Det blev for nylig afsløret, at der blev opdaget en metode , der tillader en angriber at tvinge en brugers trafik ud af deres VPN-tunnel ved hjælp af indbyggede funktioner i DHCP-protokollen.
Denne nye angrebsmetode , der kaldes "TunnelVision", gør det muligt at omdirigere et offers trafik via en angribers vært (forudsat at angriberen har adgang til det lokale netværk eller kontrollerer et trådløst netværk).
Det er vigtigt at bemærke, at ideen om ændringer i lokal routing ikke er ny og ofte er blevet brugt i angreb designet til at forfalske DNS-servere. For eksempel påvirkede TunnelCrack, som omdirigerede trafik via en erstatningsstandardgateway, alle testede iOS VPN-klienter samt macOS-, Windows-, Linux- og Android VPN'er.
Om TunnelVision
Det nævnes, at essensen af TunnelVision er, at angriberen kan starte sin egen DHCP-server og bruge den til at sende information til klienten for at ændre routingen . Specifikt kan en angriber bruge DHCP-mulighed 121, som er designet til at overføre statisk ruteinformation , til at ændre routingtabellen på offerets maskine og dirigere trafik uden at gå gennem VPN'en.
Formålet med denne forskning var at teste denne teknik mod moderne VPN-udbydere for at bestemme deres sårbarhed og underrette offentligheden om dette problem. Det er grunden til, at vi blev enige med CISA om at indsende en CVE, når vi afslører dem, og hvorfor vi besluttede at navngive sårbarheden.
Omdirigeringen opnås ved at konfigurere en række ruter til undernet med præfikset /1 , som har en højere prioritet end standardruten med præfikset /0. Derfor vil trafikken i stedet for den virtuelle netværksgrænseflade, der er konfigureret til VPN'en, blive dirigeret via den fysiske netværksgrænseflade til angriberens vært på det lokale netværk.
I stedet for at blive sendt via VPN'en, sendes trafikken i almindelig tekst uden en tunnel til angriberens system. Dette problem påvirker alle VPN-klienter, der ikke bruger isolerede netværksnavnerum til at dirigere trafik til tunnelen, eller som ikke etablerer pakkefiltreringsregler, der forbyder routing af VPN-trafik gennem eksisterende fysiske netværksgrænseflader.
TunnelVision kan udføres på ethvert system, der understøtter DHCP-mulighed 121 , inklusive Linux, Windows, iOS og macOS, uanset den anvendte VPN-protokol (Wireguard, OpenVPN, IPsec) og den anvendte krypteringspakke.
Det nævnes, at Android ikke er modtagelig for dette angreb, fordi det ikke behandler 121-indstillingen i DHCP . Selvom angrebet tillader adgang til trafik, tillader det ikke aflytning af forbindelser eller bestemmelse af indhold, der transmitteres via sikre applikationsniveauprotokoller, såsom TLS og SSH. For eksempel kan angriberen ikke bestemme indholdet af anmodninger sendt via HTTPS, men kan forstå, hvilke servere anmodningerne sendes til.
For at beskytte mod et angreb kan der implementeres flere foranstaltninger på pakkefiltreringsniveauet: forbyde afsendelse af pakker, der er bestemt til VPN-grænsefladen, via andre netværksgrænseflader, blokere DHCP-pakker med mulighed 121, bruge en VPN i en separat virtuel maskine eller container isoleret fra det eksterne netværk eller bruge særlige tunnelkonfigurationstilstande, der anvender Linux-netværksnavnerum.
For at forfalske ruter er der også udviklet en specialdesignet USB-dongle , der simulerer driften af et netværkskort, og som, når den er tilsluttet en computer via DHCP, erklærer sig selv som en gateway. Derudover er der, når gatewayen er under angriberkontrol (for eksempel når et offer opretter forbindelse til et trådløst netværk kontrolleret af en angriber), udviklet en teknik til at injicere pakker i tunnelen, der opfattes som stammer fra VPN-netværksgrænsefladen. Der er også blevet udgivet adskillige scripts til at eksperimentere med disse angreb.
Endelig, hvis du er interesseret i at lære mere om dette , kan du finde detaljerne på følgende link.