85% van de ssl-vpn-servers maakt gebruik van verouderde of onveilige encryptie, waardoor gegevens van gebruikers risico lopen. Dat stelt het beveiligingsbedrijf High-Tech Bridge op basis van onderzoek onder ruim 10.000 openbaar toegankelijke ssl-vpn-servers van grote leveranciers, zoals Cisco, Dell en Fortinet.

Een ssl-vpn is een virtual private network (vpn) dat via de browser kan worden gebruikt. In tegenstelling tot traditionele vpn-diensten hoeft er bij een ssl-vpn-dienst geen software op de computer te worden geïnstalleerd. Een browser is voldoende. Via deze oplossing kunnen gebruikers toegang tot webapplicaties, client/server-applicaties en interne netwerkverbindingen krijgen. Volgens de onderzoekers gebruikt 77% van de geteste ssl-vpn-servers nog steeds het onveilige sslv3-protocol, terwijl er tientallen nog met sslv2 werken.

Verder blijkt 76% van de geteste servers een onbetrouwbaar certificaat te gebruiken, waardoor aanvallers via man-in-the-middle-aanvallen gegevens kunnen stelen. 74% van de certificaten die voor de ssl-vpn-verbinding werd gebruikt blijkt met het sha-1-algoritme te zijn gesigneerd. Dit algoritme wordt als onveilig beschouwd en browserleveranciers en andere partijen zijn dan ook bezig om het algoritme uit te faseren. De onderzoekers ontdekten ook dat 41% van de servers een onveilige sleutellengte voor hun rsa-certificaten gebruikt, waardoor aanvallers verschillende aanvallen kunnen uitvoeren.

Tevens bleek dat 10% van de ssl-vpn-servers die van OpenSSL gebruikmaakt nog altijd kwetsbaar te zijn voor het Heartbleed-lek. Aan de hand van het onderzoek werden de servers beoordeeld. 85% scoorde uiteindelijk een dikke onvoldoende. 3% kreeg een goede voldoende, terwijl de overige 12% net voldoende scoort. Volgens de onderzoekers laten de resultaten zien dat veel mensen ssl/tls-encryptie nog steeds zien als iets wat alleen voor het https-protocol geldt, en daarbij anderen belangrijke internetdiensten zoals e-mail of vpn vergeten.