Ivanti 使安全接入网关成为周边信任边界问题

摘要

• Ivanti 2024 年的 Connect Secure 和 Policy Secure 事件之所以重要，是因为受影响的设备并非普通业务应用。它们是远程接入网关，其故障可能直接将外部入侵引向内部系统。
• CISA 的紧急指令、Ivanti 的安全公告、NVD 漏洞记录以及 Mandiant 和 Volexity 的独立研究都指向同一个问责问题：缓解和打补丁是必要的，但客户还需要关于设备是否已被入侵的证据。
• 完整性检查工具成为一个重要信号，但并非万能答案。完整性检查可以帮助分类；它本身并不能取代日志审查、凭证轮换、重建决策和记录在案的风险暴露时间表。
• 责任是分担的，但并非对称。Ivanti 控制产品修复、公告清晰度、缓解措辞和工具指导。客户控制风险暴露清单、应急行动、重建决策和下游通知。MSP 通常为缺乏自身设备专业知识的机构控制实际的修复工作。
• 一个更强的未来模式会将安全接入网关视为事件级别的信任边界：预先盘点、外部监控、快速隔离、信心不足时重建，并向领导层报告已知的未知情况，而不是将其隐藏。

网关是风险对象

远程接入网关在安全架构中处于一个奇怪的位置。它们的存在是为了通过向授权用户提供对内部系统的受控访问来降低风险。同时，它们也集中了信任。如果网关被入侵，攻击者可能不需要分别钓鱼每个员工或利用每个应用。该设备可能成为一个入口点、观察点或跳板。这就是为什么 2024 年的 Ivanti 事件不仅仅是一个 CVE 故事。

CISA 的紧急指令 24-01命令美国联邦民事机构对 Ivanti Connect Secure 和 Ivanti Policy Secure 产品采取具体行动。其重要性不仅在于 CISA 使用了紧急指令，还在于该指令将受影响的设备视为操作信任边界，其完整性必须得到验证，而不仅仅是方便时打补丁。CISA 更早的警告Ivanti 发布 Connect Secure 和 Policy Secure 网关安全更新显示了漏洞公开时的紧迫性。

供应商记录提供了产品特定的中心。Ivanti 关于CVE-2023-46805 和 CVE-2024-21887的公告涉及 Connect Secure 和 Policy Secure 网关中的身份验证绕过和命令注入。Ivanti 的完整性检查工具指南成为操作响应的一部分。NVD 关于CVE-2023-46805、CVE-2024-21887、CVE-2024-21893和CVE-2024-22024的记录提供了围绕一系列边缘设备问题的公共漏洞元数据。

独立研究记录从事件响应角度使同一问题可见。Google Cloud 的 Mandiant 团队发布了疑似 APT 目标针对 Ivanti 零日漏洞，Volexity 报告了Ivanti Connect Secure VPN 中两个零日漏洞的主动利用。这些报告不应被过度解读为针对每个客户的证据。它们表明，真实攻击者同样看到了防御者所信任的网关位置的价值。

这是核心问责点。远程接入网关不仅仅是软件。它是外部世界与内部系统之间的边界。当边界设备可疑时，组织必须回答一个不同于“我们安装更新了吗？”的问题。它必须回答“我们能再次信任这个边界吗？支持这种信任的证据是什么？”

紧急缓解成为治理事件

最明显的公共行动是 CISA 的紧急指令。紧急指令不是常规的博客文章。它们是针对联邦民事机构的治理工具，将技术利用风险转化为所需的操作行动。即使对于指令正式范围之外的组织，该指令也是一个问责基准，因为它显示了国家网络机构认为风险需要什么。

指令的结构很重要。它不仅仅说“有补丁时打补丁”。它要求缓解步骤、设备检查以及在特定条件下断开连接。这种姿态反映了普通漏洞管理与受侵入边界管理之间的关键区别。如果易受攻击的边缘设备可能已经被入侵，那么在等待后续补丁的同时保持其在线可能会保持攻击者的优势。如果组织无法建立完整性，断开连接或重建可能是更安全的路径。

这种决定令人不安，因为它与业务连续性冲突。Connect Secure 和 Policy Secure 产品支持远程工作、供应商访问、管理活动和内部应用可及性。关闭它们可能会中断运营。但该设备有用的原因正是利用之所以重要的原因。一个在操作上重要到足以保持在线的网关，在有可信的利用记录时，也重要到需要积极检查。

