NSA发布IPSec VPN安全指南
作者:星期二, 七月 7, 20200

美国国家安全局(National Security Agency)本周发布了有关保护IPSec虚拟专用网络安全的指南,因为在冠状病毒大流行之后,美国各地的公司仍在持续远程工作。该安全建议包括各种警告,例如不要依赖供应商提供的配置。

NSA的VPN安全指南有两种文档形式:安全VPN指南和带有更详细的配置示例的版本。NSA警告说,许多VPN供应商提供了为其设备预先配置的加密套件和IPSec策略,以及用于兼容性的其他套件。互联网安全关联和密钥管理协议(ISAKMP)和IPSec策略定义了VPN如何相互认证、管理安全关联,以及如何在VPN连接的不同阶段生成密钥。

《指南》警告说:

如果将这两个阶段中的任何一个配置为允许过时的加密,则整个VPN都将面临风险,并且数据机密性可能会丢失。

美国国家安全局(NSA)建议管理员确保这些政策符合国家安全系统政策委员会(CNSSP)-15标准,该标准定义了在国家安全系统之间安全共享信息的参数。甚至配置符合CNSSP-15的默认策略可能还不够,因为许多VPN被配置为在默认策略不可用时退回到备用策略。该文件说,如果管理员将供应商的预配置替代产品留在其设备上,则可能会使用不合规的安全策略。

IPSec于1990年代引入,是VPN通信的传统协议。它可以用于远程访问或VPN间通信,是SSL/TLS VPN的替代方法,后者提供完全基于浏览器的访问,而无需在客户端使用专用的软件应用程序。

NSA还建议管理员缩小其VPN网关的攻击面。由于这些设备主要通过互联网访问,因此它们很容易受到网络扫描,暴力攻击和零日漏洞的攻击。降低此风险的一种方法是,如果使用对等VPN,则将接受的流量限制为已知IP地址。

NSA指出:

远程访问VPN出现了远程对等IP地址未知的问题,因此无法将其添加到静态过滤规则中。

但是,管理员仍可以限制对可通过UDP访问的特定端口和协议(例如端口500和4500)的访问。

参考资料

美国国家安全局IPSec VPN安全指南:

https://media.defense.gov/2020/Jul/02/2002355625/-1/-1/0/SECURING_IPSEC_VIRTUAL_PRIVATE_NETWORKS_EXECUTIVE_SUMMARY_2020_07_01_FINAL_RELEASE.PDF

相关阅读

冒牌VPN被用来传播恶意软件

远程办公席卷全球,VPN用量翻番

远程办公十大网络安全意识隐患

 

 

关键词:

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章