Het Noorse Cyber Security Center (NCSC) heeft organisaties in het land opgeroepen om hun SSLVPN's volledig te vervangen door veiligere alternatieven. Voor organisaties in vitale sectoren of die onder de veiligheidswetgeving vallen zou dit eind dit jaar moeten gebeuren. In andere gevallen wordt op z'n laatst eind 2025 geadviseerd.

Volgens het NCSC hebben vpn-oplossingen die van SSL/TLS gebruikmaken, en daardoor ook bekendstaan als SSLVPN's, WebVPN's of clientless VPN's, al langere tijd met kritieke kwetsbaarheden te maken waar aanvallers misbruik van maken. Vanwege deze aanvallen is het verstandig om SSLVPN's uit te faseren, aldus het NCSC. Dat adviseert als veiliger alternatief het gebruik van IPsec (Internet Protocol Security) met IKEv2 (Internet Key Exchange). De Noorse overheidsinstantie stelt dat ook autoriteiten in andere landen dit adviseren.

"Het doel van dit advies is het verkleinen van de kwetsbaarheden en aanvalsoppervlak van secure remote access. Het is waarschijnlijk dat in de toekomst zerodaylekken in SSLVPN-producten zullen worden gevonden", zo laat het NCSC weten. Dat stelt dat ook oplossingen die van IPsec met IKEv2 gebruikmaken kwetsbaarheden kunnen bevatten, maar dat deze producten een kleiner aanvalsoppervlak hebben en kleinere kans op misconfiguraties.

Op locaties waar het niet mogelijk is om een IPsec-verbinding op te zetten adviseert het NCSC het gebruik van 5G. Tevens wordt aangeraden om SSLVPN-functionaliteit uit te schakelen, inkomend TLS-verkeer naar de vpn-server te blokkeren en certificaatauthenticatie te gebruiken. Zolang de overstap naar IPsec met IKEv2 niet is gemaakt moeten organisaties alleen inkomend verkeer van noodzakelijke landen toestaan, controleren dat vpn-logs centraal worden opgeslagen en inkomend verkeer van Tor, vpn-providers en vps-providers blokkeren.