Було виявлено, що нещодавно було виявлено метод , який дозволяє зловмиснику вивести трафік користувача з його VPN-тунелю, використовуючи вбудовані функції протоколу DHCP.
Цей новий метод атаки , що отримав назву «TunnelVision», дозволяє перенаправляти трафік жертви через хост зловмисника (за умови, що зловмисник має доступ до локальної мережі або контролює бездротову мережу).
Важливо зазначити, що ідея локальних змін маршрутизації не є новою та широко використовується в атаках, спрямованих на підробку DNS-серверів. Наприклад, TunnelCrack, який перенаправляв трафік через заміну шлюзу за замовчуванням, вплинув на всі протестовані VPN-клієнти iOS, а також VPN для macOS, Windows, Linux та Android.
Про TunnelVision
Зазначається, що суть TunnelVision полягає в тому, що зловмисник може запустити власний DHCP-сервер і використовувати його для надсилання інформації клієнту з метою зміни маршрутизації . Зокрема, зловмисник може використовувати опцію DHCP 121, яка призначена для передачі статичної інформації про маршрут , щоб змінити таблицю маршрутизації на машині жертви та спрямувати трафік без використання VPN.
Мета цього дослідження полягала в тому, щоб перевірити цю техніку на сучасних провайдерах VPN, щоб визначити їх уразливість і повідомити широку громадськість про цю проблему. Ось чому ми погодилися з CISA подати CVE, коли ми розкриємо їм інформацію, і чому ми вирішили назвати вразливість.
Перенаправлення досягається шляхом налаштування серії маршрутів для підмереж з префіксом /1 , які мають вищий пріоритет, ніж маршрут за замовчуванням з префіксом /0. Отже, замість віртуального мережевого інтерфейсу, налаштованого для VPN, трафік буде спрямовано через фізичний мережевий інтерфейс до хоста зловмисника в локальній мережі.
Замість надсилання через VPN, трафік надсилається у звичайному тексті без тунелю до системи зловмисника. Ця проблема стосується будь-якого VPN-клієнта, який не використовує ізольовані простори імен мережі для маршрутизації трафіку до тунелю або не встановлює правила фільтрації пакетів, що забороняють маршрутизацію VPN-трафіку через існуючі фізичні мережеві інтерфейси.
TunnelVision можна використовувати на будь-якій системі, що підтримує DHCP-опцію 121 , включаючи Linux, Windows, iOS та macOS, незалежно від використовуваного VPN-протоколу (Wireguard, OpenVPN, IPsec) та використовуваного набору шифрів.
Зазначається, що Android не вразливий до цієї атаки, оскільки не обробляє параметр 121 у DHCP . Хоча атака дозволяє доступ до трафіку, вона не дозволяє перехоплювати з'єднання або визначати вміст, що передається через захищені протоколи рівня додатків, такі як TLS та SSH. Наприклад, зловмисник не може визначити вміст запитів, надісланих через HTTPS, але може зрозуміти, на які сервери надсилаються запити.
Для захисту від атаки на рівні фільтрації пакетів можна реалізувати кілька заходів: заборону надсилання пакетів, призначених для VPN-інтерфейсу, через інші мережеві інтерфейси, блокування DHCP-пакетів за допомогою опції 121, використання VPN в окремій віртуальній машині або контейнері, ізольованому від зовнішньої мережі, або використання спеціальних режимів конфігурації тунелю, що використовують мережеві простори імен Linux.
Для підробки маршрутів також було розроблено спеціально розроблений USB-адаптер , який імітує роботу мережевого адаптера та при підключенні до комп'ютера через DHCP оголошує себе шлюзом. Крім того, коли шлюз знаходиться під контролем зловмисника (наприклад, коли жертва підключається до бездротової мережі, контрольованої зловмисником), було розроблено техніку введення в тунель пакетів, які сприймаються як такі, що походять з мережевого інтерфейсу VPN. Також було опубліковано кілька скриптів для експериментування з цими атаками.
Зрештою, якщо ви зацікавлені дізнатися більше про це , ви можете знайти подробиці за наступним посиланням.