Mới đây, người ta đã phát hiện ra một phương pháp cho phép kẻ tấn công buộc lưu lượng truy cập của người dùng phải thoát khỏi đường hầm VPN bằng cách sử dụng các tính năng tích hợp sẵn của giao thức DHCP.
Được mệnh danh là "TunnelVision", phương pháp tấn công mới này cho phép chuyển hướng lưu lượng truy cập của nạn nhân thông qua máy chủ của kẻ tấn công (với điều kiện kẻ tấn công có quyền truy cập vào mạng cục bộ hoặc kiểm soát mạng không dây).
Điều quan trọng cần lưu ý là ý tưởng thay đổi định tuyến cục bộ không phải là mới và đã được sử dụng phổ biến trong các cuộc tấn công nhằm giả mạo máy chủ DNS. Ví dụ, TunnelCrack, bằng cách chuyển hướng lưu lượng truy cập thông qua cổng mặc định thay thế, đã ảnh hưởng đến tất cả các ứng dụng VPN iOS được thử nghiệm, cũng như các VPN trên macOS, Windows, Linux và Android.
Giới thiệu về TunnelVision
Theo như thông tin được đề cập, bản chất của TunnelVision là kẻ tấn công có thể khởi động máy chủ DHCP riêng của mình và sử dụng nó để gửi thông tin đến máy khách nhằm thay đổi định tuyến . Cụ thể, kẻ tấn công có thể sử dụng tùy chọn DHCP 121, được thiết kế để truyền thông tin định tuyến tĩnh , để sửa đổi bảng định tuyến trên máy của nạn nhân và chuyển hướng lưu lượng truy cập mà không cần thông qua VPN.
Mục đích của nghiên cứu này là kiểm tra kỹ thuật này với các nhà cung cấp VPN hiện đại để xác định lỗ hổng của họ và thông báo cho công chúng về vấn đề này. Đây là lý do tại sao chúng tôi đã đồng ý với CISA gửi CVE khi chúng tôi tiết lộ cho họ và lý do chúng tôi quyết định đặt tên cho lỗ hổng.
Việc chuyển hướng được thực hiện bằng cách cấu hình một loạt các tuyến đường cho các mạng con với tiền tố /1 , có độ ưu tiên cao hơn tuyến đường mặc định với tiền tố /0. Do đó, thay vì giao diện mạng ảo được cấu hình cho VPN, lưu lượng truy cập sẽ được chuyển hướng qua giao diện mạng vật lý đến máy chủ của kẻ tấn công trên mạng cục bộ.
Thay vì được gửi qua VPN, lưu lượng truy cập được gửi dưới dạng văn bản thuần túy mà không qua đường hầm đến hệ thống của kẻ tấn công. Vấn đề này ảnh hưởng đến bất kỳ máy khách VPN nào không sử dụng không gian tên mạng biệt lập để định tuyến lưu lượng truy cập đến đường hầm hoặc không thiết lập các quy tắc lọc gói tin cấm định tuyến lưu lượng VPN qua các giao diện mạng vật lý hiện có.
TunnelVision có thể được thực hiện trên bất kỳ hệ thống nào hỗ trợ tùy chọn DHCP 121 , bao gồm Linux, Windows, iOS và macOS, bất kể giao thức VPN được sử dụng (Wireguard, OpenVPN, IPsec) và bộ mã hóa được áp dụng.
Bài viết đề cập rằng Android không dễ bị tấn công kiểu này vì nó không xử lý tùy chọn 121 trong DHCP . Mặc dù cuộc tấn công cho phép truy cập vào lưu lượng truy cập, nhưng nó không cho phép chặn các kết nối hoặc xác định nội dung được truyền qua các giao thức cấp ứng dụng an toàn, chẳng hạn như TLS và SSH. Ví dụ, kẻ tấn công không thể xác định nội dung của các yêu cầu được gửi qua HTTPS, nhưng có thể biết các yêu cầu đó được gửi đến máy chủ nào.
Để phòng chống tấn công, có thể thực hiện một số biện pháp ở cấp độ lọc gói tin: cấm gửi các gói tin hướng đến giao diện VPN thông qua các giao diện mạng khác, chặn các gói DHCP với tùy chọn 121, sử dụng VPN trong một máy ảo hoặc container riêng biệt được cách ly khỏi mạng bên ngoài, hoặc sử dụng các chế độ cấu hình đường hầm đặc biệt sử dụng không gian tên mạng Linux.
Để giả mạo các tuyến đường , một thiết bị USB đặc biệt đã được phát triển để mô phỏng hoạt động của bộ chuyển đổi mạng và, khi được kết nối với máy tính qua DHCP, tự nhận mình là cổng kết nối. Hơn nữa, khi cổng kết nối nằm dưới sự kiểm soát của kẻ tấn công (ví dụ: khi nạn nhân kết nối với mạng không dây do kẻ tấn công kiểm soát), một kỹ thuật đã được phát triển để chèn các gói tin vào đường hầm mà kẻ tấn công cho rằng chúng xuất phát từ giao diện mạng VPN. Một số kịch bản cũng đã được công bố để thử nghiệm các cuộc tấn công này.
Cuối cùng, nếu bạn muốn tìm hiểu thêm về vấn đề này , bạn có thể xem chi tiết tại liên kết sau.