De Amerikaanse senator Ron Wyden wil dat het overheidsinstanties en defensiebedrijven wordt verboden om gebruik te maken van 'legacy VPN-servers'. Die vormen namelijk een open deur voor statelijke actoren, aldus Wyden in een open brief aan het Office of Management and Budget (OMB), het Cybersecurity and Infrastructure Security Agency (CISA) en het National Institute of Standards and Technology (NIST). Organisaties gebruiken de VPN-servers om personeel op afstand toegang te geven tot systemen en applicaties.

"Legacy vpn's vormen een onbeveiligde digitale voordeur die hackers eenvoudig kunnen scannen en misbruiken. Recente incidenten bij grote leveranciers, waaronder Cisco, Fortinet, Ivanti en Check Point, onderstrepen dit risico, waarbij industriecijfers laten zien dat 85 procent van de verzekeringsclaims met betrekking tot ransomware afkomstig is van misbruikte VPN's", aldus Wyden.

Volgens de Amerikaanse senator zit de Amerikaanse overheid vast in een eindeloos spel waarbij het continu moet reageren op incidenten waarbij legacy VPN-servers zijn gehackt. Zo heeft het cyberagentschap CISA meerdere keren noodbevelen moeten afgeven voor het patchen van actief misbruikte VPN-kwetsbaarheden. Wyden merkt op dat deze situatie niet houdbaar is en voorbij gaat aan het fundamentele probleem dat deze kwetsbaarheden inherent zijn aan de verouderde technologie.

De senator stelt dat het niet langer acceptabel is dat overheidsinstanties gebruik blijven maken van technologie die tientallen jaren oud is. Wyden voegt toe dat bij moderne remote access oplossingen het niet meer nodig is om een server te draaien die vanaf het internet toegankelijk is en door aanvallers kan worden gevonden en aangevallen. "Dit maakt deze servers onzichtbaar, wat ervoor zorgt dat hackers een toegangspunt dat ze niet kunnen zien niet kunnen aanvallen."

Veel van de kritieke kwetsbaarheden die aanvallers bij legacy VPN-servers misbruiken betreffen geheugenfouten, zoals buffer overflows. Deze problemen zijn volgens Wyden te voorkomen en inherent aan oudere programmeertalen. De senator wil dat alle netwerken van civiele overheidsinstanties, defensie en inlichtingendiensten binnen twee jaar volledig vrij zijn van legacy VPN-servers die vanaf het internet toegankelijk zijn. "De federale overheid moet stoppen met het betalen van leveranciers voor securitytools die vijanden uitnodig tot aanvallen", besluit Wyden zijn pleidooi.