VPN技术的安全分析

　　作为互联网技术和通信需求迅猛发展的产物， VPN技术在互联网发展中的地位越发突显。随着“十二五”期间新一轮企业信息化进程的开启，越来越多的移动办公用户、企业分支机构开始选择VPN技术进行安全远程访问，甚至许多大型跨国公司、政府部门也开始利用廉价的公用基础设施构建自己的专用广域网络，进行内部数据的安全传输。由于VPN技术的核心和基础仍是互联网，因此VPN技术发展所面临的安全问题也不容忽视。具体情况如下：

　　一、基本情况

　　VPN（virtual private network），即虚拟专用网或虚拟私用网，是指利用开放的公共网络资源建立专用网络的一种技术。它是内部网的扩展，通过特殊的加密通讯协议在互联网上位于不同地方的两个或多个内部网之间建立一条专有的虚拟通讯线路，且并不需要重新铺设光缆之类的物理设备，主要应用于内部数据传输和通过高速服务器代理服务实现网络加速。

　　（一）VPN的主要特点

　　一是成本低廉。VPN用户实际上不需要搭建一个独立专用的网络，且不必投入大量的人力和物力去维护广域网设备和远程访问设备。二是方便灵活。如果一个VPN节点存在问题，可以替换一个新的节点绕过它，从而避免维护和修理；如果用户想要与另一用户进行安全的信息传输，只需双方通过VPN配置安全连接信息即可。三是控制能力强。VPN能够提供细粒度的访问控制，可以对用户权限、用户组权限、资源、服务、文件等访问，做到基于单个用户的精细控制；同时，用户能够完全掌握自己的网络控制权，对VPN的本地安全设置、网络配置等都可以自己管理。

　　（二）常见的三种VPN技术

　　一是IPSec VPN。IPSec协议是为了保障IP通信而提供的一系列协议族，主要针对数据在通过公共网络时的数据完整性、安全性和合法性等问题设计的一整套隧道加密和认证方案。IPSec VPN是指基于IPSec协议，通过包封装技术，能够利用路由地址封装内部网络的IP地址，实现异地网络的互通的虚拟专用网络。这类VPN的优点是世界公认的安全性，但是它的运行和长期维护需要大量技术支持，管理成本很高。

　　二是SSL VPN。SSL协议是套接层协议，是为了保障基于Web的通信安全而提供的加密认证协议。SSL VPN指的是使用者利用浏览器内建的SSL封包处理功能，用浏览器连接SSL VPN服务器，然后通过网络封包转向的方式，让使用者可以在远程计算机执行应用程序，读取公司内部服务器数据的虚拟专用网络。相对于IPSec VPN，在保证安全性的前提下减少了操作的复杂性。

　　三是MPLS VPN。MPLS是多协议标签交换技术，通过将路由选择和数据转发分开，由标签来规定一个分组通过网络的路径，同时具有灵活多变的路由功能和较高的转发效率。MPLS VPN是利用MPLS技术，监护核心路由器的路由选择方式，利用传统路由技术的标记交换实现的虚拟专用网络。这类VPN具有很高的效率和灵活性，备受业界关注，在中国网通、铁通等全国骨干网的网络建设中得到了实践部署。

