VPN 替代方案——強化虛擬私人網絡能力

為何 VPN 連線是遙距存取的核心基礎

現時需要透過遙距連線工作的人員規模出現空前增長，安全形勢十分嚴峻：一個安全漏洞就可能導致企業遭遇數據外洩、惡意程式碼注入、勒索軟件攻擊以及其他多種形式的網絡攻擊。IT 專業人員需要為在不安全的家居網絡、公共 Wi-Fi 網絡下收發數據、存取遙距桌面或執行應用程式的員工、客戶及合作夥伴提供安全連線能力。當終端用戶透過本身不安全的網絡，向安全目的地或數據中心傳輸敏感數據和訊息時，企業不希望任何主體——尤其是惡意行為者——能夠查閱、擷取資訊或篡改數據包。

甚麼是虛擬私人網絡（VPN）？

從本質上來說，虛擬私人網絡是一條用於網絡存取的安全隧道。它透過將安全的私有網絡延伸至不安全的公共網絡，為隧道兩端之間的通訊進行加密。透過這種方式，無論終端用戶、客戶及合作夥伴身處何地，企業都能在私有網絡內開展業務，獲得更高的安全性與更簡化的管理體驗。

此外，VPN 客戶端應用十分普及，可支援執行 Microsoft Windows、Apple Mac、Linux 系統的筆記型電腦、桌面電腦，以及執行 iOS 或 Android 作業系統的流動裝置。因此，對於需要配置各類複雜裝置與系統、同時還要支援大量員工自攜 BYOD 裝置的企業而言，大多數 VPN 服務商提供的通用裝置支援能力，能為繁忙的 IT 管理員減輕不少負擔。

VPN 技術的安全短板

儘管VPN 用於遙距網絡存取的優勢十分明確，但企業往往會忽略一些常見的安全缺陷，導致人員、系統和數據暴露在風險之中。

技術迭代緩慢

核心問題在於 VPN 技術已多年未有實質性迭代，目前仍依賴過時的密碼完成身份認證。惡意行為者已經十分擅長透過針對員工、利用新型辦公行為特點的社會工程學活動竊取密碼。部分 VPN 服務商試圖透過雙因素認證（2FA）或多因素認證（MFA）提升安全性，但實際防護效果未達預期——攻擊者同樣可以透過前述社會工程學活動竊取用戶手機上的一次性密碼（OTP）。

終止點存在不可控風險

此外，企業存在一個認知盲點：很少會全面考量 VPN 服務的所有終止點。如前文所述，VPN 是一條安全隧道。大多數企業因為同時控制隧道的起點和終點，便對這兩個點位給予信任。因此，儘管 VPN 解決了使用咖啡店、酒店 Wi-Fi 網絡的固有風險，但 VPN 服務會沿著隧道路由所有終止點的流量，通訊在後續傳輸過程中的實際狀態無法完全明確。低價及免費 VPN 服務因記錄、追蹤用戶互聯網活動並將相關資訊出售給第三方廣告商而臭名昭著，企業不應認為只要使用了 VPN 服務，自身的數據和訊息就得到了全面保護。

用戶體驗差、網絡速度慢

此外，VPN 解決方案普遍存在用戶體驗差、網絡速度慢的問題。這就導致「人為因素」成為安全風險來源：由於 VPN 使用流程過於繁瑣，終端用戶會選擇跳過使用 VPN 所需的額外步驟，直接透過不安全的公共網絡快速連線。

適合企業的優選 VPN 替代方案

VPN 的核心目標是保護往返安全網絡的傳輸中數據流量。但對於企業所有的遙距存取場景而言，VPN 並非完全安全的解決方案。適合企業的最佳 VPN 方案，是在現有 VPN 部署的基礎上，加入高級身份認證解決方案以彌補獨立 VPN 服務的固有安全風險，這類方案包括：

