虚拟专用网 (VPN) 是通过一个互联网建立一个临时的、安全的连接，是一条穿过公用网络到企业内部网的安全、稳定的通信隧道。虚拟专用网是对企业内部网的扩展，虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。

SSL VPN 指采用 SSL 协议来加密 IP 数据链路实现 远程接入 的一种新型 VPN 技术。由于 SSL 协议广泛内置于 IE 等各种浏览器中，使用 SSL 协议进行认证和数据加密的 SSL VPN 与传统的 IPSec VPN 相比， SSL VPN 具有部署简单，无客户端，维护成本低，网络适应强等特点，这两种类型的 VPN 之间的差别就类似客户端 / 服务器端 (C/S) 应用构架和浏览器 / 服务器端 (B/S) 应用构架的区别。

由于企业普遍采用 B/S 架构来建立内部管理系统，而且必须满足远程用户安全接入的要求，所以， SSL VPN 产品已经在各行各业中得到了越来越多的应用部署，如企业内部网、校园网、政府内部网等等。但是，目前的 SSL VPN 部署中仍然有不小安全隐患，也就是说：这条通往企业内部的安全隧道并不是十分安全，这对于依赖各种内部管理系统 ( 如： OA 、 CRM 、 ERP 、 SCM) 的企事业单位来讲，是非常危险的事。这些安全隐患如果不能得到及时解决，则极有可能使得企业机密数据从这个秘密隧道泄露出来，会给企业带来不可弥补的经济损失和其他损失。本专题意在指出各种 SSL VPN 部署中可能存在的安全隐患，并提出其解决方案。

二、 SSL VPN 部署中存在的主要问题

一、 什么是 VPN ？什么是 SSL VPN

三、 SSL VPN 部署中存在的主要问题解决方案

四、 SSL VPN 设备选购五大注意事项

 

我们检查了许多能通过互联网访问的 SSL VPN 登录系统，发现了不少安全隐患，主要有如下几个与数字证书有关的问题:

(1) 比较普遍的一个问题是使用自签名SSL证书，不仅使得浏览器会有安全警告，如下图所示， IE7 以上版本浏览器直接阻止运行，给 VPN 使用者带来不便。

不仅如此，更重要的安全隐患有：
a) 一般自签名SSL证书使用的 RSA 公钥长度 1024 位，甚至有些是 512 位，非常不安全，随时都有可能被破解的风险，使得 SSL 加密形同虚设；

b) 有些自签证书使用非常不安全的 MD5 签名算法；

c) 有些证书主题信息中居然没有绑定域名的 CN 字段信息，这根本就不能称为 SSL 证书，能否起到 SSL 加密作用，还是一个大问号 ( 有待测试 ) ；

d) 许多自签 SSL 证书有效期为 5 年、 10 年，甚至 20 年，不安全的 1024 位加密随时有可能被破解， 10 年和 20 年的有效期就更不能保证不会被破解了。

(2) 有些 SSL VPN 设备已经部署了全球信任的 SSL 证书，但颁发这些 SSL 证书的根证书和设备 SSL 证书都是 1024 位的密钥长度，也是不安全的。

(3) 在登录 VPN 系统的用户端身份认证方面，几乎都是采用不安全的用户名 / 密码认证方式，如果用户端电脑有木马，则其用户名 / 密码就非常容易被截获，就等于这条通往企业内部网的安全隧道彻底不安全了，因为密码截获者已经获得了该用户的所有访问权限。

即使有个别系统使用了自签的客户端证书做强身份认证登录，仍然存在与自签 SSL 证书同样的两大问题 ( 密钥长度不够和证书有效期的问题 ) ，更为重要的问题是这些客户端证书根本就没有可访问的吊销列表，这意味着一旦某个用户的证书或 USB Key 丢失 ( 或离职后声称已丢失 ) ，由于无法吊销证书而极有可能被捡到者用于非法登录内部管理系统，这也是一个严重的安全隐患，特别是在大型系统中由于用户数太多而带来管理的难度。

(4) 发现个别 SSL VPN 登录口居然没有部署 SSL( 不能使用 https:// 来访问 ) ，则根本不是 SSL VPN ！当然也起不到安全加密的作用，那好不如不用此类所谓的“ SSL VPN ”设备了。看来， SSL VPN 市场真是鱼目混珠，建议有意购买 SSL VPN 设备的单位一定要看看本网站的选购指南。