今年被爆出了漏洞。

安全厂商需要提升产品安全性并保持透明，用户也要逐步增强安全意识

从厂商的角度，VPN厂商应该在加大安全投入的同时还需要确保和客户保持漏洞信息透明。

一方面，安全厂商应该建立软件安全研发流程，积极应用落实SDL或DevSecOps等。在需求、设计、发布、运营的软件开发全生命周期中落地安全动作，通过安全培训、威胁建模、安全测试等手段尽可能的前移发现安全漏洞；并通过建立质量门限把关产品安全交付质量，从而提升产品整体安全质量；实时关注安全情报，通过有效及时的应急响应机制，保障安全事件的有效止损和处置，最大化降低安全问题与事件对产品和用户的影响。

（图片来源微软官网，DevSecOpsin Azure）

另一方面，安全厂商需要建设更好的产品漏洞通知和维护机制。Google在这方面就做了良好的示范，首先Google实施了漏洞管理流程，其商业化工具和内部专门构建的工具来扫描软件漏洞，并通过自动和手动渗透工作、质量保证流程、软件安全审查和外部审核来确保软件的安全性。然后Google成立了专门的漏洞管理团队负责跟踪和跟进漏洞。当Google确定了需要修复的漏洞之后，便会记录漏洞，并根据严重程度确定优先级，然后为其分配所有者。然后Google漏洞管理团队会跟踪此类问题，并经常跟进，直至确认问题已得到修复。

从用户的角度，也需要意识到VPN作为系统边界的重要性，要认真对待官方发出的漏洞预警并及时响应。《网络安全法》规定关键信息基础设施的运营者须对重要系统和数据进行容灾备份，并对系统漏洞等安全风险采取相应的补救措施。省级以上政府有关部门、中央网信部门、公安部门会对关键信息基础设施不定期开展抽查和检测工作，针对较大安全风险或安全事件，会提出整改要求，甚至给予行政处罚。

VPN为各类单位的远程连接提供了有力保证，使得各类单位的业务能够快速而高效的扩展到天南海北。虽然目前也有很多从业者在提VPN已经过时，现在应该使用零信任了，但因为短期内零信任的落地障碍，估计VPN被零信任完全取代还有很长的路要走。为确保VPN产品的安全使用，厂商与用户应齐心协力，一同打造更加安全的网络环境。