CISA 和合作伙伴机构后来发布了AA24-060B，将响应范围从补丁紧迫性扩展到威胁狩猎和缓解。这是问责的第二步。首先，识别受影响的边界。其次，减少直接暴露。第三，搜索入侵。第四，决定信任是否可以恢复，或者是否需要重建。跳过中间两步的组织可能将边界事件视为普通软件更新。

治理记录应该显示谁做了这些决定。谁有权断开网关？谁接受了业务中断？谁证明完整性检查工具已运行？谁决定阳性或不确定结果意味着重建？谁向高管汇报了剩余不确定性？如果设备服务于公共机构，谁评估了公民服务、受监管数据或关键操作是否暴露？这些问题不是为了盲目指责。它们确定了必须在压力下工作的控制路径。

同样的逻辑适用于政府之外。医院、大学、制造商或律师事务所可能不受 CISA 指令的约束，但每个实体仍然依赖网关作为信任边界。该指令为董事会和 CISO 提供了紧急性的词汇。如果联邦机构必须断开或检查，私营组织至少应该问为什么自己的风险姿态在实质上不同。

完整性检查支持信任，但仅靠它无法创造信任

Ivanti 的完整性检查工具成为一个核心工件，因为它解决了客户最关心的问题：设备是否被篡改？这样的工具很有价值。它为防御者提供了一种可重复的方法来测试某些未授权更改，并对可能需要更强行动的设备进行分类。但问责需要谨慎的语言。完整性工具不是完整的取证调查，干净的结果并不总是没有入侵的普遍证据。

这种区别很重要，因为被利用的边缘设备可能带来多种风险。可能存在被更改的文件。可能存在 webshell。可能存在检查前暴露的凭证或会话材料。可能存在缺失或覆盖的日志。可能在设备被检查之前发生了出站连接或横向移动。一个工具可以帮助识别某些证据。它无法重写时间线。

这就是为什么客户记录应将工具输出与上下文配对。工具是什么时候运行的？是在应用缓解之前还是之后？组织在等待时设备是否连接到互联网？日志是否保留？特权凭证是否轮换？设备是否从可信介质重建？是否检查了依赖系统以寻找后续活动的迹象？没有这些周边答案的干净工具结果可能会产生虚假的安慰。

NIST 的计算机安全事件处理指南与此相关，因为它将事件响应视为准备、检测、分析、遏制、根除、恢复和事后总结。Ivanti 案例提醒我们，事件处理逻辑即使在被产品公告触发时也适用。一旦利用活跃，组织就不再只是打补丁。它正在分析边界是否被跨越。

英国 NCSC 关于缓解恶意软件和勒索软件攻击的指南作为一般控制上下文也很有用，因为它强调准备、备份、恢复和遏制。受入侵的网关可能本身不是勒索软件，但网关可能是后来实现勒索软件、间谍活动、凭证窃取或数据泄露的访问路径的一部分。在漏洞响应仍在进行时，恢复思维必须开始。

最强大的组织可能将完整性检查工具视为决策树中的一个数据点。如果工具指示入侵，他们进行升级。如果结果不确定，他们重建或隔离。如果结果干净但暴露时间很长，他们仍然审查日志并轮换凭证。如果日志不足，他们将其记录为剩余不确定性。这就是证据驱动的修复应有的样子。

供应商的责任超出第一份公告

Ivanti 控制着产品、公告、缓解措施、补丁和完整性指导。这并不意味着 Ivanti 对每个客户的部署决策负责。但这确实意味着该公司控制着客户自己无法产生的几个高杠杆事实。哪些版本受影响？哪些缓解措施有效？完整性检查工具实际上检查了什么？补丁何时可用？当工具标记入侵或无法建立完整性时，客户应该做什么？

安全接入供应商的问责标准必须高于一般的公告发布。网关供应商应该假设客户将同时面临技术和执行压力。公告应该用通俗语言解释危害路径：设备位于边界，利用可能绕过身份验证或执行命令，修复决策可能包括断开连接或重建。客户需要知道的不仅仅是安装什么，而且是什么时候对设备的信任应该被视为破裂。

