Según SAM Seamless Network, más de 200.000 empresas que utilizan SSL VPN de fábrica son vulnerables a ataques como MitM. Los atacantes, cuando se conectan, pueden proporcionar un certificado SSL válido y trucos en la red corporativa de la empresa. Un ejemplo de un ataque se presenta debajo del corte, así como recomendaciones para configurar de forma segura una VPN SSL.
“Descubrimos rápidamente que la VPN SSL predeterminada no era tan segura como debería ser, vulnerable a los ataques MitM”, dijeron Niv Hertz y Lior Tashimov de SAM IoT Security Lab.
Según ellos, el cliente VPN SSL solo verifica si el certificado fue firmado por Fortinet (u otra CA confiable). Por lo tanto, un atacante podría proporcionar un certificado destinado a otro FortiGate y lanzar un ataque man-in-the-middle.
Para simular el ataque, los investigadores utilizaron un dispositivo IoT comprometido que lanza un ataque MitM poco después de que el cliente VPN inicia una conexión. Luego, el dispositivo roba las credenciales antes de transmitirlas a FortiGate y compromete el proceso de autenticación.
La verificación del certificado SSL, que ayuda a autenticar un sitio web o dominio, funciona de una manera ligeramente diferente. El proceso verifica el período de validez del certificado, la firma digital, la CA que emitió este certificado y el campo Asunto del certificado. Si el certificado es válido, su firma digital es correcta, el certificado fue firmado por una CA confiable y el campo Asunto contiene el nombre del sitio web o dominio; la conexión está permitida.
El problema, según los investigadores, es que las empresas utilizan los certificados SSL autofirmados que vienen con el hardware de forma predeterminada.
Dado que cada FortiGate viene con un certificado firmado por Fortinet, este certificado puede ser manipulado por un tercero, lo que permite a los atacantes secuestrar el tráfico que va a FortiGate y descifrar su contenido. A continuación se muestra un video con un ejemplo de descifrado del tráfico transmitido por un cliente VPN, que resultó en la recepción de la contraseña del usuario y su OTP.
El principal problema es que aunque el número de serie del dispositivo se utiliza como campo Asunto en el certificado, parece que el cliente no comprueba en absoluto el nombre del servidor, lo que permite llevar a cabo este tipo de ataques.
Actualmente, FortiGate emite una advertencia cuando se usa un certificado incrustado: "Está utilizando un certificado incrustado estándar que no podrá verificar el nombre de dominio del servidor (sus usuarios recibirán una advertencia)". Se recomienda que compre un certificado para su dominio y lo use ".
En un comunicado a The Hacker News, Fortinet dijo: “La seguridad de nuestros clientes es nuestra principal prioridad. Ésta no es una vulnerabilidad. Los dispositivos están diseñados para ser fáciles de operar desde el primer momento y luego personalizarlos según las necesidades individuales del cliente ”.
Fortinet también recomienda enfáticamente seguir la documentación existente y prestar atención a todas las advertencias durante el proceso de configuración para evitar poner en riesgo a la empresa.
Las recomendaciones para fortalecer SSL VPN son las siguientes:
- Utilice servidores de autenticación externos;
- No utilice los certificados VPN SSL predeterminados integrados;
- Utilice autenticación de múltiples factores;
- Los certificados de usuario se pueden utilizar como segundo factor;
- Determine la versión mínima de TLS y los conjuntos de cifrado admitidos;
- Cree con cuidado políticas y perfiles de seguridad para usuarios remotos.
Puede leer más sobre estas medidas de seguridad aquí .
Nosotros, como integrador especializado en soluciones de Fortinet, seguimos de cerca todas las novedades relacionadas con ella, y nos centramos en las más importantes e interesantes. Para no perderse nada, suscríbase a nuestras actualizaciones en las redes sociales:
→ Grupo Vkontakte
→ Yandex Zen
→ Nuestro sitio web
→ Canal de Telegram