信息安全

當心了!90%的 SSL VPN 使用不安全或過時的加密技術

很多 SSL VPN 沒有使用最新的加密技術。

信息安全公司 ——  High-Tech Bridge 進行了一項關於 SSL VPN 的調查。研究發現 90% 提供 SSL VPN 服務的伺服器並沒有提供應有的安全服務,主要是因為這些伺服器使用了不安全以及過時的加密技術。

SSL VPN 不同於傳統的 IPSec VPN ,因為它可以直接在一個標準的 Web 瀏覽器中使用,不需要在客戶端上安裝額外的專用軟體。 SSL VPN 安裝在伺服器上,客戶端通過瀏覽器單獨連接到 VPN 。用戶瀏覽器和 VPN 服務端的連接通過 SSL 或 TLS 協議加密。

76% 的 SSL VPN 使用不受信任的證書

High-Tech Bridge 的研究人員說他們分析了隨機選擇的 10,436 台 SSL VPN 伺服器,發現了大多數都極不安全。他們聲稱 77% 的 SSL VPN 使用 SSLv3 或 SSLv2 來加密流量。而這兩個版本的 SSL 現在已經被認為是不安全的。部分國際和國家的安全標準已經禁止使用它們了,如: PCI DSS 和 NIST SP 800-52 。

我們暫且忽略使用的 SSL 版本,但是 76% 的 SSL VPN 伺服器還使用了不受信任的證書,這些沒有被證實的 SSL 證書可以被攻擊者模仿,從而對不知情用戶發起中間人攻擊。 High-Tech Bridge 的專家說導致這樣的情況是因為很多 SSL VPN 伺服器很少更新默認的預裝證書。

一些 VPN 仍然使用 MD5 來簽名證書。

此外,研究人員還指出,74% 的證書使用 SHA-1 簽名,5% 的證書使用 MD5 哈希,這些技術都是被認為已經過時了。41% 的SSL VPN 也在他們的 RSA 證書上使用長度為 1024 的不安全密鑰。在過去的幾年裡,任何長度小於 2048 的 RSA 密鑰被認為是極不安全的。

更糟的是,十分之一的 SSL VPN 伺服器仍然存在兩年前發現的心臟出血漏洞,儘管有可用的補丁。研究人員說在所有被測試的 SSL VPN 中,只有 3% 的伺服器是符合 PCI DSS 要求的,沒有伺服器符合 NIST (美國國家標準與技術研究所) 的標準。

High-Tech Bridge 也提供了一個供用戶檢測他們的 SSL VPN 和 HTTPS 網站是否安全的免費工具。

該安全工具使用地址https://www.htbridge.com/ssl/

SSL VPN 的評級分布( F 到 A 安全等級依次增加):

90-percent-of-all-ssl-vpn-use-insecure-or-outdated-encryption-501038-3

 

Linux Story 溫馨提示,如需了解詳情請訪問原文鏈接

 

原文鏈接:http://news.softpedia.com/news/90-percent-of-all-ssl-vpn-use-insecure-or-outdated-encryption-501038.shtml

本文鏈接:http://www.linuxstory.org/90-percent-of-all-ssl-vpn-use-insecure-or-outdated-encryption

轉載請註明,否則將追究相關責任。

對這篇文章感覺如何?

太棒了
0
不錯
0
愛死了
0
不太好
0
感覺很糟
0
TO LIVE IS TO CHANGE THE WORLD

    You may also like

    Leave a reply

    您的電子郵箱地址不會被公開。 必填項已用 * 標註

    此站點使用Akismet來減少垃圾評論。了解我們如何處理您的評論數據

    More in:信息安全

    信息安全

    深度解析shellcode原理及編碼技術

    本篇文章深度探討了Shellcode的原理,同時對64位和32位系統下的shellcode進行了詳細解讀。並詳細介紹了Shellcode的編碼技術,其中包括手寫Shellcode的兩種思路。對於編碼Shellcode,本文列舉了幾種常見的解碼器的實現,如FNSTENV XOR解碼器和JMP/CALL解碼器。最後,本文列舉了幾種常見的字符集以及Shellcode編碼工具,並推薦了兩個可查找現成Shellcode的資料庫。
    信息安全

    安卓逆向:去廣告和彈窗

    安卓應用中常見有三種廣告:啟動廣告、彈窗廣告以及橫幅廣告。啟動廣告一般是單獨的一個 Activity,對於這種廣告可以通過 Activity 切換定位來加以去除。彈窗廣告一般是在 Activity 方法中通過 Dialog->show() 方法調用的,這種廣告可以通過 Hook、定位並修改代碼方法去除。橫幅廣告是出現在 UI 布局中的廣告,在 xml 中定位到之後可以通過修改寬高和可見性的方法去除。
    信息安全

    安全能力交換協同應對DDoS

    安全形勢的急劇惡化也催生出了海量的安全需求,大量安全廠商及網路運營商都投身到這場全球性的安全對抗戰役中,但是隨著網路攻擊在規模、複雜性及量級方面的不斷擴大,越來越多的網路安全廠商及運營商感覺到「力不從心」,大家都意識到應對現今的網路攻擊已不是一家公司或單一組織可以解決的。協作,必將成為未來網路安全領域最重要的發展方向。