后来的 CVE 记录相关，因为它们显示了一次紧急情况如何变成一系列事件。一旦客户已经在处理 CVE-2023-46805 和 CVE-2024-21887，额外漏洞如 CVE-2024-21893 和 CVE-2024-22024 的出现改变了计划。一次性补丁叙事变得不足。客户需要一个持续的暴露和完整性计划来应对这类设备。供应商的更新节奏、清晰度和检测支持决定了该计划是否可行。

CISA 的安全设计工作框架了更广泛的期望。技术供应商不应假设客户可以无限期补偿产品脆弱性。对于边缘产品，安全设计包括减少不必要的暴露、加强管理路径、使日志有用、生成机器可读的公告、支持安全升级以及帮助客户在利用后重建信任。这是产品责任，而非恩惠。

同时，客户不能将所有责任外包给 Ivanti。完美的公告不会给设备打补丁。强大的完整性工具不会自己运行。清晰的紧急指令不会维护本地资产清单。供应商创建修复路径；客户必须走这条路并保留证据。只有当指责映射到控制时，它才变得有用。

MSP 是沉默的控制层

许多组织不直接操作安全接入设备。他们依赖 MSP、安全集成商、区域 IT 提供商或外包网络团队。这使得 Ivanti 记录对较小的组织和公共机构尤其重要。承担法律和运营损害的一方可能不是拥有管理员密码的一方。

MSP 控制的设备会改变证据链。客户需要知道设备是否受影响、是否暴露、是否应用了缓解、是否运行了完整性检查工具、是否发现了可疑工件、以及是否建议了重建或凭证轮换。如果 MSP 仅仅说“已处理”，客户可能没有可防御的基础来做出自己的风险决策。

因此，客户合同应在紧急情况之前定义紧急安全证据。它应该规定谁接收供应商公告、谁批准断开连接、谁支付非工作时间响应、交付什么证据、日志保存的速度、以及何时告知客户不能排除入侵。这些条款可能听起来乏味。在 Ivanti 式的紧急情况下，它们决定了客户是否及时看到真相。

MSP 也需要内部纪律。如果他们管理数十或数百个网关，紧急指令可能造成队列。哪些客户优先？哪些设备面向互联网？哪些服务于关键基础设施或公共服务？哪些日志记录薄弱？哪些不能在不中断的情况下打补丁？MSP 的优先级划分成为客户风险的一部分。成熟的 MSP 应该能够解释这种优先级划分，并为每个客户展示证据，而不仅仅是报告总体进展。

这就是中小企业连续性进入故事的地方。一个小的组织可能依赖一个网关进行远程访问，一个 MSP 进行安全，一个高管批准停机。如果网关断开，业务受损。如果它保持暴露，业务可能被入侵。MSP 的作用是将这种困境转化为一个基于证据的决策，足够快，使客户不会盲目选择。

公共部门的持续运作使指令不仅仅是联邦文书工作

公共部门维度很重要，因为远程接入设备通常位于人们无法选择避免的服务之后。政府机构、学校、医院、法院和公用事业可能使用网关支持员工、承包商和维护。当这些网关可疑时，连续性规划必须包括技术恢复和公共服务后果。

CISA 的紧急指令形式上针对联邦民事机构，但其逻辑具有普遍性。依赖类似网关基础设施的州立机构或医院必须决定是否能在检查或断开边界设备的同时保持服务。如果远程访问被移除，员工是否仍然可以处理索赔、治疗病人、协调物流或应对紧急情况？如果访问保持，什么证据支持该决定？

这种双重风险通常被忽视。网络安全写作可能关注漏洞而忽略服务连续性。操作写作可能关注停机而忽略利用。Ivanti 记录强制两者进入同一框架。安全接入网关之所以有用，是因为它保持工作运转。当它被入侵时，它是危险的，因为它可能也保持攻击者访问的运转。负责任的决策用证据平衡这两种现实。

对于公共机构，剩余未知应格外谨慎地记录。如果网关保护与公民相联的数据、系统或服务渠道，该机构应该知道是否发现了入侵、是否排除了入侵、或者证据是否不足。当没有人拥有日志或运行检查时，不应使用“没有入侵证据”。更好的措辞不那么舒服但更诚实：“我们在可用来源中未发现指标，但证据限制仍然存在。”

