Juniper 网络安全的漏洞可能暴露了美国政府的数据

       美国国防部和联邦调查局所使用的互联网安全设备中一直存在一个漏洞，并且过了三年才被发现。这两个部门很可能在三年间已经成为了别人的攻击目标。

       研究人员称，瞻博网络所广泛使用的虚拟专用网络（VPN）软件中有两个安全漏洞，并且已存在三年之久，漏洞可能已经向国外政府或者犯罪团伙暴露了不少敏感信息。

       漏洞是在一次内部代码复查时，从一个未知授权代码中发现的，在12月17日，已经对外公布了这个结果。其中一个漏洞可以让黑客通过瞻博的设备破译信息，包括公司内部使用的安全网络设备。

       Parallex 程序中负责安全与隐私方面工作的编程员 Seth Rosenblatt 说：“无论是谁植入了这个漏洞，他都可以获得进入所有 VPN 网络的权限。VPN 用户所认为的受保护的数据可能已经被窥探。”

       虽然联邦调查局正在对漏洞进行调查研究，但是他们认为这很可能是国外政府做的。

       德国安全研究员 Ralf-Philipp Weinmann 称，黑客是利用了密码加译程序 “Dual_EC” 的漏洞，该程序由美国国家安全局（NSA）开发，之后成为了密码加译的标准程序。

       瞻博网络公司的高级副总裁兼信息主管 Bob Worrall 说：“瞻博在自己的防火墙系统 ScreenOS 中发现了未授权代码，一个黑客高手可以通过它获得 NetScreen 设备的管理访问权限，并破解 VPN 连接。”

        “一旦我们鉴别出这些漏洞，我们就会马上进行研究，为最新的 ScreenOS 防火墙软件研发并提供安全补丁。目前，我们还没有收到任何报道称漏洞已经被利用。然而，我们强烈要求顾客升级他们的系统，应用最高优先级别的补丁。”

       我们现在还不清楚瞻博公司的源代码是如何被篡改的，也不知道是外人所做还是公司内部员工所为。

       总部设在加利福尼亚州森尼维尔的瞻博网络公司在12月21日发出公告，ScreenOS 6.3.0r17 至 6.3.0r20  都是其防火墙软件以及 VPN 设备的一部分。就已知情况看，剩余产品还未受到影响。

       那些受到影响的设备可能会在日志文件中，显示出一个提示“系统”的登录入口，紧接着就是密码验证，但一个高水平的黑客能够清楚其中登记的所有信息。鉴于黑客的复杂性，这些漏洞可以做到多长时间不被发觉，瞻博公司称“没有办法能检测出漏洞是否被利用”。

       瞻博的客户包括美国政府、美国国防部、司法部、财政部，以及联邦调查局。