当前位置:首页 >  IDC >  安全 >  正文

超20万个企业面临黑客攻击!天威诚信SSL证书守护网络安全

 2020-10-09 18:32  来源: 互联网   我来投稿 撤稿纠错

  【推荐】海外独服/站群服务器/高防

为了应对冠状病毒在世界各地的传播,许多组织部署了VPN解决方案,包括Fortigate VPN,以允许雇主在家工作。VPN解决方案的配置对于保证组织的安全和避免危险的意外非常重要。

根据网络安全平台提供商SAM Seamless Network统计,超过20万个企业已经部署了具有默认设置的Fortigate VPN解决方案。这种选择允许攻击者提供有效的SSL证书,并对员工的连接执行中间人(MitM)攻击。

“令人惊讶(或者不是?),我们很快发现,在默认配置下,sslvpn没有得到应有的保护,很容易受到MITM攻击。Fortigate SSL-VPN客户端只验证CA是由Fortigate(或其他受信任的CA)颁发的,因此攻击者可以轻松地将颁发给不同Fortigate路由器的证书呈现出来,而无需升起任何标志,并实施中间人攻击。我们在几分钟内搜索并找到了20多万家易受攻击的企业。”

专家指出,Fortigate SSL-VPN客户端只验证CA是由Fortigate或另一个可信CA颁发的,这使得攻击者可以出示颁发给不同Fortigate路由器的证书来实施中间人攻击。

主要问题与自签名SSL证书有关

Fortigate路由器附带一个由Fortinet签名的默认SSL证书,这是一个自签名证书,其中包含路由器的序列号作为证书的服务器名称。

什么是自签名SSL证书?

自签名SSL证书,一般是指由不受信任的任意机构或个人,使用工具自己签发的SSL证书。天威诚信提醒您这些不受信任的机构和个人因为不受任何第三方的监督和审核,所以可以随意签发自签名SSL证书,但其签发的SSL证书也不被浏览器和操作系统所信任,所以经常被不法分子用于伪造证书进行中间人攻击。

自签名SSL证书容易被假冒和伪造

因为自签名SSL证书是可以随意签发的,如果你的网站使用的是自签名SSL证书,那不法分子完全可以通过伪造一张相同的自签名证书,用于制作假冒钓鱼网站,这使得网站用户无法分辨出真假网站,上当受骗。

而第三方权威机构在签发SSL证书时,需要对申请企业的真实身份进行验证,不存在随意签发SSL证书的现象,不法分子难以伪造假冒。而部署了受信任的SSL证书的网站,用户在访问网站时浏览器便会识别SSL证书的真实信息和证书状态,天威诚信表示如果网站SSL证书配置的域名与实际的域名不符,或者出现证书已过期等其它情况时,浏览器都会提醒用户“此网站安全证书存在问题”进行警告,令假冒网站无处藏身!

专家强调,Fortinet的客户端根本不验证服务器名称,这意味着任何由Fortinet或任何其他可信CA颁发的证书都将被接受。攻击者可以将流量重新路由到其服务器,显示自己的证书,然后在攻击的视频PoC下解密流量。

不幸的是,Fortinet没有解决该漏洞的计划,它建议用户手动替换默认证书,并确保连接不受MitM攻击。

目前,当用户使用默认证书时,Fortinet会发出警告。

“您使用的是默认的内置证书,它将无法验证服务器的域名(您的用户将看到一个警告)。建议您为您的域购买一个证书并上载以供使用。

天威诚信作为中国唯一一家由DigiCert直接授权且由中国工信部批准的CA认证机构,可购买DigiCert 、Geotrust、GlobalSign、Entrust、vTrus 等品牌的SSL证书,同时拥有丰富的应对和解决各种复杂及突发情况的专业服务支持团队,可为用户提供优质的本地化服务与7*24小时技术支持。

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

相关文章

  • 2023 年 6 月头号恶意软件:Qbot 成为 2023 年上半年最猖獗恶意软件

    CheckPointResearch报告称,多用途木马Qbot是2023年上半年最猖獗的恶意软件。与此同时,移动木马SpinOk于6月份首次位居榜首,该恶意软件在MOVEit暴出零日漏洞后开始肆虐2023年7月,全球领先的网络安全解决方案提供商CheckPoint®软件技术有限公司(纳斯达克股票代码

    标签:
    网络安全
  • 华顺信安荣获“网络空间安全产学协同育人优秀案例”二等奖

    7月6日,“第三届网络空间安全产学协同育人优秀案例”评选活动正式公布获奖名单,华顺信安与湘潭大学计算机学院·网络空间安全学院联合申报的参选案例获评优秀案例二等奖。本次活动由教育部高等学校网络空间安全专业教学指导委员会产学合作育人工作组主办,四川大学与华中科技大学共同承办。本次评选,华顺信安与湘潭大学

    标签:
    网络安全
  • Check Point:攻击者通过合法email服务窃取用户凭证信息

    近日,CheckPoint®软件技术有限公司的研究人员对电子邮件安全展开调研,结果显示凭证收集仍是主要攻击向量,59%的报告攻击与之相关。它还在商业电子邮件入侵(BEC)攻击中发挥了重要作用,造成了15%的攻击。同时,在2023年一份针对我国电子邮件安全的第三方报告显示,与证书/凭据钓鱼相关的不法活

    标签:
    网络安全
  • 高级SSL证书直降1000+ 安信证书带你清凉一夏

    夏日炎炎,烈日高照,这个季节最需要的就是清凉!而安信证书夏季大放价活动,正是为了让您以清凉的价格,使您的网站可以获得更加专业的SSL保护,更加轻松地应对网络攻击和数据泄露。此次夏季活动中,有大家比较熟悉的国际知名品牌GeoTrust、Sectigo等,还有DV、OV、EV等不同验证类型的SSL证书,

    标签:
    ssl证书
  • 百代OSS防勒索解决方案,打造领先安全生态体系

    Verizon发布的VerizonBusiness2022数据泄露调查报告显示,勒索软件在2022年同比增长13%,增幅超过过去五年综合。更危险的是,今年又出现了许多新的勒索软件即服务(RaaS)团伙,例如Mindware、Onyx和BlackBasta,以及恶名昭著的勒索软件运营商REvil的回归

    标签:
    网络安全

热门排行

信息推荐