这种措辞很重要，因为公共信任会被虚假确定性损害。机构和受监管组织不需要发布每个技术工件。他们确实需要避免最小化影响组织外部人员的不确定性。网关事件可能涉及个人数据、服务访问、采购系统、员工账户或合作伙伴网络。承担这种风险的人们值得一个确认已知和未知的决策记录。

未来的控制是重建准备

Ivanti 事件的一个教训是，当信任薄弱时，一些边缘设备应该被重建而不是仅仅被清理。重建准备是一种控制。这意味着组织可以从可信介质重新部署网关，安全地恢复配置，轮换秘密，验证访问，并保留证据，而不会将网络紧急情况变成数周的即兴工作。如果重建不可能，因为没有人知道配置或没有备份，那么网关已成为机构脆弱性的单点。

CISA 的安全配置基线相关，不是因为它们指定了 Ivanti 特定的重建计划，而是因为它们表达了安全配置应可重复的概念。一个无法重建的网关配置是一种负债。一个可以重建、审查和比较的配置为防御者提供了在完整性不确定时更清晰的路径。

重建准备也改变了供应商期望。供应商应支持可导出、可审查和可恢复的配置，而不鼓励客户保留受损状态。他们应记录哪些秘密在疑似入侵后必须轮换。他们应在客户擦除设备之前使日志和完整性工件可用。他们应在补丁可能未解决持久性时警告。这些不是边缘情况。当暴露的边缘产品被有能力的攻击者瞄准时，它们是可能的结果。

客户可以通过演习测试重建准备。取一个非生产网关或实验室模型。模拟一个严重的 Ivanti 式公告。团队能否找到设备？能否应用缓解？能否运行完整性检查？能否保留日志？能否从可信介质重建？能否在不复制可疑工件的情况下恢复访问？能否向领导层汇报？演习将揭示组织拥有的是安全网关还是脆弱的黑箱。

这也是采购应该改变的地方。买家应询问供应商如何支持事件级别的重建。他们应询问 MSP 证据将如何交付。他们应询问产品是否产生有用的审计日志，版本状态是否外部可确认，紧急公告是否机器可读，以及受损设备替换的操作可行性。这些问题听起来不如产品特性令人兴奋。在 Ivanti 式事件中，它们变成了产品。

优先级必须变得本地化，而不仅仅是全局

在 Ivanti 案例中，全局优先级信号是必要的，但它们不足够。CISA 的已知被利用漏洞目录很有用，因为它将利用证据转化为修复紧迫性。它帮助机构和企业避免将每个漏洞视为同等。但 KEV 信号仍然必须与本地事实相结合。一个公开、未打补丁且日志记录薄弱的设备上的已列出漏洞，与一个已隔离、已缓解且完全重建的设备上的同一 CVE 是不同的操作问题。相反，组织不能仅仅因为设备不方便打补丁就降低风险。

本地优先级应从暴露开始。哪些 Ivanti 网关可从互联网访问？哪些支持特权管理用户？哪些连接供应商或承包商到敏感环境？哪些服务于公共服务操作？哪些已经产生了可疑的完整性检查结果？这就是问责变得可操作的地方。一个无法回答这些问题的安全团队可能仍然能够引用公告，但无法管理响应。

下一个因素是证据质量。具有强大日志、明确所有权、快速缓解和干净重建的网关与没有保留日志和补丁延迟的网关有不同的剩余风险。两者最终可能报告“已修复”。只有其中一个可以用足够的证据支持这一说法，以满足董事会、监管机构、保险公司或受影响的客户。Ivanti 的公开讨论有时将问题简化为补丁状态，但更强的内部讨论应该按暴露加证据弱点对设备进行排名。

第三个因素是依赖性。支持小型非关键实验室的网关可能比支持医院管理员、联邦员工或生产工程师的网关更容易断开。但依赖性不应自动降低紧迫性。它应提高治理级别。如果一个设备太重要而不能随意断开，那么它足够重要，需要彻底检查，并有一个预先批准的应急计划。关键性不是延迟的借口；它是使决策可见的理由。

优先级还必须考虑攻击者行为。Mandiant 和 Volexity 没有描述抽象的漏洞类别。他们描述了主动利用模式。当利用活跃时，防御者应假设攻击者正在阅读供应商公告，跟踪缓解窗口，并搜索缓慢或不确定的组织。这压缩了决策时间。花费数天整理设备电子表格的组织给了攻击者本应被良好库存消除的优势。

