对企业来说 UPnP安全吗?

安全
通用随插即用(UPnP)协议是终端用户最常用的,但也是经常被忽视的。以前人们认为UPnP带来很多便利,而非安全威胁,但现在还是这样么?

就像照明开关或者ON按钮,通用随插即用(Universal Plug and Play,UPnP)协议是终端用户在网络设备日常使用中最常用的,但也是经常被忽视的。与广义的即插即用不同,UPnP允许网络设备通过IP相互连接,而不需要终端用户的任何配置。例如,当用户插入一台计算机到以太网LAN,UPnP是最有可能用于设备发现的协议。

简单地把设备插入,不需要终端用户进行任何配置就可以让它正常运作,这能给终端用户带来更好的体验。然而,UPnP协议最大的优势可能也是其最大的弱点。漏洞管理供应商Rapid7的研究人员发现,数百万终端用户设备会响应来自互联网的UPnP发现请求,这个简单而深刻的发现提高了人们对UPnP安全风险的认识。所以对企业来说,UPnP安全吗?

UPnP安全风险

通常情况下,UPnP是结合动态主机配置协议(DHCP)服务器使用,虽然它并不一定需要这个服务器。在DHCP为中心的架构中,终端用户可能通过任何网络允许的媒介插入设备,如果该终端设备启用了DHCP,该设备将会立即广播简单服务发现协议消息,以定位DHCP服务器。

如果DHCP服务器被找到,将会进行信息交换,终端设备将分配一个IP地址。如果DHCP没有被找到,终端设备通常会被配置为允许它自动配置IP地址,但不能与网络上同样也是自动配置IP地址的其他设备相冲突。

当来自互联网的合法应用程序试图进入某个的网络时,UPnP提供端口映射功能,允许这些设备在防火墙穿过网络地址转换机制。这通常在简单对象访问协议(SOAP)保护下进行,UPnP这个基于 XML 的协议与HTTP消息结合使用毫无问题。以前人们认为UPnP带来很多便利,而不是漏洞, 然而Rapid7对该功能进行了研究,其研究结果引起安全专业人士的恐慌。这种恐慌主要围绕两个主要问题。

首先, HTTP消息几乎都是通过TCP端口80来交换。在企业级的防火墙通常会允许端口80的网络流量,原因在于大多数连接互联网的企业网络都有某种Web服务器可供公众访问,所以TCP端口80通常是开放的。

其次,UPnP不是特定供应商的协议,所以,任何修复程序、缓解或者更新不是来自某个集中存储库而随后推送到终端用户处。这些修复程序将由不同供应商发布,但在向后兼容性、跨平台功能和整体功能等问题上,很少有人去解决。

这看起来很棘手。从企业的角度来看,明智的网络管理员应该在可行的情况下,禁用所有UPnP功能。除非管理员的网络要使用网络电话(VoIP )或其他需要端口转发的服务(例如网络地址转换、SSH通道等),否则都应该禁用UPnP来避免不必要的风险,直到在网络和IT安全行业的巨头合作提出可行解决办法。

责任编辑:蓝雨泪 来源: TechTarget中国
相关推荐

2010-05-15 15:13:59

2016-12-01 16:12:02

自行加密云计算

2015-09-01 10:05:17

OpenStackDocker

2019-10-21 15:52:19

网络安全技术安全

2019-08-06 07:17:37

2010-11-23 09:01:09

Public DNSDNSGoogle

2014-12-01 15:18:31

虚拟机DockerLinux

2013-01-07 09:16:21

云计算SaaS工程堆栈

2023-06-05 07:10:00

编码人工工具

2022-09-22 14:49:37

智能建筑物联网

2012-08-29 10:48:37

Windows 8操作系统

2011-03-15 15:11:52

2010-10-12 16:30:25

2023-07-18 11:02:14

2018-04-12 16:15:13

CIO

2009-04-26 01:12:04

2016-04-07 15:06:17

2022-12-12 09:32:40

2017-07-20 08:55:47

2023-09-20 16:21:42

点赞
收藏

51CTO技术栈公众号