Lekke VPN's patchen is niet afdoende, waarschuwt NSA

Inlichtingdienst NSA meldt op Twitter dat er meer gedaan moet worden dan simpelweg patchen, van de VPN-kwetsbaarheden die in april dit jaar al zijn bekend gemaakt. Recent is er meer aandacht gekomen voor de gaten in VPN-software, doordat er kant-en-klare exploitcode is verschenen, waarmee misbruik veel makkelijker is geworden. De NSA verwijst in zijn waarschuwing naar de nieuwste versie van haar cybersecuritywaarschuwingsbeleid. De daarin aangedragen adviezen zijn bedoeld voor gebruikers van Pulse Secure, Palo Alto GlobalProtect en Fortinet Fortigate, drie grote VPN-systemen.

Update als je dat nog niet gedaan hebt

In de afgelopen maanden hebben beveiligingsonderzoekers ernstige beveiligingslekken in deze VPN's ontdekt. De drie softwareleveranciers hebben daarna updates uit uitgebracht die deze kwetsbaarheden verhelpen. Gebruikers hebben die patches echter lang niet altijd toegepast, zoals in Nederland grote bedrijven als Shell maar ook kritieke organisaties als de Luchtverkeersleiding en het ministerie van Justitie en Veiligheid.

Wie zijn kwetsbare VPN's nog niet heeft geüpdatet, moet dat volgens de NSA zo snel mogelijk doen. De al maanden bekende lekken worden nu namelijk actief misbruikt door hackers uit diverse landen. Vermoedelijk krijgt een deel van die aanvallers steun van overheden.

Vervolgstappen en -onderzoek

Systeembeheerders die na het updaten de nieuwste versie van de VPN-software draaien, doen er goed aan te controleren of ook de accounts van de gebruikers, administrator en serviceverlener geüpdatet zijn. Trek daarna de server keys en certificaten in van gebruikers en verplicht gebruikers om nieuwe wachtwoorden te kiezen, raadt de NSA aan.

Zoek daarna naar verdachte gebeurtenissen of verdachte accounts, deze kunnen namelijk wijzen op reeds gepleegd misbruik van de lekke VPN-software. Als daar sprake van is, vervolgt de Amerikaanse inlichtingendienst die zelf ook hackoperaties uitvoert, is aanvullend onderzoek nodig. Getroffen orgganisaties kunnen eventueel betrokken (overheids)instanties inschakelen. Als je geen verdachte activiteit ziet, kun je nieuwe server keys en certificaten uitgeven. Gebruikers moeten zich eenmalig opnieuw aanmelden voor de dan bijgewerkte VPN-verbinding.

De NSA raadt IT-beheerders ook aan tweestapsverificatie (2FA) te verplichten voor gebruikers. Mochten accountgegevens in verkeerde handen gevallen zijn, dan kan een hacker moeilijker toegang krijgen tot zo'n account.