就像照明開關(guān)或ON按鈕，通用隨插即用(Universal Plug and Play，UPnP)和談是終端用戶在收集設(shè)備平常利用中最常常利用的，但也是常常被忽視的。與廣義的即插即用不合，UPnP承諾收集設(shè)備經(jīng)由過程IP彼此連接，而不需要終端用戶的任何建設(shè)。例如，當(dāng)用戶插進一臺計較機到以太網(wǎng)LAN，UPnP是最有可能用于設(shè)備發(fā)現(xiàn)的和談。
簡單地把設(shè)備插進，不需要終端用戶進行任何建設(shè)便可讓它正常運作，這能給終端用戶帶來更好的體驗。但是，UPnP和談最大年夜的優(yōu)勢可能也是其最大年夜的弱點?？p隙治理供給商Rapid7的研究人員發(fā)現(xiàn)，數(shù)百萬終端用戶設(shè)備會響應(yīng)來自互聯(lián)網(wǎng)的UPnP發(fā)現(xiàn)要求，這個簡單而深切的發(fā)現(xiàn)進步了人們對UPnP安然風(fēng)險的熟諳。所以對企業(yè)來講，UPnP安然嗎?
UPnP安然風(fēng)險
凡是環(huán)境下，UPnP是連絡(luò)動態(tài)主機建設(shè)和談(DHCP)辦事器利用，當(dāng)然它其實不必然需要這個辦事器。在DHCP為中間的架構(gòu)中，終端用戶可能經(jīng)由過程任何收集承諾的媒介插進設(shè)備，假定該終端設(shè)備啟用了DHCP，該設(shè)備將會當(dāng)即廣播簡單辦事發(fā)現(xiàn)和談動靜，以定位DHCP辦事器。
假定DHCP辦事器被找到，將會進行信息互換，終端設(shè)備將分派一個IP地址。假定DHCP沒有被找到，終端設(shè)備凡是會被建設(shè)為承諾它主動建設(shè)IP地址，但不克不及與收集上一樣也是主動建設(shè)IP地址的其他設(shè)備相沖突。
當(dāng)來自互聯(lián)網(wǎng)的合法利用法度試圖進進某個的收集時，UPnP供給端口映照功能，承諾這些設(shè)備在防火墻穿過收集地址轉(zhuǎn)換機制。這凡是在簡單對象拜候和談(SOAP)呵護下進行，UPnP這個基于 XML 的和談與HTTP動靜連絡(luò)利用毫無標(biāo)題問題。之前人們覺得UPnP帶來良多便當(dāng)，而不是縫隙， 但是Rapid7對該功能進行了研究，其研究成果引發(fā)安然專業(yè)人士的發(fā)急。這類發(fā)急首要環(huán)繞兩個首要標(biāo)題問題。
起首， HTTP動靜幾近都是經(jīng)由過程TCP端口80來互換。在企業(yè)級的防火墻凡是會承諾端口80的收集流量，啟事在于大年夜大都連接互聯(lián)網(wǎng)的企業(yè)收集都有某種Web辦事器可供公家拜候，所以TCP端口80凡是是開放的。
其次，UPnP不是特定供給商的和談，所以，任何修復(fù)法度、減緩或更新不是來自某個集中存儲庫而隨后推送到終端用戶處。這些修復(fù)法度將由不合供給商發(fā)布，但在向后兼容性、跨平臺功能和整體功能等標(biāo)題問題上，很少有人往解決。
這看起來很毒手。從企業(yè)的角度來看，明智的收集治理員應(yīng)當(dāng)在可行的環(huán)境下，禁用所有UPnP功能。除非治理員的收集要利用收集德律風(fēng)(VoIP )或其他需要端口轉(zhuǎn)發(fā)的辦事(例如收集地址轉(zhuǎn)換、SSH通道等)，不然都應(yīng)當(dāng)禁用UPnP來避免不需要的風(fēng)險，直到在收集和IT安然行業(yè)的巨擘合作提出可行解決編制。