Недавно стало известно об обнаружении метода , позволяющего злоумышленнику принудительно выводить трафик пользователя из VPN-туннеля, используя встроенные функции протокола DHCP.
Этот новый метод атаки , получивший название «TunnelVision», позволяет перенаправлять трафик жертвы через хост злоумышленника (при условии, что злоумышленник имеет доступ к локальной сети или контролирует беспроводную сеть).
Важно отметить, что идея изменения локальной маршрутизации не нова и широко используется в атаках, направленных на подмену DNS-серверов. Например, TunnelCrack, перенаправлявший трафик через заменяющий шлюз по умолчанию, затронул все протестированные VPN-клиенты для iOS, а также VPN-сервисы для macOS, Windows, Linux и Android.
О ТуннельВидение
Упоминается, что суть TunnelVision заключается в том, что злоумышленник может запустить собственный DHCP-сервер и использовать его для отправки информации клиенту с целью изменения маршрутизации . В частности, злоумышленник может использовать опцию DHCP 121, предназначенную для передачи информации о статических маршрутах , чтобы изменить таблицу маршрутизации на машине жертвы и направлять трафик через VPN.
Целью данного исследования было протестировать эту технику на современных провайдерах VPN, чтобы определить их уязвимость и уведомить широкую общественность об этой проблеме. Вот почему мы договорились с CISA подать CVE, когда сообщим им об этом, и почему мы решили назвать уязвимость.
Перенаправление достигается путем настройки ряда маршрутов для подсетей с префиксом /1 , которые имеют более высокий приоритет, чем маршрут по умолчанию с префиксом /0. Следовательно, вместо виртуального сетевого интерфейса, настроенного для VPN, трафик будет направляться через физический сетевой интерфейс к хосту злоумышленника в локальной сети.
Вместо того чтобы передаваться через VPN, трафик отправляется в открытом виде без туннеля в систему злоумышленника. Эта проблема затрагивает любой VPN-клиент, который не использует изолированные сетевые пространства имен для маршрутизации трафика к туннелю или который не устанавливает правила фильтрации пакетов, запрещающие маршрутизацию VPN-трафика через существующие физические сетевые интерфейсы.
TunnelVision можно запустить на любой системе, поддерживающей опцию DHCP 121 , включая Linux, Windows, iOS и macOS, независимо от используемого протокола VPN (Wireguard, OpenVPN, IPsec) и набора шифров.
Упоминается, что Android не подвержен этой атаке, поскольку не обрабатывает опцию 121 в DHCP . Хотя атака позволяет получить доступ к трафику, она не позволяет перехватывать соединения или определять содержимое, передаваемое по защищенным протоколам прикладного уровня, таким как TLS и SSH. Например, злоумышленник не может определить содержимое запросов, отправляемых по HTTPS, но может понять, на какие серверы отправляются запросы.
Для защиты от атаки на уровне фильтрации пакетов можно реализовать несколько мер: запрет отправки пакетов, предназначенных для VPN-интерфейса, через другие сетевые интерфейсы, блокировка DHCP-пакетов с опцией 121, использование VPN в отдельной виртуальной машине или контейнере, изолированном от внешней сети, или использование специальных режимов конфигурации туннеля, использующих сетевые пространства имен Linux.
Для подмены маршрутов был разработан специальный USB-адаптер , имитирующий работу сетевого адаптера и, при подключении к компьютеру через DHCP, объявляющий себя шлюзом. Кроме того, когда шлюз находится под контролем злоумышленника (например, когда жертва подключается к беспроводной сети, контролируемой злоумышленником), разработана методика внедрения в туннель пакетов, которые воспринимаются как исходящие от сетевого интерфейса VPN. Также опубликовано несколько скриптов для экспериментов с этими атаками.
Наконец, если вас интересует более подробная информация по этому вопросу , вы можете найти ее по следующей ссылке.