Il a été révélé qu'une méthode a récemment été découverte permettant à un attaquant de forcer le trafic d'un utilisateur à sortir de son tunnel VPN en utilisant des fonctionnalités intégrées du protocole DHCP.
Baptisée « TunnelVision », cette nouvelle méthode d'attaque permet de rediriger le trafic d'une victime via l'hôte d'un attaquant (à condition que ce dernier ait accès au réseau local ou contrôle un réseau sans fil).
Il est important de noter que le concept de modification du routage local n'est pas nouveau et a été fréquemment utilisé dans des attaques visant à usurper l'identité des serveurs DNS. Par exemple, TunnelCrack, qui redirigeait le trafic via une passerelle par défaut de substitution, a affecté tous les clients VPN iOS testés, ainsi que les VPN macOS, Windows, Linux et Android.
À propos de TunnelVision
Il est précisé que le principe de TunnelVision repose sur la possibilité pour un attaquant de démarrer son propre serveur DHCP et de l'utiliser pour envoyer des informations au client afin de modifier le routage . Plus précisément, un attaquant peut exploiter l'option DHCP 121, conçue pour transmettre des informations de routage statiques , afin de modifier la table de routage de la machine de la victime et de rediriger le trafic sans passer par le VPN.
Le but de cette recherche était de tester cette technique auprès des fournisseurs VPN modernes afin de déterminer leur vulnérabilité et d'informer le grand public de ce problème. C'est pourquoi nous avons convenu avec CISA de déposer une CVE lorsque nous leur divulguons et pourquoi nous avons décidé de nommer la vulnérabilité.
La redirection est réalisée en configurant une série de routes pour les sous-réseaux avec le préfixe /1 , qui ont une priorité plus élevée que la route par défaut avec le préfixe /0. Par conséquent, au lieu de l'interface réseau virtuelle configurée pour le VPN, le trafic sera dirigé via l'interface réseau physique vers l'hôte de l'attaquant sur le réseau local.
Au lieu de transiter par le VPN, le trafic est envoyé en clair, sans tunnel, au système de l'attaquant. Ce problème affecte tout client VPN qui n'utilise pas d'espaces de noms réseau isolés pour acheminer le trafic vers le tunnel ou qui n'établit pas de règles de filtrage de paquets interdisant le routage du trafic VPN via les interfaces réseau physiques existantes.
TunnelVision peut être exécuté sur n'importe quel système prenant en charge l'option DHCP 121 , y compris Linux, Windows, iOS et macOS, quel que soit le protocole VPN utilisé (Wireguard, OpenVPN, IPsec) et la suite de chiffrement employée.
Il est précisé qu'Android n'est pas vulnérable à cette attaque car il ne traite pas l'option 121 du DHCP . Bien que l'attaque permette d'accéder au trafic, elle n'autorise ni l'interception des connexions ni la détermination du contenu transmis via des protocoles sécurisés de niveau application, tels que TLS et SSH. Par exemple, l'attaquant ne peut pas déterminer le contenu des requêtes envoyées via HTTPS, mais peut identifier les serveurs destinataires.
Pour se protéger contre une attaque, plusieurs mesures peuvent être mises en œuvre au niveau du filtrage des paquets : interdire l’envoi de paquets destinés à l’interface VPN via d’autres interfaces réseau, bloquer les paquets DHCP avec l’option 121, utiliser un VPN dans une machine virtuelle ou un conteneur séparé et isolé du réseau externe, ou utiliser des modes de configuration de tunnel spéciaux qui utilisent des espaces de noms réseau Linux.
Pour usurper les routes , une clé USB spécialement conçue a été développée. Elle simule le fonctionnement d'une carte réseau et, lorsqu'elle est connectée à un ordinateur via DHCP, se déclare comme passerelle. De plus, lorsque la passerelle est contrôlée par un attaquant (par exemple, lorsqu'une victime se connecte à un réseau sans fil contrôlé par ce dernier), une technique a été mise au point pour injecter dans le tunnel des paquets perçus comme provenant de l'interface réseau VPN. Plusieurs scripts ont également été publiés pour expérimenter ces attaques.
Enfin, si vous souhaitez en savoir plus à ce sujet , vous trouverez les détails en suivant ce lien.