美國(guó)思科路由器預(yù)置“后門(mén)” 建議加強(qiáng)安全防護(hù)

美國(guó)思科公司的信息產(chǎn)品在中國(guó)市場(chǎng)具有極高的占有率，其路由器產(chǎn)品幾乎參與了中國(guó)所有基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的重大項(xiàng)目建設(shè)。而一直以來(lái)，包括路由器在內(nèi)的思科信息產(chǎn)品存在嚴(yán)重安全漏洞的報(bào)告屢屢被披露。近十年來(lái)，僅CVE網(wǎng)站公開(kāi)發(fā)布的有關(guān)思科產(chǎn)品的漏洞就多達(dá)1300余個(gè)，其中，路由器的各類漏洞就有166個(gè)之多。最不可容忍的是，據(jù)國(guó)內(nèi)網(wǎng)絡(luò)安全權(quán)威技術(shù)部門(mén)檢測(cè)發(fā)現(xiàn)，思科路由器存在嚴(yán)重的預(yù)置式“后門(mén)”！

美國(guó)“棱鏡計(jì)劃”曝光，蓋在其頭上的遮羞布被揭開(kāi)，美國(guó)在網(wǎng)絡(luò)空間大做手腳的惡劣行徑受到世人的強(qiáng)烈譴責(zé)。美政府長(zhǎng)期以來(lái)，對(duì)本國(guó)公民進(jìn)行全面的大范圍信息監(jiān)控，對(duì)多個(gè)國(guó)家政要、企業(yè)和民眾進(jìn)行有組織的竊密和監(jiān)聽(tīng)活動(dòng)，特別是對(duì)中國(guó)長(zhǎng)期以來(lái)實(shí)施大規(guī)模、高強(qiáng)度的網(wǎng)絡(luò)攻擊和滲透。一個(gè)舉世公認(rèn)的事實(shí)是，美國(guó)是當(dāng)今世界上最大的網(wǎng)絡(luò)攻擊者和竊密者。而作為一個(gè)信息技術(shù)的后發(fā)國(guó)家，中國(guó)是網(wǎng)絡(luò)攻擊的最大受害者。中國(guó)大量關(guān)鍵基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)被設(shè)置“后門(mén)”或安置“木馬”，眾多網(wǎng)絡(luò)被病毒感染成為“僵尸”或被終端遠(yuǎn)程控制成為“肉雞”。在這其中，思科公司沒(méi)有遵守一個(gè)科技公司不參與其政府對(duì)外政策的起碼的商業(yè)道德，而是和美國(guó)政、軍兩界打得火熱，利用其在中國(guó)網(wǎng)絡(luò)信息市場(chǎng)的技術(shù)產(chǎn)品優(yōu)勢(shì)，扮演了不光彩的角色，成為美國(guó)推行互聯(lián)網(wǎng)強(qiáng)權(quán)的重要技術(shù)依仗。甚至有證據(jù)表明，思科公司積極參與了美政府和軍界組織的“網(wǎng)絡(luò)風(fēng)暴”演習(xí)，而且是演習(xí)重要設(shè)計(jì)者之一。

在思科路由器中，不少漏洞初看是無(wú)意的設(shè)計(jì)或技術(shù)漏洞，而深入檢測(cè)你會(huì)發(fā)現(xiàn)，這些漏洞其實(shí)不少是預(yù)置式的“后門(mén)”。比如，思科路由器多款主流產(chǎn)品的VPN隧道通訊和加密模塊存在預(yù)置式“后門(mén)”。利用這個(gè)“后門(mén)”，攻擊者可獲取密鑰等核心敏感數(shù)據(jù)，攻擊程序可還原VPN加密信息內(nèi)容，實(shí)現(xiàn)數(shù)據(jù)監(jiān)測(cè)。又如，思科多款路由器存在隱蔽監(jiān)視陷門(mén)。通過(guò)這些預(yù)設(shè)的陷門(mén)，攻擊者可以隱蔽地將流經(jīng)思科路由器的網(wǎng)絡(luò)數(shù)據(jù)選擇性地鏡像傳輸?shù)街付ǖ腎P地址，為網(wǎng)絡(luò)監(jiān)視提供數(shù)據(jù)條件。而從管理員正常管理界面和配置文件中，卻無(wú)法察覺(jué)到這些數(shù)據(jù)被非法鏡像傳輸。再如，思科路由器在維護(hù)模塊中存在可遠(yuǎn)程操控的后門(mén)，可使用遠(yuǎn)程網(wǎng)絡(luò)數(shù)據(jù)觸發(fā)，也可通過(guò)特殊指令觸發(fā)，對(duì)思科路由器進(jìn)行配置、操控。另外，思科路由器系列產(chǎn)品的訪問(wèn)認(rèn)證機(jī)制設(shè)計(jì)上存在多處未知安全漏洞，攻擊者可以繞過(guò)認(rèn)證機(jī)制獲得最高管理權(quán)限，有的可以在提權(quán)后任意修改固件代碼，將惡意代碼或后門(mén)口令植入到固件中，并擇機(jī)觸發(fā)。