　　二、VPN面临的安全问题

　　从技术架构上来说，VPN可以分为客户端、传输端以及服务端。不同的VPN技术，所面临的安全隐患也不同。具体情况如下：

　　（一）IPSec VPN安全问题

　　IPSec VPN在通信协议和加密算法方面具有很强的安全性，它所面临的安全威胁主要来源于对客户端的攻击。

　　一是中间人攻击。主要发生在客户端通过无线或有线局域网访问互联网时（例如公用的WIFI、旅店内部局域网）。攻击者可以通过技术手段在内部网络虚拟放置一台受控制的计算机来窥探通信内容，造成信息泄露。二是本地安全配置不完善。由于VPN客户端的本地安全配置是由用户自己掌控的，可能由于人为因素而存在安全隐患。例如将许可证书保存在本地设备等。一旦攻击者控制了这些设备，就可以绕过身份验证，甚至连登录口令都不需要就能打开VPN通道。三是窃取VPN安全信息。攻击者可以通过发送恶意邮件等社会工程学的方法窃取VPN的安全信息。这些安全信息包括VPN客户端的IP地址、配置参数和用户许可证书等等。利用这些安全信息，攻击者可以伪造通讯身份，从而对VPN的安全造成威胁。四是VPN内部安全防范薄弱。VPN在成功连通之后，对受信任用户的安全防范要求较低，普遍缺少隧道内的攻击防范策略，增加了VPN内部的安全风险。一旦攻击者成功入侵客户端主机，或者通过合法程序申请到客户端，就可以通过一些允许访问的主机或服务的应用层协议漏洞进行渗透，获取访问权限，进而获得内部的信息；或者利用客户端主机对内部网络和VPN服务器发起拒绝服务攻击、端口扫描等网络攻击，从而造成网络瘫痪或服务器配置信息外泄。

　　（二）SSL VPN安全问题

　　由于SSL VPN并不需要特殊的客户端软件，而是用Web浏览器代替，因此SSL VPN的安全威胁主要集中在浏览器和服务端。

　　一是不正确的系统操作引发的安全问题。例如用户不是关闭SSL VPN浏览器和服务器两端的进程来退出系统，而是直接关闭浏览器来代替退出登录，这可能导致SSL VPN服务器的进程并没有关闭（取决于SSL VPN的本地配置）。攻击者可以利用这种行为绕过身份验证而访问VPN，从而给VPN系统带来较大的安全威胁。二是针对身份认证的恶意攻击。SSL VPN允许用户在任何地点通过浏览器登录VPN系统，因此用户在公共场合登录时泄露登录口令等安全信息的危险增加。三是病毒通过隧道感染内部网络。SSL VPN的远程用户可以使用任何地点的任何客户端远程登录企业内部网络，一旦这些客户端存在病毒，且连上内部网络，病毒文件就能够利用SSL VPN隧道入侵内部网络。同时，由于内部网络边界防火墙的局限性，不能有效防止感染了病毒的软件或文件的传播，因此病毒能够通过隧道感染内部网络。四是Web服务器自身的安全隐患。大部分SSL VPN系统使用Web服务器作为其底层平台，这样，Web服务器的任何安全隐患，例如后门或越权漏洞等，都将给SSL VPN系统带来严重的安全问题。

　　（三）MPLS VPN安全问题

　　作为当今国内大型运营商的主流VPN技术，MPLS VPN采用了严格的路由信息隔离机制，同时采用面向连接的方式在运营商边界设备（网络接入层设备）之间建立标记交换隧道来传送用户信息，在一定程度上保证了用户信息传送的安全性。但作为基于IP通信的技术，且并未对传输的信息进行加密和认证，因此MPLS VPN仍然存在一些安全问题。

　　一是针对VPN路由设备的攻击。这种攻击通常在路由信息发布阶段进行。例如攻击者伪装成某个边缘设备与服务端设备建立会话连接并交换路由信息（版本信息、LAN口状态等），造成VPN内部路由信息的泄露；或者攻击者通过伪造或篡改路由信息，使用户的数据流传往错误的方向，以便窃听和分析用户的内部信息。二是针对网络设备的拒绝服务攻击。由于网络上的用户数据包和路由协议包是共享带宽传送的，因此过多的用户业务流有可能造成网络和设备资源被耗尽，导致对边缘设备或路由器的拒绝服务攻击，影响和破坏路由信息的正常传送。三是来自互联网的安全威胁。同之前来自内部网络的安全攻击不同，在用户通过MPLS VPN访问互联网的情况下，攻击者可以通过IP源地址欺骗、会话劫持、种植木马等传统的攻击手段发起攻击，对用户数据流进行非法的查看、修改、伪造、删除等操作。