Las VPN en redes gubernamentales de Estados Unidos no protegen, sino que abren la puerta a los hackers; un senador exige desmantelarlas en dos años.

El senador estadounidense Ron Wyden propuso que en dos años se retiren los servidores VPN obsoletos en las agencias federales, en las redes militares y en los organismos de inteligencia de Estados Unidos. Según él, esos sistemas se han convertido en un punto de entrada conveniente para hackers rusos y chinos.

Wyden envió una carta a la Oficina de Administración y Presupuesto de la Casa Blanca, a la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y al Instituto Nacional de Estándares y Tecnología (NIST). Exigió introducir requisitos obligatorios para las herramientas de acceso remoto y prohibir que las agencias gubernamentales y los contratistas de defensa compren productos que no cumplan con los principios modernos de Zero Trust.

Se trata sobre todo de pasarelas VPN de acceso público, a través de las cuales los empleados se conectan a los recursos internos de las organizaciones. Estos servidores son visibles desde internet, por lo que los atacantes pueden buscarlos con escáneres, identificar la versión del software y explotar vulnerabilidades conocidas o recientemente descubiertas.

En la carta se mencionan ataques a soluciones de Cisco, Fortinet, Ivanti y Check Point. Las vulnerabilidades en estos dispositivos han permitido en repetidas ocasiones comprometer redes gubernamentales y corporativas estadounidenses. Wyden considera que las agencias se han limitado durante demasiado tiempo a instalar parches sucesivos, sin eliminar la propia arquitectura peligrosa de acceso remoto.

El senador propuso que la CISA y la Agencia de Seguridad Nacional (NSA) establezcan un plazo único para desconectar las pasarelas VPN obsoletas. En dos años no deberían quedar tales sistemas en redes civiles, militares y de inteligencia si aceptan conexiones directamente desde internet.

En su lugar, Wyden propone usar soluciones que no expongan el servidor de acceso remoto a cualquier usuario de la red. La conexión solo debe concederse después de verificar la identidad, el dispositivo y el contexto de la solicitud, y no tras establecer una conexión con una pasarela VPN pública.

El senador quiere que requisitos concretos se incluyan en las normas federales de contratación. La Oficina de Administración y Presupuesto y el Departamento de Defensa deben prohibir la adquisición de soluciones de acceso remoto que no admitan la arquitectura Zero Trust y otras normas de seguridad del Instituto Nacional de Estándares y Tecnología (NIST). La restricción afectará no solo a las instituciones públicas, sino también a los contratistas que trabajen con ellas.

Wyden también instó a dar preferencia a los productos desarrollados en lenguajes con protección de memoria. Los errores en el manejo de la memoria siguen siendo una de las causas comunes de vulnerabilidades críticas en el software de red.

La propuesta aún no es obligatoria. Para su implementación, la CISA, la NSA y el NIST, junto con otras agencias, tendrán que determinar qué tecnologías considerar obsoletas, aprobar nuevos estándares y preparar un calendario para sustituir los sistemas ya instalados.