Fortinet防火墙用户凭据大规模泄露 飞天诚信：网络安全产品也需要无密码

近日，据德国媒体报道，超过1.5万个Fortinet Fortigate防火墙的配置文件及相关管理员和用户凭据被泄露。泄露的1.6GB压缩包内含按国家分类的文件夹，每个文件夹下又有以IP地址命名的子文件夹，其中存放着完整的配置文件和记录管理员及VPN用户账户密码（口令）的txt文档。

据披露，受影响的设备多位于公司和医疗机构，涉及多达80种不同类型的设备，其中FortiGate Firewall 40F和60F最为常见，此外还包括WLAN网关以及适用于在服务器机架安装、在桌面或清洁柜放置的紧凑型设备。

据多名研究人员分析，被盗配置文件的档案可追溯至2022年10月，攻击者疑似利用了FortiOS的身份验证绕过漏洞（编号为CVE-2022–40684）来收集这些文件。研究人员指出，用户名和密码（部分以明文形式）的曝光使攻击者能够直接访问敏感系统。研究人员建议组织更新所有设备和VPN凭据，审查防火墙规则以查找可利用的弱点并加强访问控制，撤销并更换所有暴露的数字证书以恢复安全通信，并最终进行取证调查，以检查设备是否有被入侵的迹象。

根据Darktrace最新发布的年度威胁报告，2024年最严重的网络攻击事件大多与防火墙及安全边界技术中的软件漏洞有关。研究人员发现，在过去一年里，黑客最青睐的漏洞攻击目标，主要集中在Ivanti Connect Secure和Ivanti Policy Secure设备，以及Fortinet和Palo Alto Networks的防火墙产品上。这些网络安全设备肩负着企业网络的“护城河”重任，但却因为自身漏洞，成为攻击者入侵企业系统的跳板。攻击者还热衷于利用“活跃环境攻击”手法——也就是在被攻陷的设备上窃取凭证、创建新账户，并在企业网络中长期潜伏。

自2017年与微软合作推出第一个基于FIDO2生物识别的“无密码”身份认证安全解决方案以来，飞天诚信积累了丰富的“无密码”身份认证经验。

BioPass FIDO2 Plus是飞天诚信的FIDO2指纹识别硬件安全密钥产品，用户可以通过USB-A或USB-C接口将BioPass FIDO2 Plus连接到电脑或手机，快速、安全地完成“无密码”登录。BioPass FIDO2 Plus配置指纹模组，有效防止非授权用户盗用；产品安全性满足NIST SP 800-63B中最高级别（AAL3）的要求，保障指纹数据安全存储不泄露。除了FIDO2之外，BioPass FIDO2 Plus还支持FIDO U2F协议，进一步扩大了该产品的使用范围。

FIDO2是FIDO联盟推出的新一代身份认证框架，实现了“无密码”的多因素身份认证（MFA）机制。FIDO联盟与W3C组织合作创建了“无密码”登录标准WebAuthn，该标准已经被数十亿设备以及Google Chrome、Mozilla Firefox，Microsoft Edge、Apple Safari等现代网络浏览器所支持。FIDO联盟成员包括谷歌、微软、苹果、三星、ARM、Intel等等。飞天诚信于2014年加入FIDO联盟，目前是联盟董事会成员。

在网络安全危机四伏的今天，飞天诚信的“无密码”身份认证解决方案或许能成为守护企业网络安全的最后一道防线。立即了解飞天诚信BioPass FIDO2 Plus，开启“无口令”网络安全新时代！

——THE END——