这就是为什么公共指令和研究记录应改变未来的预算。边缘库存、外部攻击面监控、日志保留和重建自动化可能看起来像支持功能，直到网关产品被利用。那时它们变成了快速证据支持的决策与关于公司甚至拥有什么的漫长争论之间的区别。这些控制的成本应与无法在紧急情况下回答第一个问题的成本相比较：网关在哪里？

通知义务在每个事实确定之前就开始了

另一个困难的问题是何时应告知客户、用户、合作伙伴或公共利益相关者存在网关风险。并非每个受影响的 Ivanti 设备都触发了公共通知义务。并非每个组织都确认了入侵。但安全接入网关足够接近敏感系统，因此某些通知路径应在每个取证结论最终确定之前开始。相关方可能包括高管、系统所有者、身份团队、事件响应保留者、网络保险公司、监管机构、其访问经过网关的客户以及使用访问路径的供应商。

第一个通知是内部和操作性的。如果网关可能被入侵，身份管理员需要知道，因为凭证、会话和访问策略可能需要审查。网络团队需要知道，因为分段和出站流量可能需要检查。法律团队需要知道，因为数据访问在证据审查之前不能被排除。通信团队需要准备不会过度强调确定性的语言。业务所有者需要知道断开连接是否会影响服务。

第二个通知面向供应商。如果 MSP 管理网关，客户需要书面的行动计划。如果供应商使用网关，供应商可能需要暂停访问或验证自己的账户。如果网关连接到云或身份供应商，来自这些系统的日志可能成为入侵评估的一部分。等到设备团队完成工作可能允许相邻系统中的相关证据过期。

第三个通知可能是外部的。公共机构、医疗保健提供商或受监管的公司可能无法立即知道个人数据是否被访问。但通过记录漏洞发现时间、哪些系统已连接、正在审查哪些日志以及哪些证据仍然缺失，他们仍然可以保留通知路径。如果后续分析显示数据访问，组织将拥有更清晰的时间线。如果后续分析未发现指标，组织可以解释其审查范围。

这种纪律可以防止两个不良结果。第一个是过早安慰。公司不应说没有入侵，如果它仅仅意味着还没有检查得足够远。第二个是模糊警报。公司不应仅仅因为设备易受攻击就暗示数据被盗。负责任的立场介于这些错误之间：已知事实、已采取的行动、正在审查的证据以及仍然存在的不确定性。

Ivanti 记录是一个有用的公共例子，因为它迫使组织实时做出这些区分。有些可以说他们没有暴露。有些可以说他们应用了缓解并运行了完整性检查。有些不得不断开。有些可能需要重建。有些可能无法建立足够的证据。这种差异不应被抹平。这正是严肃的风险登记册应保留的内容。

正确的指标是达到可信边界的时间

Ivanti 式事件后最有用的绩效指标不是首次会议时间或补丁下载时间。而是达到可信边界的时间。该指标从可信的利用或紧急漏洞信息可用时开始，到组织可以支持关于网关未受影响、已安全缓解、已从可信状态重建或已从服务中移除的主张时结束。该指标包括证据，而不仅仅是活动。

达到可信边界的时间有几个子时钟。库存时间：组织多快识别了所有 Ivanti 网关？暴露决策时间：多快知道哪些面向互联网或高风险？缓解时间：多快应用了供应商缓解措施、断开或访问限制？完整性评估时间：多快进行了检查和日志审查？重建决策时间：组织多快决定了补丁是否足够？利益相关者沟通时间：决策者和依赖方多快得到了准确信息？

每个子时钟有不同的所有者。资产管理可能拥有库存。网络安全可能拥有暴露。基础设施可能拥有缓解。事件响应可能拥有完整性评估。业务连续性可能拥有服务影响。法律和通信可能拥有利益相关者更新。教训是网关事件不能留给单个设备管理员。该设备跨越太多控制面。

该指标也使供应商支持可衡量。供应商可以通过发布清晰的影响版本数据、稳定的修复、可靠的完整性工具、可操作的指标、重建指导和通俗语言的风险解释来缩短达到可信边界的时间。供应商可以通过发布碎片化的指导、不清晰的角度或让客户推断干净检查是否足够来延长该时间。客户体验到的支持质量就是时间。

