Onlangs is aan het licht gekomen dat er een methode is ontdekt waarmee een aanvaller het VPN-verkeer van een gebruiker via ingebouwde functies van het DHCP-protocol kan omleiden.
Deze nieuwe aanvalsmethode , genaamd "TunnelVision", maakt het mogelijk om het verkeer van een slachtoffer om te leiden via de host van een aanvaller (mits de aanvaller toegang heeft tot het lokale netwerk of een draadloos netwerk beheert).
Het is belangrijk om te benadrukken dat het idee van lokale routeringswijzigingen niet nieuw is en al vaker is gebruikt bij aanvallen die gericht zijn op het vervalsen van DNS-servers. TunnelCrack, bijvoorbeeld, dat verkeer omleidde via een vervangende standaardgateway, trof alle geteste iOS VPN-clients, evenals VPN's voor macOS, Windows, Linux en Android.
Over TunnelVision
Er wordt gesteld dat de essentie van TunnelVision is dat de aanvaller een eigen DHCP-server kan opzetten en deze kan gebruiken om informatie naar de client te sturen om de routering te wijzigen . Een aanvaller kan met name DHCP-optie 121, die is ontworpen om statische route-informatie te verzenden , gebruiken om de routeringstabel op de machine van het slachtoffer te wijzigen en verkeer om te leiden zonder dat het via de VPN gaat.
Het doel van dit onderzoek was om deze techniek te testen tegen moderne VPN-providers om hun kwetsbaarheid te bepalen en het grote publiek over dit probleem te informeren. Dit is de reden waarom we met CISA zijn overeengekomen om een ​​CVE in te dienen wanneer we deze bekendmaken, en waarom we hebben besloten de kwetsbaarheid een naam te geven.
De omleiding wordt bereikt door een reeks routes te configureren voor subnetten met het voorvoegsel /1 , die een hogere prioriteit hebben dan de standaardroute met het voorvoegsel /0. Hierdoor wordt het verkeer, in plaats van via de virtuele netwerkinterface die voor de VPN is geconfigureerd, via de fysieke netwerkinterface naar de host van de aanvaller op het lokale netwerk geleid.
In plaats van via de VPN te worden verzonden, wordt het verkeer in platte tekst zonder tunnel naar het systeem van de aanvaller gestuurd. Dit probleem treft elke VPN-client die geen geïsoleerde netwerknaamruimtes gebruikt om verkeer naar de tunnel te routeren, of die geen pakketfilterregels instelt die het routeren van VPN-verkeer via bestaande fysieke netwerkinterfaces verbieden.
TunnelVision kan worden uitgevoerd op elk systeem dat DHCP-optie 121 ondersteunt , waaronder Linux, Windows, iOS en macOS, ongeacht het gebruikte VPN-protocol (Wireguard, OpenVPN, IPsec) en de toegepaste cipher suite.
Er wordt vermeld dat Android niet vatbaar is voor deze aanval omdat het de 121-optie in DHCP niet verwerkt . Hoewel de aanval toegang tot het netwerkverkeer mogelijk maakt, maakt deze het niet mogelijk om verbindingen te onderscheppen of de inhoud te achterhalen van berichten die via beveiligde applicatieprotocollen zoals TLS en SSH worden verzonden. De aanvaller kan bijvoorbeeld de inhoud van via HTTPS verzonden verzoeken niet achterhalen, maar kan wel begrijpen naar welke servers de verzoeken worden verzonden.
Om een ​​aanval af te weren, kunnen verschillende maatregelen op het niveau van pakketfiltering worden geïmplementeerd: het verbieden van het verzenden van pakketten bestemd voor de VPN-interface via andere netwerkinterfaces, het blokkeren van DHCP-pakketten met optie 121, het gebruik van een VPN in een aparte virtuele machine of container die is geïsoleerd van het externe netwerk, of het gebruik van speciale tunnelconfiguratiemodi die gebruikmaken van Linux-netwerknamespaces.
Om routes te vervalsen , is er een speciaal ontworpen USB-dongle ontwikkeld die de werking van een netwerkadapter simuleert en, wanneer deze via DHCP op een computer wordt aangesloten, zichzelf als gateway aanmerkt. Bovendien is er een techniek ontwikkeld om, wanneer de gateway onder controle van de aanvaller staat (bijvoorbeeld wanneer een slachtoffer verbinding maakt met een draadloos netwerk dat door een aanvaller wordt beheerd), pakketten in de tunnel te injecteren die worden gezien als afkomstig van de VPN-netwerkinterface. Er zijn ook verschillende scripts gepubliceerd om met deze aanvallen te experimenteren.
Als u hier meer over wilt weten , kunt u de details vinden via de volgende link.