Onderzoek: 85% ssl-vpn-servers gebruikt onveilige encryptie
85% van de ssl-vpn-servers maakt gebruik van verouderde of onveilige encryptie, waardoor gegevens van gebruikers risico lopen. Dat stelt het beveiligingsbedrijf High-Tech Bridge op basis van onderzoek onder ruim 10.000 openbaar toegankelijke ssl-vpn-servers van grote leveranciers, zoals Cisco, Dell en Fortinet.
Een ssl-vpn is een virtual private network (vpn) dat via de browser kan worden gebruikt. In tegenstelling tot traditionele vpn-diensten hoeft er bij een ssl-vpn-dienst geen software op de computer te worden geïnstalleerd. Een browser is voldoende. Via deze oplossing kunnen gebruikers toegang tot webapplicaties, client/server-applicaties en interne netwerkverbindingen krijgen. Volgens de onderzoekers gebruikt 77% van de geteste ssl-vpn-servers nog steeds het onveilige sslv3-protocol, terwijl er tientallen nog met sslv2 werken.
Verder blijkt 76% van de geteste servers een onbetrouwbaar certificaat te gebruiken, waardoor aanvallers via man-in-the-middle-aanvallen gegevens kunnen stelen. 74% van de certificaten die voor de ssl-vpn-verbinding werd gebruikt blijkt met het sha-1-algoritme te zijn gesigneerd. Dit algoritme wordt als onveilig beschouwd en browserleveranciers en andere partijen zijn dan ook bezig om het algoritme uit te faseren. De onderzoekers ontdekten ook dat 41% van de servers een onveilige sleutellengte voor hun rsa-certificaten gebruikt, waardoor aanvallers verschillende aanvallen kunnen uitvoeren.
Tevens bleek dat 10% van de ssl-vpn-servers die van OpenSSL gebruikmaakt nog altijd kwetsbaar te zijn voor het Heartbleed-lek. Aan de hand van het onderzoek werden de servers beoordeeld. 85% scoorde uiteindelijk een dikke onvoldoende. 3% kreeg een goede voldoende, terwijl de overige 12% net voldoende scoort. Volgens de onderzoekers laten de resultaten zien dat veel mensen ssl/tls-encryptie nog steeds zien als iets wat alleen voor het https-protocol geldt, en daarbij anderen belangrijke internetdiensten zoals e-mail of vpn vergeten.
When a PAN-OS device is configured as a GlobalProtect portal, a vulnerability exists where an improper handling of a buffer involved in the processing of SSL VPN requests can result in device crash and possible remote code execution. (Ref. #89752)
Severity: Critical
An attacker with network access to the vulnerable GlobalProtect portal may be able to perform a denial-of-service (DoS) attack on the device, and may be able to perform remote code execution on the affected device.
In http://www.theregister.co.uk/2016/02/25/palo_alto_reveals_critical_bugs_and_march_16th_patch_deadline/ (mijn bron voor het bovenstaande) staat onder meer:
The company's security advisory page lists the four bugs but doesn't mention the deadline.
That date has, however, been shared in an email to customers that reads in part “All customers are advised to upgrade PAN-OS and Panorama to the latest maintenance releases before March 16th, 2016, when details of the vulnerabilities will be publicly disclosed at a security conference in Germany by the security researcher that discovered and reported these issues to us.”
[...]
In een comment onder https://isc.sans.edu/forums/diary/Critical+Vulnerabilities+in+Palo+Alto+Networks+PANOS/20767/ schrijft Anonymous:
https://live.paloaltonetworks.com/t5/Threat-Articles/Stopgap-Mitigations-Against-PAN-SA-2016-0002-PAN-SA-2016-0003/ta-p/73509
De kop meldt: Stopgap Mitigations Against PAN-SA-2016-0002, PAN-SA-2016-0003, and PAN-SA-2016-0004
Achter Issue staat: ......rabilities detailed in PAN-SA-2016-0005, PAN-SA-2016-0004, and PAN-SA-2016-0003.
Hmm, die PAN-SA-2016-0005 (niet genoemd in de kop) lijkt nou net de meest kritische kwetsbaarheid, onduidelijk is wat mij betreft of die nu wel of niet wordt gemitigeerd.
85% heeft een dikke voldoende...
*kuch kuch*
https://arstechnica.com/security/2017/01/majority-of-android-vpns-cant-be-trusted-to-make-users-more-secure/
Je zult zien dat er binnenkort nieuwe "security apps" zullen worden ontwikkeld om de zogenaamde "security apps" op hun beurt weer op hun integriteit te gaan controleren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
