มีการเปิดเผยว่าเมื่อเร็ว ๆ นี้มีการค้นพบวิธีการที่ทำให้ผู้โจมตีสามารถบังคับให้ข้อมูลของผู้ใช้ไหลออกนอกอุโมงค์ VPN โดยใช้คุณสมบัติในตัวของโปรโตคอล DHCP ได้
วิธีการโจมตีแบบใหม่นี้ซึ่งได้รับการขนานนามว่า"TunnelVision" อนุญาตให้ผู้โจมตีเปลี่ยนเส้นทางการรับส่งข้อมูลของเหยื่อผ่านโฮสต์ของผู้โจมตี (โดยมีเงื่อนไขว่าผู้โจมตีต้องสามารถเข้าถึงเครือข่ายท้องถิ่นหรือควบคุมเครือข่ายไร้สายได้)
สิ่งสำคัญที่ควรทราบคือแนวคิดเรื่องการเปลี่ยนแปลงเส้นทางการกำหนดเส้นทางภายในเครือข่ายนั้นไม่ใช่เรื่องใหม่และถูกนำมาใช้กันอย่างแพร่หลายในการโจมตีที่ออกแบบมาเพื่อปลอมแปลงเซิร์ฟเวอร์ DNS ตัวอย่างเช่น TunnelCrack ซึ่งเปลี่ยนเส้นทางการรับส่งข้อมูลผ่านเกตเวย์เริ่มต้นทดแทน ส่งผลกระทบต่อไคลเอนต์ VPN บน iOS ที่ทดสอบทั้งหมด รวมถึง VPN บน macOS, Windows, Linux และ Android ด้วย
เกี่ยวกับทันเนลวิชั่น
มีการกล่าวถึงว่าหัวใจสำคัญของ TunnelVision คือผู้โจมตีสามารถเริ่มต้นเซิร์ฟเวอร์ DHCP ของตนเองและใช้ส่งข้อมูลไปยังไคลเอ็นต์เพื่อเปลี่ยนแปลงเส้นทางได้โดยเฉพาะอย่างยิ่ง ผู้โจมตีสามารถใช้ตัวเลือก DHCP 121ซึ่งออกแบบมาเพื่อส่งข้อมูลเส้นทางแบบคงที่เพื่อแก้ไขตารางเส้นทางบนเครื่องของเหยื่อและกำหนดทิศทางการรับส่งข้อมูลโดยไม่ต้องผ่าน VPN
วัตถุประสงค์ของการวิจัยนี้คือเพื่อทดสอบเทคนิคนี้กับผู้ให้บริการ VPN สมัยใหม่เพื่อระบุช่องโหว่และแจ้งให้สาธารณชนทั่วไปทราบเกี่ยวกับปัญหานี้ นี่คือเหตุผลที่เราตกลงกับ CISA ที่จะยื่น CVE เมื่อเราเปิดเผยต่อพวกเขา และเหตุใดเราจึงตัดสินใจตั้งชื่อช่องโหว่ดังกล่าว
การเปลี่ยนเส้นทางทำได้โดยการกำหนดค่าเส้นทางต่างๆ สำหรับซับเน็ตที่มีคำนำหน้า /1ซึ่งมีลำดับความสำคัญสูงกว่าเส้นทางเริ่มต้นที่มีคำนำหน้า /0 ดังนั้น แทนที่จะใช้พอร์ตเชื่อมต่อเครือข่ายเสมือนที่กำหนดค่าไว้สำหรับ VPN การรับส่งข้อมูลจะถูกส่งผ่านพอร์ตเชื่อมต่อเครือข่ายทางกายภาพไปยังโฮสต์ของผู้โจมตีบนเครือข่ายท้องถิ่น
แทนที่จะส่งข้อมูลผ่าน VPN ข้อมูลจะถูกส่งเป็นข้อความธรรมดาโดยไม่มีอุโมงค์ไปยังระบบของผู้โจมตีปัญหานี้ส่งผลกระทบต่อไคลเอนต์ VPN ใดๆ ที่ไม่ได้ใช้เน็ตเวิร์กเนมสเปซแบบแยกส่วนเพื่อกำหนดเส้นทางข้อมูลไปยังอุโมงค์ หรือที่ไม่ได้กำหนดกฎการกรองแพ็กเก็ตที่ห้ามการกำหนดเส้นทางข้อมูล VPN ผ่านอินเทอร์เฟซเครือข่ายทางกายภาพที่มีอยู่
TunnelVision สามารถใช้งานได้บนระบบใดๆ ที่รองรับ DHCP option 121รวมถึง Linux, Windows, iOS และ macOS โดยไม่คำนึงถึงโปรโตคอล VPN ที่ใช้ (Wireguard, OpenVPN, IPsec) และชุดการเข้ารหัสที่ใช้
มีการกล่าวว่าAndroid ไม่เสี่ยงต่อการโจมตีนี้เนื่องจากไม่ได้ประมวลผลตัวเลือก 121 ใน DHCPแม้ว่าการโจมตีจะทำให้สามารถเข้าถึงข้อมูลการรับส่งได้ แต่ก็ไม่สามารถดักจับการเชื่อมต่อหรือระบุเนื้อหาที่ส่งผ่านโปรโตคอลระดับแอปพลิเคชันที่ปลอดภัย เช่น TLS และ SSH ได้ ตัวอย่างเช่น ผู้โจมตีไม่สามารถระบุเนื้อหาของคำขอที่ส่งผ่าน HTTPS ได้ แต่สามารถเข้าใจได้ว่าคำขอเหล่านั้นถูกส่งไปยังเซิร์ฟเวอร์ใด
เพื่อป้องกันการโจมตีสามารถใช้มาตรการหลายอย่างในระดับการกรองแพ็กเก็ตได้ เช่น การห้ามส่งแพ็กเก็ตที่มุ่งไปยังอินเทอร์เฟซ VPN ผ่านอินเทอร์เฟซเครือข่ายอื่น การบล็อกแพ็กเก็ต DHCP ด้วยตัวเลือก 121 การใช้ VPN ภายในเครื่องเสมือนหรือคอนเทนเนอร์ที่แยกต่างหากจากเครือข่ายภายนอก หรือการใช้โหมดการกำหนดค่าอุโมงค์พิเศษที่ใช้เนมสเปซเครือข่ายของ Linux
เพื่อปลอมแปลงเส้นทางมีการพัฒนาอุปกรณ์ USB ดองเกิลที่ออกแบบมาเป็นพิเศษซึ่งจำลองการทำงานของอะแดปเตอร์เครือข่าย และเมื่อเชื่อมต่อกับคอมพิวเตอร์ผ่าน DHCP จะประกาศตัวเองเป็นเกตเวย์ นอกจากนี้ เมื่อเกตเวย์อยู่ภายใต้การควบคุมของผู้โจมตี (ตัวอย่างเช่น เมื่อเหยื่อเชื่อมต่อกับเครือข่ายไร้สายที่ผู้โจมตีควบคุม) ได้มีการพัฒนาเทคนิคเพื่อฉีดแพ็กเก็ตเข้าไปในอุโมงค์ซึ่งถูกมองว่ามาจากอินเทอร์เฟซเครือข่าย VPN นอกจากนี้ยังมีการเผยแพร่สคริปต์หลายตัวสำหรับการทดลองโจมตีเหล่านี้ด้วย
สุดท้ายนี้ หากคุณสนใจเรียนรู้เพิ่มเติมเกี่ยวกับเรื่องนี้คุณสามารถดูรายละเอียดได้ที่ลิงก์ต่อไปนี้