美國思科路由器預置“后門” 建議加強安全防護

美國思科公司的信息產(chǎn)品在中國市場具有極高的占有率，其路由器產(chǎn)品幾乎參與了中國所有基礎信息網(wǎng)絡和重要信息系統(tǒng)的重大項目建設。而一直以來，包括路由器在內的思科信息產(chǎn)品存在嚴重安全漏洞的報告屢屢被披露。近十年來，僅CVE網(wǎng)站公開發(fā)布的有關思科產(chǎn)品的漏洞就多達1300余個，其中，路由器的各類漏洞就有166個之多。最不可容忍的是，據(jù)國內網(wǎng)絡安全權威技術部門檢測發(fā)現(xiàn)，思科路由器存在嚴重的預置式“后門”！

美國“棱鏡計劃”曝光，蓋在其頭上的遮羞布被揭開，美國在網(wǎng)絡空間大做手腳的惡劣行徑受到世人的強烈譴責。美政府長期以來，對本國公民進行全面的大范圍信息監(jiān)控，對多個國家政要、企業(yè)和民眾進行有組織的竊密和監(jiān)聽活動，特別是對中國長期以來實施大規(guī)模、高強度的網(wǎng)絡攻擊和滲透。一個舉世公認的事實是，美國是當今世界上最大的網(wǎng)絡攻擊者和竊密者。而作為一個信息技術的后發(fā)國家，中國是網(wǎng)絡攻擊的最大受害者。中國大量關鍵基礎信息網(wǎng)絡和重要信息系統(tǒng)被設置“后門”或安置“木馬”，眾多網(wǎng)絡被病毒感染成為“僵尸”或被終端遠程控制成為“肉雞”。在這其中，思科公司沒有遵守一個科技公司不參與其政府對外政策的起碼的商業(yè)道德，而是和美國政、軍兩界打得火熱，利用其在中國網(wǎng)絡信息市場的技術產(chǎn)品優(yōu)勢，扮演了不光彩的角色，成為美國推行互聯(lián)網(wǎng)強權的重要技術依仗。甚至有證據(jù)表明，思科公司積極參與了美政府和軍界組織的“網(wǎng)絡風暴”演習，而且是演習重要設計者之一。

在思科路由器中，不少漏洞初看是無意的設計或技術漏洞，而深入檢測你會發(fā)現(xiàn)，這些漏洞其實不少是預置式的“后門”。比如，思科路由器多款主流產(chǎn)品的VPN隧道通訊和加密模塊存在預置式“后門”。利用這個“后門”，攻擊者可獲取密鑰等核心敏感數(shù)據(jù)，攻擊程序可還原VPN加密信息內容，實現(xiàn)數(shù)據(jù)監(jiān)測。又如，思科多款路由器存在隱蔽監(jiān)視陷門。通過這些預設的陷門，攻擊者可以隱蔽地將流經(jīng)思科路由器的網(wǎng)絡數(shù)據(jù)選擇性地鏡像傳輸?shù)街付ǖ腎P地址，為網(wǎng)絡監(jiān)視提供數(shù)據(jù)條件。而從管理員正常管理界面和配置文件中，卻無法察覺到這些數(shù)據(jù)被非法鏡像傳輸。再如，思科路由器在維護模塊中存在可遠程操控的后門，可使用遠程網(wǎng)絡數(shù)據(jù)觸發(fā)，也可通過特殊指令觸發(fā)，對思科路由器進行配置、操控。另外，思科路由器系列產(chǎn)品的訪問認證機制設計上存在多處未知安全漏洞，攻擊者可以繞過認證機制獲得最高管理權限，有的可以在提權后任意修改固件代碼，將惡意代碼或后門口令植入到固件中，并擇機觸發(fā)。

僅舉美國思科公司的路由器產(chǎn)品安全問題為例，就如此觸目驚心。

嚴峻的現(xiàn)實警示我們，在短期無法實現(xiàn)我國關鍵網(wǎng)絡信息系統(tǒng)自主可控的情況下，必須針對美國政府和思科公司的行為，采取積極有效的安全防護策略，確保我國基礎信息網(wǎng)絡和重要信息系統(tǒng)的安全可控。一是對包括路由器在內的思科信息產(chǎn)品開展更加嚴格的安全性檢測，嚴查預置后門種類，統(tǒng)計漏洞分布，評估對我國基礎信息網(wǎng)絡和重要信息系統(tǒng)的影響程度。二是積極開展相關行業(yè)思科路由器數(shù)據(jù)非法鏡像在線監(jiān)測，在全國范圍內有重點、分步驟地實施在線技術監(jiān)測。通過在線全程跟蹤監(jiān)測，捕獲異常、可疑竊密數(shù)據(jù)和遠程操控行為，分析掌握其技術特點，制定處置方案，阻斷竊密數(shù)據(jù)通訊。三是有針對性地開展思科路由器安全加固技術研究，針對已發(fā)現(xiàn)的后門，有針對性地采取加固措施和防護技術方案，自主開發(fā)針對思科路由器的安全加固技術產(chǎn)品，制定相應安全管理措施，分步驟、分階段地組織試點和實際部署。四是建立重要部位關鍵網(wǎng)絡設備和軟件產(chǎn)品基于漏洞分析的安全審查機制，特別是對進口設備盡快建立安全性技術檢測機制，在政府集中采購前，分類實施關鍵信息技術產(chǎn)品供應鏈安全審計，深入開展漏洞檢測分析，對有嚴重安全問題的信息技術產(chǎn)品列入黑名單，限制采購應用。五是針對思科網(wǎng)絡交換產(chǎn)品、工業(yè)自動化控制系統(tǒng)、物聯(lián)網(wǎng)、云計算等領域的安全風險，建立專業(yè)化嵌入式操作系統(tǒng)安全研究實驗室，全面開展漏洞挖掘、脆弱性分析、安全檢測和安全防護技術方法研究和工具手段研發(fā)，為相關測評機構提供技術支撐和資源共享服務。來源：中國青年網(wǎng)