• 建基於公鑰基礎設施（PKI）的數碼證書
• 身份與存取管理（IAM）
• 特權存取管理（PAM）

建基於公鑰基礎設施（PKI）的數碼證書

目前沒有比數碼身份公鑰基礎設施（PKI）提供的數碼證書更強大、更易用的認證與加密解決方案。PKI 已投入應用數十年，最為人熟知的用途是透過 SSL/TLS 證書保護 Web 伺服器，被公認為認證與加密領域的黃金標準。

數碼證書相關實踐證明，最具價值的網絡安全投入，應當是易於部署、方便員工使用的方案。尤其對居家辦公的員工而言，數碼證書不僅能提供最高級別的身份認證，還能簡化員工的連接流程。員工的身份證書密鑰直接儲存在其桌面電腦、筆記本電腦或流動設備中，無需員工執行任何操作即可完成身份驗證，員工可直接存取應用程式開展工作。

無論企業的VPN用戶規模是數十人、數百人還是數千人，都可以透過自動化工具將證書輕鬆部署到每台員工設備及系統中。依托公鑰基礎設施（PKI），透過精簡的自動化方案保障員工設備與系統的安全，能夠減輕IT團隊的工作負擔，協助其避免密碼、多重要素驗證（MFA）支援工作，以及員工證書手動處理流程中存在的人力成本高、技術要求高、易出錯等問題。

身份與存取管理（IAM）

IAM平台亦可為VPN提供額外的安全防護。透過更全面的驗證流程，能夠對簡單的使用者名稱密碼認證方式進行加固。IAM解決方案亦支援在VPN連線的基礎上部署多重要素認證。

借助IAM，VPN連線活動可與具體用戶關聯，網絡管理員能夠驗證每個接入的終端用戶是否擁有存取權限。此外，存取權限與具體用戶綁定，而非僅與連線綁定，這種模式便於實施多層級存取控制，確保用戶只能存取其獲得授權的資源。

特權存取管理（PAM）

許多企業仍對所有遠程存取用戶統一使用VPN，不區分終端用戶身份。但VPN技術僅提供安全隧道，無法根據用戶的權限級別調整其存取範圍與存取權限。特權存取管理（PAM）工具聚焦於管控可存取防火牆後端系統與應用的特權憑證，僅在更高等級的防護與審計機制下允許這類存取。PAM面向存取安全資源、必須被嚴格管理及監控的高風險用戶，包括客戶、承包商、供應商及合作夥伴。

PAM解決方案提供多項憑證安全功能，例如複雜密碼的定期輪換、密碼混淆等。這類解決方案亦支援透過用戶活動監控、系統與數據存取控制、基於時間的存取權限設定，幫助管理員更輕鬆地發現可疑存取行為，確保用戶僅在需要的時段內存取其所需的應用與系統。

個人匿名瀏覽的其他替代方案

VPN受到希望匿名瀏覽互聯網，或規避網絡監控與審查的個人用戶歡迎。VPN透過加密網絡連線、允許用戶在本國防火牆環境之外建立連線終止點，可提供一定程度的匿名性。但即便監控方無法解密通訊內容，仍可識別到相關通訊行為的存在。因此，對於核心需求是規避審查的個人用戶而言，其他VPN替代方案可提供更成熟的技術來隱藏用戶真實位置或IP地址，並採用先進的檢測規避技術。

Tor 與 Psiphon

例如，Tor是一款廣受歡迎的解決方案，它透過在Tor網絡的多個節點之間路由跳轉連線，保護用戶的線上身份，使通訊難以被追蹤。另一款聚焦於審查規避的解決方案是Psiphon，它結合使用了VPN、Secure Shell（SSH）和HTTP代理等多種安全通訊技術。

儘管匿名瀏覽和規避審查通常不屬於企業的業務目標，但企業和個人都應當了解使用這類解決方案的風險。流量混淆與私隱保護是兩個不同的概念。這類技術的用戶或許能夠規避審查，但其通訊內容對解決方案供應商而言並非私密的。用戶無法控制自己的訊息和活動數據在到達目的地前的路由路徑，無法知曉哪些中間方可能擷取並儲存這些數據，亦無法確認是否存在惡意軟件或其他代碼被注入的情況。