Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 1 subscriber
  • Views 1404 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Astaro SSL VPN vs SSL-Expplorer SSL VPN

dknyinva
Hi all,

I'm currently using a dedicated SSL VPN from SSL-Explorer and would like to replace it with Astaro SSL VPN.  I'm primary using it to access my home network resources and it sits behind my ASG v8.0 with port forwardind to port 443.  The diff. between the two SSL VPNs is that SSL-Explorer does not required any installed client as it's using a java-based client to establish a tunnel, so it works great behind a corporate firewall and nothing is being installed in the corporate PC as apposed to ASG SSL VPN having to install a client in order to establish a VPN tunnel.

Is there anyway around this?

Thanks


This thread was automatically locked due to age.
Parents
  • 0
    A little background is required here.

    Pure browser based VPNs break the fundamental domain security model of the web.  CERT bulletin VU#261869 (US-CERT Vulnerability Note VU#261869) describes this, but it is pretty poorly written.  See also Securosis Blog | Clientless SSL VPN Redux for additional information.

    In this case, something IS installed, the Java app- which is not visible to your patch management systems, so vulnerable versions may stay installed unless you are vigilant.  Also, Java itself is another problem, it has historically not removed old (vulnerable) versions when new ones are installed.  Additionally, the web interface of the "VPN" is scripted- which means that the potential exists for any web attack from cross-site scripting to tab-nabbing.

    All that said, we are looking at ways to do this securely; "clientless" VPN is by far the most popular request at Astaro Gateway Feature Requests (which is the place to submit, comment and vote on feature requests)
Reply
  • 0
    A little background is required here.

    Pure browser based VPNs break the fundamental domain security model of the web.  CERT bulletin VU#261869 (US-CERT Vulnerability Note VU#261869) describes this, but it is pretty poorly written.  See also Securosis Blog | Clientless SSL VPN Redux for additional information.

    In this case, something IS installed, the Java app- which is not visible to your patch management systems, so vulnerable versions may stay installed unless you are vigilant.  Also, Java itself is another problem, it has historically not removed old (vulnerable) versions when new ones are installed.  Additionally, the web interface of the "VPN" is scripted- which means that the potential exists for any web attack from cross-site scripting to tab-nabbing.

    All that said, we are looking at ways to do this securely; "clientless" VPN is by far the most popular request at Astaro Gateway Feature Requests (which is the place to submit, comment and vote on feature requests)
Children
No Data