绿联NAS存在严重安全问题？官方回应来了
内容提要
绿联NAS产品存在安全问题，泄露用户私密数据风险。绿联回应称问题仅存在于体验账号中，对正式用户无影响。绿联已吊销该账号的证书。
延伸解读
事件核心：证书私钥公开的风险
文章指出，绿联NAS系统控制面板中提供了*.ugnas.cloud和*.ugnas.com两个域名的通配符证书，且将TLS证书和私钥一并公开，用户可随意下载。私钥公开意味着任何人都能部署恶意软件进行劫持，最典型的是中间人攻击，可窃取账号密码等敏感数据。B站UP主通过导入证书进行中间人劫持测试，结果有效，证明风险真实存在。
官方回应：仅影响体验账号
绿联官方回应称，该问题仅存在于UGOS PRO体验账号中，并未在正式用户设备上使用。正式用户设备没有这个证书，也不会用到该证书和私钥，因此对正式用户无影响。绿联已吊销该体验账号的证书，并强调团队重视用户数据安全。这一回应将影响范围限定在体验账号，但未详细说明体验账号与正式账号在证书管理上的具体差异。
风险性质：并非严格漏洞但隐患明显
文章提到，由于上述问题并非一个严格意义上的安全漏洞，目前该证书风险点已被封，不会引发后续安全问题。然而，将证书和私钥公开给用户，不仅使产品自身存在安全风险，也将用户置于潜在威胁中。即使风险点已封堵，这一事件仍提醒用户关注NAS设备中证书与私钥的管理方式，避免类似配置错误导致数据泄露。
背景关联：新系统首发遇挫
2024年5月，绿联科技推出NAS私有云DXP系列九款新品及全新自研NAS系统UGOS Pro，但新系统首发未达预期，存在部分Bug，如CPU温度显示异常与负载过高、部分用户账号注册异常等。此次证书问题发生在体验账号中，与新品系统初期的不稳定状况可能有关联，反映出新系统在安全配置和稳定性方面仍需完善。
Q&A
绿联NAS的安全问题是什么？
绿联NAS存在安全问题，可能泄露用户私密数据，主要源于UGOS PRO体验账号的TLS证书和私钥被公开。
绿联官方对此问题的回应是什么？
绿联官方表示该问题仅存在于UGOS PRO体验账号中，正式用户不受影响，并已吊销该账号的证书。
什么是NAS，它的作用是什么？
NAS是网络附属存储，便于数据共享和访问，类似于一个专用于储存和管理文件的电脑。
公开的TLS证书和私钥会带来什么风险？
公开的TLS证书和私钥可能导致中间人攻击，用户数据面临被窃取的风险。
绿联计划推出的新款NAS产品有什么问题？
绿联计划推出的新款NAS产品存在部分Bug，例如CPU温度显示异常和用户账号注册问题。
如何防止NAS设备的数据泄露？
确保不公开TLS证书和私钥，定期更新安全设置，并使用强密码和双重认证。
