过时的 OpenVPN 实现使商业 VPN 客户端面临严重漏洞和安全风险
TL;DR
过时的 OpenVPN 实现使商业 VPN 客户端面临严重漏洞和安全风险
VPN 行业有一个公开的秘密，它就隐藏在众目睽睽之下。尽管供应商花费数百万美元进行时尚的 UI 改版和激进的营销活动，但其服务的核心——OpenVPN 协议——却往往被弃之不顾。
我们都见过“有可用更新”的通知。你点击按钮，应用程序重启，看起来更漂亮了一些。但在底层呢？情况则完全不同。大量商业 VPN 客户端运行在古老且未打补丁的 OpenVPN 版本上。他们向你兜售一座数字堡垒，却把后门大敞四开。
安全的假象
我们依赖 虚拟专用网络 (VPN)，因为我们信任它们能充当数字隐私的守门人。但 VPN 的强度仅取决于它所运行的协议。当供应商忽视开源社区发布的上游安全补丁时，他们不仅仅是懒惰——他们是在主动破坏他们声称要提供的保护。
这就好比买了一个高端保险箱，却发现制造商自 2019 年以来从未更新过锁具机制。它看起来可能令人印象深刻，但任何稍微像样的窃贼都知道如何破解它。
问题的范围
我们深入研究了 32 款不同的 Windows VPN 客户端，结果令人沮丧。事实证明，忽视核心协议并非偶尔的疏忽，而是一种系统性的失败。
数据描绘了一幅令人担忧的图景：
- 56% 的受审计 Windows VPN： 运行在超过一年未更新的 OpenVPN 代码上。
- 41% 的受审计 Windows VPN： 依赖于两年或更长时间未更新的配置。
- 12.5% 的受审计 Windows VPN： 运行在至少五年未更新的代码上。
从具体情况来看，Turbo VPN 和 VyprVPN 等供应商被发现仍在使用 OpenVPN 2.4.7——这是一个早在 2019 年 4 月就发布的版本。与此同时，像 NordVPN、Windscribe 和 Proton VPN 这样的“大玩家”则成功地保持了秩序，其更新周期确实反映了截至 2026 年初的当前威胁态势。
为什么这很重要：RCE 和 DoS
这不仅仅是关于“旧”软件的问题，而是关于危险的漏洞。我们谈论的不是理论上的风险。研究人员已经记录了针对这些公司所忽视的框架的 严重代码执行漏洞。
如果攻击者可以在你的机器上执行任意代码，游戏就结束了。你的系统就成了他们的。此外还有拒绝服务 (DoS) 攻击，虽然其破坏性不如完全接管系统，但仍可能在你最需要的时候让你的连接中断。
| CVE 标识符 | 受影响软件 | 漏洞类型 | 状态 |
|---|---|---|---|
| CVE-2025-13086 | Access Server 2.11.0 - 3.0.1 | 远程 DoS | 已在 3.0.2 修复 |
| CVE-2025-2704 | Access Server 2.11.0 - 2.14.2 | 远程 DoS | 已在 2.14.3 修复 |
| CVE-2024-8474 | OpenVPN Connect (Android) < 3.5.0 | 私钥泄露 | 已在 3.5.0 修复 |
最令人不寒而栗的例子是 CVE-2024-8474。它影响了 Android 版的 OpenVPN Connect 应用，可能通过调试日志泄露私钥。如果你使用的是过时的客户端，你不仅面临服务中断的风险，还面临加密密钥被窃取的风险。
开源维护的负担
开源、开放科学和密码学 的美妙之处在于，社区会共同努力，在漏洞出现时立即修补。但这种模式只有在基于该代码构建产品的公司确实愿意应用这些补丁时才有效。
如果商业 VPN 供应商不更新其实现，他们实际上就退出了互联网的集体安全体系。他们利用了开源社区的免费劳动，却未能将这些好处传递给付费客户。
如果你想保护自己，请停止理所当然地认为你的 VPN 是“安全”的：
- 检查版本： 深入查看你的设置。如果你找不到 OpenVPN 的版本号，这本身就是一个危险信号。
- 关注安全公告： 将 OpenVPN 安全公告 页面加入书签。如果你看到你的版本在列，是时候更换供应商了。
- 要求透明度： 如果一家公司无法告诉你他们如何处理协议更新，他们就不值得你订阅。
- 明智选择： 在寻找 最佳 Windows 10 VPN 时，寻找那些吹嘘其安全基础设施而非仅仅是服务器数量的供应商。
解决技术债务
他们为什么要这样做？通常，这是一个典型的技术债务案例。更新核心协议不仅仅是“复制粘贴”的工作。它需要严格的测试，以确保终止开关 (kill switch) 或拆分隧道 (split tunneling) 等自定义功能不会失效。许多公司认为，保留旧的、稳定的（但有漏洞的）代码，比支付工程师集成新代码的费用更划算。
他们在赌你不会注意到。
我们是时候改变评价这些服务的标准了。了解 什么是 OpenVPN 以及它是如何实现的，应该是你首先要关注的事情，而不是最后才考虑的。
归根结底，过时的 VPN 只是一个安慰剂。它给了你一种“受到保护”的温暖和模糊的感觉，同时却让你暴露在原本试图避免的威胁之下。不要被漂亮的仪表板所愚弄。如果地基正在腐烂，房子就不安全。