僅舉美國(guó)思科公司的路由器產(chǎn)品安全問(wèn)題為例，就如此觸目驚心。

嚴(yán)峻的現(xiàn)實(shí)警示我們，在短期無(wú)法實(shí)現(xiàn)我國(guó)關(guān)鍵網(wǎng)絡(luò)信息系統(tǒng)自主可控的情況下，必須針對(duì)美國(guó)政府和思科公司的行為，采取積極有效的安全防護(hù)策略，確保我國(guó)基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的安全可控。一是對(duì)包括路由器在內(nèi)的思科信息產(chǎn)品開(kāi)展更加嚴(yán)格的安全性檢測(cè)，嚴(yán)查預(yù)置后門(mén)種類，統(tǒng)計(jì)漏洞分布，評(píng)估對(duì)我國(guó)基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的影響程度。二是積極開(kāi)展相關(guān)行業(yè)思科路由器數(shù)據(jù)非法鏡像在線監(jiān)測(cè)，在全國(guó)范圍內(nèi)有重點(diǎn)、分步驟地實(shí)施在線技術(shù)監(jiān)測(cè)。通過(guò)在線全程跟蹤監(jiān)測(cè)，捕獲異常、可疑竊密數(shù)據(jù)和遠(yuǎn)程操控行為，分析掌握其技術(shù)特點(diǎn)，制定處置方案，阻斷竊密數(shù)據(jù)通訊。三是有針對(duì)性地開(kāi)展思科路由器安全加固技術(shù)研究，針對(duì)已發(fā)現(xiàn)的后門(mén)，有針對(duì)性地采取加固措施和防護(hù)技術(shù)方案，自主開(kāi)發(fā)針對(duì)思科路由器的安全加固技術(shù)產(chǎn)品，制定相應(yīng)安全管理措施，分步驟、分階段地組織試點(diǎn)和實(shí)際部署。四是建立重要部位關(guān)鍵網(wǎng)絡(luò)設(shè)備和軟件產(chǎn)品基于漏洞分析的安全審查機(jī)制，特別是對(duì)進(jìn)口設(shè)備盡快建立安全性技術(shù)檢測(cè)機(jī)制，在政府集中采購(gòu)前，分類實(shí)施關(guān)鍵信息技術(shù)產(chǎn)品供應(yīng)鏈安全審計(jì)，深入開(kāi)展漏洞檢測(cè)分析，對(duì)有嚴(yán)重安全問(wèn)題的信息技術(shù)產(chǎn)品列入黑名單，限制采購(gòu)應(yīng)用。五是針對(duì)思科網(wǎng)絡(luò)交換產(chǎn)品、工業(yè)自動(dòng)化控制系統(tǒng)、物聯(lián)網(wǎng)、云計(jì)算等領(lǐng)域的安全風(fēng)險(xiǎn)，建立專業(yè)化嵌入式操作系統(tǒng)安全研究實(shí)驗(yàn)室，全面開(kāi)展漏洞挖掘、脆弱性分析、安全檢測(cè)和安全防護(hù)技術(shù)方法研究和工具手段研發(fā)，為相關(guān)測(cè)評(píng)機(jī)構(gòu)提供技術(shù)支撐和資源共享服務(wù)。來(lái)源：中國(guó)青年網(wǎng)