NordVPN 承認伺服器有安全漏洞，讓攻擊者得以攔截用戶流量

全球知名的加密 VPN 服務 NordVPN 近日證實，該公司租用位於芬蘭數據中心內之伺服器，曾遭到外部人士進行非法存取，但因為 NordVPN 採行「無日誌記錄」政策，所以沒有任何用戶的帳號、密碼與個人資料被儲存在伺服器中並且外洩，但攻擊者有可能透過攔截特定流量，明白使用者正在瀏覽哪些網站。

NordVPN 指出，2018 年 3 月他們發現位於芬蘭的 VPN 伺服器出現了安全漏洞，主因在於他們所租用的數據中心，其服務提供者為伺服器安裝了遠端控制軟體，但卻沒有告知 NordVPN，因此造成安全風險，使得任意外部人員都有機會透過該軟體，存取 NordVPN 租用的伺服器。

由於 NordVPN 主力於保障用戶，透過 VPN 上網以維護安全隱私，所以其伺服器皆採用「無日誌記錄」政策，使用者所登入的帳號、密碼與任何一切活動的記錄日誌，都不會被儲存於伺服器上，因此使用者資料不可能外洩。

NordVPN 技術顧問委員會負責人 Tom Okman 表示，這次的資安事件只能讓有心駭客存取 NordVPN 的伺服器後，攔截「特定用戶」的「特定流量」，最多只能明白該使用者，正在瀏覽哪些網站，但即便是網頁上的內容，入侵者也無從得知。

Tom Okman 進一步指出，除非 NordVPN 的使用者指定連線到單一國家的 VPN 伺服器，否則按照預設，NordVPN 會每五分鐘切換一次 VPN 連線位置，藉此保障用戶隱私。換句話說，除非使用者剛好連線到位於芬蘭的伺服器，而且駭客也正好攔截該名用戶的流量，才有可能造成瀏覽網站的資訊外洩。

雖然 NordVPN 位於芬蘭的伺服器出現安全風險的期間，為 2018 年 1 月 31 日至 2018 年 3 月 20 日，但 NordVPN 相信，這段時間內該伺服器只被外部人士存取過一次。至於超過一年時間才對外公布遭駭消息，NordVPN 則解釋，因為他們希望確認自家服務的基礎建設，能達到 100% 安全，沒有其他相關問題會再遭到駭客利用，所以才拖遲了公開時間。

最後，NordVPN 表示，駭客從芬蘭數據中心伺服器所獲得的資訊，都無法用於解密其他地區的 VPN 伺服器或流量，雖然有個被盜的加密金鑰，本來可以被用來進行「中間人攻擊」，讓駭客偽裝成 NordVPN 的伺服器，但由於該金鑰已經過期，即便被有心人真的拿來利用，駭客也僅能針對單一使用者的特定狀況，手段將太過「複雜」且「客製化」。