译者:陈军
先进的技术往往不一定具有完全的安全性。例如，便携式键盘记录器可能被植入闪存盘，后门代码可能被嵌入各种最新的浏览器。即使Windows新版本不断推出，各种针对系统漏洞的安全补丁和修复也从未间断发布。同样，作为一种技术进步，通用即插即用给用户带来便利的同时，也因为种种原因存在一些安全弱点，使得使用它的系统易受攻击。
下面，我给大家深入介绍一下什么是UPnP，为什么会给网络系统带来安全漏洞，以及如何关闭UPnP来提高安全姿态。
什么是UPnP？
从技术角度来说，UPnP是一种网络协议。这些协议提供了一种特定的通信方法，便于各种设备在网络上快速相互通信。在大多数情况下，设备可以使用它来轻松发现特定网络中的其他设备。目前UPnP应用广泛，你的路由器大概也在用。
UPnP的另一个典型应用场景是寻找打印机。过去，您必须手动搜索和设置，以便其他网络设备或主机可以找到新的打印机。现在，有了UPnP，我们可以以自动发现的方式快速找到通过有线或无线方式连接到网络的打印机。
连接完成后，网络上的设备可以继续通过该协议发送和接收后续数据。例如，用户主机可以调用打印机来打印文档并将音频数据传输到移动应用程序。同时，移动设备还可以将自己安装在计算机上作为驱动器磁盘。可以说这个协议的使用场景非常丰富。而且这些场景主要集中在家庭网络中，不涉及业务网络中的互联互通。
UPnP是目前最便捷的网络技术之一。顾名思义，只要您插入设备，您就可以立即开始使用它，无需额外的设置或配置。但是，我们常说，任何事物都有两面性。协议的便利性往往与安全性成反比。
UPnP是否存在安全风险？
十多年来，UPnP一直因其安全漏洞和其他问题而受到攻击。美国联邦调查局和美国国土安全部都建议用户禁用UPnP设置，以最大限度地降低暴露或损坏的风险。同时，如果你在网上粗略搜索“UPnP漏洞”这个关键词，也能找到大量说明UPnP风险的结果。而且UPnP的安全缺陷不会只影响旧硬件。
从发展历史来看，自2008年上线以来，业内的安全工程师已经发现了很多UPnP的漏洞。UPnP的最新重大漏洞———call stranger UPnP发现于2020年。该漏洞可以有效地让攻击者绕过各种安全限制，然后直接实现数据窃取。此外，2022年初，安全公司Akami更新了关于UPnProxy的报告。这份报告聚焦于EternalSilenceUPnP漏洞的细节，并警告全球数百万台路由器可能存在此类漏洞。
为什么UPnP总是有安全隐患？
至此，你一定想知道为什么UPnP的安全问题屡禁不止。实际上，由于UPnP假设每个连接的设备都是可信的，所以它会自动打开每个端口，并授权该端口的转发连接。即使你不是安全专家，你也可能已经意识到这将是一个主要的风险点。虽然大多数路由器会主动阻止各种恶意连接，但那些配置不正确且启用了UPnP的路由器很可能会允许攻击者基于恶意的传入连接访问内部网络。
当然，这只是UPnP成为安全问题的一种攻击可能性。另一个安全风险来自于恶意软件很容易感染网络中的设备，并利用UPnP在网络中自由传播。由于路由器配置不当，UPnP连接到被感染设备的各种其他组件会在合法连接的状态下迅速被感染。
UPnP还可能招致大量DDoS攻击。例如，强大的Mirai未来组合僵尸网络可以利用开机并配置了UPnP协议的物联网设备放大其攻击能力，然后利用僵尸网络强制各种目标网站下线。同时，这也导致了UPnP的另一个问题:很多物联网设备虽然开启并配置了UPnP，但却无法从根本上升级、更改甚至禁用UPnP。也就是说，如果这类设备第一次配置不当，就会成为物联网的一个安全暴露点。
如何关闭UPnP
一般来说，UPnP的漏洞可以归纳为以下两个主要方面:
编程错误:由于UPnP代码的各种缺陷，会被注入恶意代码，进而被利用和执行。
暴露:虽然UPnP的目的是使网络上的设备能够轻松地发现彼此，但不幸的是，一些UPnP控制接口可能会暴露在公共互联网上，从而使恶意用户能够发现并获得私有设备的访问权限。
鉴于以上两个原因，广泛建议用户关闭UPnP功能。但是，由于该协议带来的便利以及使用该协议的众多设备和制造商，我们不可能快速禁用它们。目前比较好的做法是让用户根据设备的型号和特点，通过网上的关键词“如何禁用UPnP”来主动搜索正确的处理方式。
一般来说，要想在路由器上禁用UPnP，需要在浏览器的地址栏输入路由器的IP地址，然后登录路由器的配置界面。获得管理员级权限后，通常可以在高级菜单的相关配置界面中找到UPnP设置与路由器的端口转发选项属于同一类别，然后完成配置调整。
当然，你也不必急着关闭它。更合适的方法是定期接收和更新路由器的固件，然后处理UPnP的相关设置。
UPnP不能禁用怎么办？
如上所述，我们可以很容易地关闭大多数设备上的UPnP选项。当然，一些简化的设备可能没有这个功能设置。对此，我的建议是，与其花时间研究如何调整UPnP的设置，不如部署或优化其他安全组件，改善其网络的整体安全状况。