对于 MSP，达到可信边界的时间应成为服务级别期望。合同应规定 MSP 多快识别受影响的客户设备、应用缓解、运行检查、交付书面证据和上报疑似入侵。如果 MSP 不能满足该标准，客户应在紧急情况之前知道。一个无法在压力下产生证据的服务模型并没有真正管理边界。

该指标要求很高，但很公平。它不要求完美的安全或即时确定性。它要求从公开漏洞到恢复信任的可见路径。Ivanti 的 2024 年记录表明，当风险对象是安全接入网关时，恢复信任是真正的可交付成果。

审计包应小巧但难以伪造

Ivanti 网关紧急情况后最好的证据包不需要是一份一千页的取证报告。它需要小巧、结构化且难以伪造。一个有用的包会列出每个设备、所有者、公开暴露、受影响版本、缓解时间、补丁时间、完整性检查结果、重建状态、凭证轮换决策、已审查的日志源、已检查的下游系统以及剩余的未知项。它还会列出每个行动的负责人或提供者。这份文件在设计上很枯燥。它的价值在于将混乱的紧急情况转化为以后可以审查的记录。

该包应小心地保留阴性发现。“审查路径中未发现 webshell”比“没有入侵”更好。“从 1 月 10 日起保留的日志中未发现可疑认证事件”比“没有证据”更好。更精确的陈述告诉领导层实际上检查了什么以及知识的边界在哪里。精确性保护读者免于恐慌和过度自信。

它还应保留抛弃的路径。如果设备因离线、MSP 缺少凭证、日志轮换或工具失败而无法检查，该事实应属于包。许多事后记录会擦除失败的检查，只显示成功的行动。这使组织看起来更整洁但更不安全。失败的检查往往是真正教训的开始：缺失的所有权、薄弱的日志记录、糟糕的供应商访问或没人知道如何重建的设备。

最后，包应将技术决策与业务决策联系起来。如果远程访问被断开，哪些服务受影响，如何提供替代方案？如果设备在缓解下保持在线，谁批准了剩余风险？如果重建被推迟，为什么？如果未进行外部通知，什么事实支持该决定，哪些事实仍在审查中？网关既是技术对象又是业务依赖。审计记录应显示这两半。

这种包不会消除未来的 Ivanti 式事件。但它会使它们不那么模糊。组织可以学习它是否因为供应商指导不明确、库存缺失、MSP 响应延迟、领导层避免停机或响应者缺乏取证数据而缓慢。每个诊断指向不同的修复。没有包，所有这些原因都会崩塌成一个模糊的过后短语：下次更快打补丁。这个短语是真实的，但仍然太薄。证据是将紧迫性转化为机构学习的因素，而学习使下次边界失败更短。下次审查应首先要求该证据，然后才接受绿色仪表板。

完整性检查应成为客户习惯

Ivanti 记录也显示了为什么完整性检查不应被视为一次性的紧急任务。安全接入设备位于外部用户和内部资源之间的特权边界。客户应知道如何运行供应商的完整性工具、保留结果、升级异常以及在缓解或重建后重复检查。一个传输流量但无法证明完整性的网关仍然是一个信任问题。这个习惯应在下次公告之前演练，而不是在期间发现。

剩余未知与问责问题

公开记录无法回答每个客户特定问题。它没有显示哪些私有网络被入侵，哪些设备被重建，哪些 MSP 延迟，哪些日志缺失，或哪些下游系统在网关利用后被触及。但它确实表明，该类产品承载了足够的风险，以至于需要紧急指令、威胁研究、供应商更新、完整性工具和重复的公共公告。

因此，问责问题是实用的。Ivanti 是否给了客户识别、缓解、修补、检查和恢复信任所需的信息和工具？客户是否有库存、权威和纪律来根据这些信息采取行动？MSP 是否为他们控制的网关的客户提供了证据？领导层是否看到了剩余不确定性，还是只看到了令人安心的补丁百分比？公共机构是否将网关完整性视为服务连续性的部分？

当答案是肯定的时，安全接入网关可以恢复其作为可信边界的角色。当答案是否定时，网关在需要确定性的确切位置仍然是一个问号。Ivanti 的 2024 年记录应被记住这一课。产品标签上写着安全接入。事件问道，一旦暴露，接入能否通过足以让依赖网关另一边的人安全的证据重新变得可信？