某公司SSL VPN爆出漏洞 NTLS可全面保障资料传输安全

6月14日，据媒体称，某安全公司旗下的SSL VPN产品存在安全隐患。经分析，是SSL VPN某界面存在注入漏洞，攻击者可以构造特殊引数来利用此漏洞，以达到非法登入控制台的目的。目前该公司已经启动紧急响应机制，并制定应对措施。

什么是SSL

SSL（Secure Sockets Layer安全套接层）是用以保障资料在Internet上的安全传输，利用资料加密技术，确保资料在网络上之传输过程中不会被撷取及。

传统安全接入方式

在传统接入技术中，大多采用SSL VPN和IPSec VPN方式。

SSL VPN可在应用层实现安全通讯，且无需更改使用者网络地址，其不足之处体现在只支援WEB应用，如果要实现三层、四层应用需要安装控制元件，只能在windows系统上执行，如客户端装置是Linux则难以部署。

IPSec VPN可实现LAN到LAN的透明通讯，但由于透明通讯，所以无法防止病毒木马传播，难以实现对应用和主机分离保护，比如Windows的BadTunnel漏洞，充分暴露了IPSec VPN技术的安全性弱点。另外，IPSec VPN部署时候需要规划内网IP和外网IP地址，整体部署时候所有的网络地址不能冲突，这在节点众多时候很难实。

新一代安全传输协议（NTLS）

针对传统安全接入方式的不足，奥联自主研发了新一代安全传输协议NTLS（Next Transport Layer Security），可实现安全接入完整性保护。

NTLS采用多框架金钥交换协议，支援各种国密算法，同时结合网络封包截获和代理技术，实现远端访问使用者的身份认证和远端资料的加密传输，让访问者更安全地远端访问内部资源。NTLS通过简单易用的方法实现资讯远端连通，并且采用密码技术对远端节点身份做强制认证，有效保证了远端访问和远端资料传输的可鉴别性和安全性。

NTLS安全通道方案可同时支援三、四层安全机制，三层安全机制可以实现站-站、站-网、网-网的资料安全保护，并对三层资料按照四层的安全策略进行控制。细粒度的安全策略可以保证系统免于传统IPSec VPN面临的安全风险。四层安全机制采用资料重定向技术，节点无需分配IP，中心端无需开放某个IP或者网段给远端，支援基于埠、协议等多种访问控制和完善的访问日志记录，具有更高的安全性和可管理性。

NTLS/SSL/IPSec比较：

NTLS安全通道实现过程

安全通道的建立主要通过客户端和服务器端来构成专用隧道。构成和形式如下：

NTLS客户端：软件形式。可支援Windows、Linux、Unix、iOS、Android平台，基于标识进行身份认证，连线服务器端进行安全通讯；

NTLS服务器端：有软件形式和硬件形式两种。其中，软件方式可支援Windows、Linux、Unix、iOS、Android平台，仅提供接入功能；硬件形式为专用硬件装置: 云安全接入平台，具备完整的使用者管理、策略管理、日志管理、网络设定、资源检视等功能。

通讯时，需要NTLS客户端向NTLS服务器端发起请求并建立安全通道，访问服务器端的资源。

NTLS客户端到服务器端通讯的工作原理如下：

1. 拦截特定的协议和埠、目的IP：NTLS客户端软件在不同的操作系统采用了不同的资料拦截和重定向技术，以确保不影响原来的应用。基于Linux采用了IPTables，基于Windows采用了LSP拦截或WFP，均为系统内建，所以均无需对系统做任何调整；对于UNIX/FBD系统，只需预载入我们提供的一个库档案即可。

2. 将其发出的相关资料进行加密，重新定向送到指定的NTLS服务器端；

3. NTLS服务器端解密后还原其资料请求，并通过服务器指定的路由发出。返回的资料也是如此。

此设计不同于市场上普通的任何IPSec或SSL产品，基于应用层，无需改变使用者的网络环境，而且对各种应用透明，具有安全和易于部署的优势。在已部署的专案中，实现零事故、零漏洞发生。