Kürzlich wurde bekannt, dass eine Methode entdeckt wurde , die es einem Angreifer ermöglicht, den Datenverkehr eines Benutzers mithilfe eingebauter Funktionen des DHCP-Protokolls aus seinem VPN-Tunnel herauszuleiten.
Diese neue Angriffsmethode , die den Namen „TunnelVision“ trägt , ermöglicht es, den Datenverkehr eines Opfers über den Rechner eines Angreifers umzuleiten (vorausgesetzt, der Angreifer hat Zugriff auf das lokale Netzwerk oder kontrolliert ein drahtloses Netzwerk).
Es ist wichtig zu erwähnen, dass die Idee lokaler Routing-Änderungen nicht neu ist und häufig bei Angriffen eingesetzt wird, die DNS-Server fälschen sollen. Beispielsweise beeinträchtigte TunnelCrack, das den Datenverkehr über ein alternatives Standardgateway umleitete, alle getesteten iOS-VPN-Clients sowie VPNs für macOS, Windows, Linux und Android.
Über TunnelVision
Es wird darauf hingewiesen, dass das Wesen von TunnelVision darin besteht, dass der Angreifer einen eigenen DHCP-Server starten und diesen nutzen kann , um Informationen an den Client zu senden und so das Routing zu manipulieren . Konkret kann ein Angreifer die DHCP-Option 121, die für die Übertragung statischer Routeninformationen vorgesehen ist , verwenden, um die Routing-Tabelle auf dem Rechner des Opfers zu modifizieren und den Datenverkehr umzuleiten, ohne das VPN zu nutzen.
Der Zweck dieser Untersuchung bestand darin, diese Technik mit modernen VPN-Anbietern zu testen, um deren Anfälligkeit zu ermitteln und die breite Öffentlichkeit über dieses Problem zu informieren. Aus diesem Grund haben wir mit der CISA vereinbart, eine CVE einzureichen, wenn wir sie offenlegen, und haben uns entschieden, die Schwachstelle zu benennen.
Die Umleitung erfolgt durch die Konfiguration einer Reihe von Routen für Subnetze mit dem Präfix /1 , die eine höhere Priorität als die Standardroute mit dem Präfix /0 besitzen. Folglich wird der Datenverkehr nicht über die für das VPN konfigurierte virtuelle Netzwerkschnittstelle, sondern über die physische Netzwerkschnittstelle zum Rechner des Angreifers im lokalen Netzwerk geleitet.
Anstatt über das VPN geleitet zu werden, wird der Datenverkehr unverschlüsselt und ohne Tunnel zum System des Angreifers gesendet. Dieses Problem betrifft alle VPN-Clients, die keine isolierten Netzwerk-Namespaces verwenden, um den Datenverkehr zum Tunnel zu leiten, oder die keine Paketfilterregeln einrichten, die das Routing von VPN-Datenverkehr über bestehende physische Netzwerkschnittstellen verhindern.
TunnelVision kann auf jedem System durchgeführt werden, das die DHCP-Option 121 unterstützt , einschließlich Linux, Windows, iOS und macOS, unabhängig vom verwendeten VPN-Protokoll (Wireguard, OpenVPN, IPsec) und der verwendeten Verschlüsselungssuite.
Es wird darauf hingewiesen, dass Android für diesen Angriff nicht anfällig ist, da es die Option 121 im DHCP-Server nicht verarbeitet . Obwohl der Angriff Zugriff auf den Datenverkehr ermöglicht, erlaubt er weder das Abfangen von Verbindungen noch die Ermittlung der über sichere Anwendungsprotokolle wie TLS und SSH übertragenen Inhalte. Beispielsweise kann der Angreifer den Inhalt von über HTTPS gesendeten Anfragen nicht ermitteln, aber er kann feststellen, an welche Server die Anfragen gerichtet sind.
Zum Schutz vor einem Angriff können verschiedene Maßnahmen auf der Ebene der Paketfilterung umgesetzt werden: das Verbieten des Sendens von Paketen, die für die VPN-Schnittstelle bestimmt sind, über andere Netzwerkschnittstellen, das Blockieren von DHCP-Paketen mit Option 121, die Verwendung eines VPN innerhalb einer separaten virtuellen Maschine oder eines Containers, der vom externen Netzwerk isoliert ist, oder die Verwendung spezieller Tunnelkonfigurationsmodi, die Linux-Netzwerk-Namespaces verwenden.
Um Routen zu manipulieren , wurde ein speziell entwickelter USB-Dongle entwickelt , der die Funktion eines Netzwerkadapters simuliert und sich, sobald er per DHCP mit einem Computer verbunden ist, als Gateway ausgibt. Wenn das Gateway unter der Kontrolle eines Angreifers steht (beispielsweise wenn sich ein Opfer mit einem vom Angreifer kontrollierten WLAN verbindet), wurde eine Technik entwickelt, um Pakete in den Tunnel einzuschleusen, die so wahrgenommen werden, als kämen sie von der VPN-Netzwerkschnittstelle. Es wurden außerdem mehrere Skripte veröffentlicht, um diese Angriffe zu testen.
Wenn Sie schließlich mehr darüber erfahren möchten , finden Sie die Details unter folgendem Link.