Há poucos dias foi apresentada a notícia sobree um novo método de ataque a conexões usadas por VPNs, que foi desenvolvido em conjunto por pesquisadores de universidades canadenses e americanas.
Batizado com o nome de "Porto Sombra" este método de ataque permite, manipulando as tabelas de tradução de endereços no servidor VPN, enviar respostas a solicitações direcionadas a outro usuário conectado ao mesmo servidor. O ataque pode ser usado para interceptar ou redirecionar tráfego criptografado, realizar varreduras de portas e anonimizar usuários de VPN. Por exemplo, o tráfego DNS de um usuário pode ser redirecionado para um host atacante.
Como funciona um ataque “Port Shadow”?
Sombra do Porto É baseado nisso:
Ao enviar solicitações especificamente criadas, um invasor conectado ao mesmo servidor VPN e usando NAT compartilhado pode alterar as tabelas de tradução de endereços. Isso faz com que pacotes endereçados a um usuário sejam enviados para outro. As informações nas tabelas NAT sobre qual endereço IP interno está associado a uma solicitação são baseadas no número da porta de origem.
Um invasor pode causar uma colisão na tabela NAT por meio de pacotes elaborados e alterações simultâneas na conexão do cliente ao servidor VPN e ao servidor externo do invasor, criando uma entrada com o mesmo número de porta de origem, mas associado ao seu próprio endereço local, fazendo com que as respostas sejam enviadas para o endereço do invasor.
Para executar o ataque, O invasor deve estar conectado ao mesmo servidor VPN que a vítima, o que é viável em serviços VPN públicos que permitem acesso geral (OpenVPN, WireGuard, OpenConnect). A vulnerabilidade afeta servidores VPN que usam tradução de endereços (NAT) para gerenciar o acesso do cliente a recursos externos, e onde o servidor usa o mesmo IP para receber tráfego de clientes e enviar solicitações para sites externos.
Sistemas e serviços VPN vulneráveis
En o estudo é mencionado que Sistemas de tradução de endereços avaliados em Linux e FreeBSD juntamente com serviços VPN públicos, como OpenVPN, OpenConnect e WireGuard. O estudo revelou que FreeBSD não mostrou vulnerabilidade para redirecionar ataques de solicitações feitas por outros usuários na mesma VPN, mas ataques mais sérios ainda são possíveis.
A manipulação de tabelas NAT só foi possível durante um ataque ATIP (Adjacente ao In-Path), onde um invasor pode interceptar o tráfego entre um usuário e um servidor VPN (por exemplo, conectando-se a uma rede Wi-Fi controlada pelo invasor) ou entre o servidor VPN e o destino. Além disso, o NAT no FreeBSD também era vulnerável a um ataque que permite determinar se um usuário está acessando um site específico (Connection Inference).
No Linux, o subsistema Netfilter se mostrou suscetível a ataques substituição de tabelas de tradução de endereços, permitindo redirecionar pacotes recebidos para outro usuário, enviar pacotes fora do canal VPN criptografado ou detectar portas de rede abertas no lado do cliente.
Mitigação
Os pesquisadores mencionam que para mitigar o ataque, Recomenda-se que provedores de VPN implementem técnicas para randomizar números da porta de origem no NAT, limita o número de conexões simultâneas permitidas ao servidor VPN por usuário e restringe a capacidade do cliente de selecionar a porta que recebe solicitações no servidor VPN.
Um representante da Proton AG comentou que:
O ataque não afeta os serviços VPN que usam endereços IP diferentes para solicitações de entrada e saída. Além disso, existem dúvidas sobre a viabilidade do ataque a serviços VPN reais, pois até agora só foi demonstrado com sucesso em testes de laboratório, exigindo condições específicas tanto no servidor VPN como no cliente atacado. O ataque também é menos eficaz contra tráfego criptografado, como TLS e HTTPS, já que seu principal uso é na manipulação de solicitações não criptografadas, como consultas DNS.
Além disso, os ataques que manipulam tabelas de tradução de endereços afetam não apenas VPNs, mas também redes sem fio que usam NAT no ponto de acesso para conectar usuários a recursos externos. No mês passado, um estudo revelou que um ataque semelhante poderia interceptar conexões TCP de outros usuários em redes sem fio, sendo eficaz em 24 dos 33 pontos de acesso sem fio testados.
O ataque proposto para redes Wi-Fi revelou-se muito mais simples do que o método para VPN. Isso ocorre porque muitos pontos de acesso, ao empregarem otimizações, não verificam a precisão dos números de sequência nos pacotes TCP.
Finalmente, se você estiver interessado em saber mais sobre isso, você pode verificar os detalhes no link a seguir