Juniper 将移除防火墙产品与 NSA 有关的程式码

2013 年史诺登揭露 NSA 大规模监视公民，并且用无孔不入的手法，包括影响网络设备商的产品，让他们产品有 NSA 掌握的漏洞，方便破解拦截讯息，其他包括网络商 Juniper Network 的产品。如今网络设备商 Juniper Network 要除掉 NSA 安装的漏洞程式，重新赢回大众信任。

Juniper Network 出问题的产品是其防火墙产品，NetScreen 产品线防火墙含有未认证的程式码 Dual_EC_DRBG 随机号码产生器，该漏洞让流经 VPN 的连线被解密出来。Juniper 在其网站公告未来 6 个月出品的将从 NetScrean 防火墙产品移除 Dual_EC_DRBG 随机号码产生器。

资安专家从 2007 年就知道 Dual_EG_ERBG 含有漏洞，造成理应加密的 VPN 连线却能被解密。原先 Juniper 否认该漏洞会造成传输内容外泄。今年 Real World Cryptography Conference 2016 大会却指出 Juniper 的说法是错误，实际上只要破解 Dual_EG_ERBG，就可以拦截解密讯息。2012 年和 2014 年有两个程式码改动，分别造成知道漏洞的人可以窃听，和知道 Hardcoded Password 的人能够解密讯息。

Wired 进一步质疑有这么大厂像是电信商 AT&T、Verizon，还有国际和政府组织北大西洋公约组织和美国政府使用的产品，为何对这项漏洞默不作声。资安社群长期将 Dual_EC 随机号码产生器视为不安全的算法，有可能拿来放后门。等到事件爆发后，Juniper 默默更新固件，并不多做解释，很启人疑窦。芝加哥伊犁诺大学资安教授 Stephen Checkoway 指出，为何要在已经很安全的 ANSI 算法存在的状况，采用较不安全的算法？

先前 Juniper 爆出固件有来自 NSA 的程式码，并且含有漏洞，方便 NSA 拦截并轻易的解密。该漏洞在 2007 年就被资安社群警告可能被拿来利用。

大会的简报在这边，有兴趣的人可以详细研究。