過時的 OpenVPN 實作令商業 VPN 客戶端暴露於嚴重漏洞與安全風險之中

過時的 OpenVPN 實作令商業 VPN 客戶端暴露於嚴重漏洞與安全風險之中

VPN 行業有一個公開的秘密，而且就隱藏在眼皮底下。儘管供應商花費數百萬美元進行華麗的介面改版和激進的營銷活動，但其服務的核心引擎——OpenVPN 協議——卻往往被棄之不顧。

我們都見過「有更新可用」的通知。你點擊按鈕，應用程式重啟，看起來變得更精緻了一些。但在底層呢？情況卻截然不同。數量驚人的商業 VPN 客戶端正在運行古老且未修補的 OpenVPN 版本。他們向你兜售一座數位堡壘，卻同時將後門大開。

安全的假象

我們依賴 虛擬私人網絡 (VPN)，因為我們信任它們能作為我們數位隱私的守門人。但 VPN 的強度取決於它所運行的協議。當供應商忽視開源社群發布的上游安全補丁時，他們不僅僅是懶惰——他們是在主動破壞他們聲稱要提供的保護。

這就像買了一個高檔保險箱，卻發現製造商自 2019 年以來就沒有更新過鎖定機制。它看起來可能很厲害，但任何稍微像樣的竊賊都知道如何破解它。

問題的範圍

我們深入研究了 32 款不同的 Windows VPN 客戶端，結果令人沮喪。事實證明，忽視核心協議並非偶爾的疏忽，而是一種系統性的失敗。

數據描繪了一幅令人擔憂的圖景：

• 56% 的受審計 Windows VPN： 運行的是超過一年未更新的 OpenVPN 代碼。
• 41% 的受審計 Windows VPN： 依賴的配置已經兩年或更長時間沒有更新。
• 12.5% 的受審計 Windows VPN： 運行的代碼至少有五年沒有更新。

從具體情況來看，Turbo VPN 和 VyprVPN 等供應商被發現仍在使用 OpenVPN 2.4.7——這是一個早在 2019 年 4 月就發布的版本。與此同時，像 NordVPN、Windscribe 和 Proton VPN 這樣的「大玩家」則成功地保持了良好的維護，其更新週期確實反映了截至 2026 年初的當前威脅形勢。

為何這很重要：RCE 與 DoS

這不僅僅是關於「舊」軟件的問題，而是關於危險的漏洞。我們談論的不是理論上的風險。研究人員已經記錄了針對這些公司所忽視的框架的 嚴重代碼執行漏洞。

如果攻擊者可以在你的機器上執行任意代碼，遊戲就結束了。你的系統就是他們的了。此外還有拒絕服務 (DoS) 攻擊，雖然這不如完全接管系統那樣災難性，但仍可能在你最需要的時候讓你的連接中斷。

最令人不寒而慄的例子是 CVE-2024-8474。它影響了 Android 版的 OpenVPN Connect 應用程式，可能通過調試日誌洩露私鑰。如果你使用的是過時的客戶端，你面臨的風險不僅僅是服務中斷，而是你加密密鑰的洩露。

開源維護的負擔

開源、開放科學與密碼學 的美妙之處在於，社群會共同努力，在漏洞出現時立即修補。但這種模式只有在那些基於該代碼構建產品的人願意應用這些補丁時才有效。

如果商業 VPN 供應商不更新他們的實作，他們實際上就選擇退出了互聯網的集體安全體系。他們利用了開源社群的免費勞動力，卻未能將這些好處傳遞給付費客戶。

如果你想保護自己，請停止理所當然地認為你的 VPN 是「安全」的：

• 檢查版本： 深入查看你的設置。如果你找不到 OpenVPN 的版本號，這本身就是一個危險信號。
• 關注安全公告： 將 OpenVPN 安全公告 頁面加入書籤。如果你看到你的版本在列表中，是時候更換供應商了。
• 要求透明度： 如果一家公司無法告訴你他們如何處理協議更新，他們就不值得你訂閱。
• 明智選擇： 當尋找 最佳 Windows 10 VPN 時，請尋找那些吹噓其安全基礎設施，而不僅僅是伺服器數量的供應商。

解決技術債

他們為什麼要這樣做？通常，這是一個典型的技術債案例。更新核心協議不僅僅是「複製貼上」的工作。它需要嚴格的測試，以確保殺手開關 (kill switch) 或分割隧道 (split tunneling) 等自定義功能不會損壞。許多公司認為，保留舊的、穩定的（但有漏洞的）代碼，比支付工程師費用來整合新代碼更便宜。

他們賭你不會注意到。

是時候改變我們評判這些服務的標準了。了解 什麼是 OpenVPN 以及它是如何實作的，應該是你首先要關注的事情，而不是最後才考慮的。

歸根結底，過時的 VPN 只是一種安慰劑。它給你一種「受到保護」的溫暖、模糊的感覺，同時卻讓你暴露在試圖避免的威脅之中。不要被漂亮的儀表板所愚弄。如果地基正在腐爛，房子就不安全。