Verkkolaitevalmistaja Cisco varoitti torstaina haavoittuvuudesta IPSec-pohjaisessa VPN 3000 Concentrator -ohjelmistossa. Väärä konfigruointi voi johtaa yhteyden kaappamiseen tai yksityiseksi tarkoitetun tiedon vuotamiseen.
Turvaongelma liittyy käyttäjien tunnistukseen. Jos käyttäjä säätää vpn-client -ohjelmansa hyväksymään ryhmäsalasanat digitaalisten sertifikaattien sijasta, salasanan voi hankkia tietokoneen muistista. Ongelma löytyy niin IPSec-clientin Windows- kuin Linux-versiosta.
Yleisesti ryhmäsalasanoja pidetään heikompana suojauksena kuin esimerkiksi julkiseen avaimeen (PKI) perustuvaa suojausta, joka käyttää digitaalisia sertifikaatteja tunnistykseen. Cisco julkaisi tiedotteen, jonka mukaan yhtiö aikoo paikata ohjelmistonsa haavoittuvuuden. Cisco suosittelee käyttäjien siirtyvän PKI-suojaukseen sillä välin.
Haavoittuvuus ei ole ratkaiseva, sillä asiantuntijat arvioivat Ciscon asiakkaiden suurimman osan käyttävän PKI:tä joka tapauksessa.