El Norwegian National Cyber Security Center (NCSC) ha recomendado reemplazar las soluciones de acceso remoto seguro basadas en SSLVPN y WebVPN por alternativas actualizadas. La organización destaca la explotación repetida de vulnerabilidades relacionadas con estos protocolos, lo que representa un riesgo significativo para las redes corporativas.
Recomendaciones del NCSC
El NCSC sugiere completar la transición a soluciones más seguras antes de 2025. Las organizaciones sujetas a «leyes de seguridad» o que operan en infraestructura crítica deben adoptar alternativas más seguras para fines de 2024.
La recomendación oficial del NCSC es migrar a Internet Protocol Security (IPSEC) con Internet Key Exchange (IKEV2). SSLVPN y WebVPN proporcionan acceso remoto seguro mediante protocolos SSL/TLS, asegurando la conexión entre el dispositivo del usuario y el servidor VPN utilizando un «túnel de cifrado».
IPSEC con IKEV2 asegura las comunicaciones mediante cifrado y autenticación de cada paquete, utilizando un conjunto de claves renovado periódicamente. Aunque la organización admite que IPSEC con IKEv2 no está libre de defectos, considera que su adopción reduciría significativamente la superficie de ataque para incidentes de acceso remoto seguro debido a una menor tolerancia para los errores de configuración en comparación con SSLVPN.
Medidas de implementación
Las medidas propuestas incluyen:
- Reconfigurar o reemplazar las soluciones VPN existentes
- Migrar a todos los usuarios y sistemas protocolos nuevos y actuales
- Deshabilitar la funcionalidad SSLVPN y bloquear el tráfico TLS entrante
- Uso de autenticación basada en certificados
- Cuando no sea posible usar IPSEC, el NCSC sugiere emplear banda ancha 4G/5G
Mientras tanto, el NCSC también ha compartido medidas provisionales para organizaciones cuyas soluciones VPN no ofrecen IPSEC con IKEv2 y necesitan tiempo para planificar y ejecutar la migración. Estas incluyen implementar el registro de actividad VPN centralizado, estrictas restricciones de Geo Fencing, y bloquear el acceso de proveedores de VPN, nodos de salida de TOR y proveedores de VPS.
Recomendaciones internacionales
Otros países también han recomendado usar IPSEC sobre otros protocolos, incluidos Estados Unidos y el Reino Unido.
Vulnerabilidades en SSLVPN
A diferencia de IPSEC, que es un estándar abierto seguido por la mayoría de las empresas, SSLVPN no tiene un estándar único. Esto ha llevado a numerosos errores descubiertos en las implementaciones de Cisco, Fortinet y Sonicwall, que los piratas informáticos explotan activamente para violar redes.
Como ejemplo, Fortinet reveló en febrero que el grupo chino Volt Typhoon hackeó dos fallas de VPN Fortios SSL para violar organizaciones, incluida una red militar holandesa. En 2023, las operaciones de ransomware Akira y Lockbit explotaron un día cero SSLVPN en enrutadores Cisco ASA para violar redes corporativas.
A principios de ese año, una vulnerabilidad de FortiGate SSLVPN fue explotada como un Zero-Day contra el gobierno, la fabricación y la infraestructura crítica. Las recomendaciones del NCSC se producen después de que la organización alertó sobre un actor de amenaza avanzada que explota múltiples vulnerabilidades de día cero en Cisco ASA VPNS utilizadas en infraestructura crítica desde noviembre de 2023.
Cisco reveló la campaña como «Arcanedoor», atribuyéndola al grupo de amenazas rastreado como «UAT4356» o «Storm-1849», quien obtuvo acceso no autorizado a las sesiones de WebVPN asociadas con los servicios de VPN SSL del dispositivo. Los ataques involucraron la explotación de dos días cero, CVE-2024-20353 y CVE-2024-20359, lo que permitió a los piratas informáticos lograr la derivación de la autenticación, la adquisición del dispositivo y la elevación de privilegios a los derechos administrativos.
Aunque Cisco fijó las dos vulnerabilidades el 24 de abril, la firma de equipos de seguridad cibernética y de redes no pudo identificar cómo los actores de amenaza inicialmente obtuvieron acceso al dispositivo.