事実上すべての VPN アプリに対する新たな攻撃により、その目的全体が無力化される

研究者らは、ほぼすべての仮想プライベート ネットワーク アプリケーションに対して、スヌーピングや改ざんから保護するように設計された暗号化トンネルの外で一部またはすべてのトラフィックを強制的に送受信する攻撃を考案しました。

研究者らが攻撃名を付けた「TunnelVision」は、送受信するインターネット トラフィックを暗号化されたトンネルにカプセル化し、ユーザーの IP アドレスを隠蔽するという VPN の目的とセールス ポイント全体をほぼ無効にします。 研究者らは、VPN アプリケーションが敵対的なネットワークに接続されている場合、すべての VPN アプリケーションに影響を及ぼし、ユーザーの VPN が Linux または Android 上で実行されている場合を除いて、このような攻撃を防ぐ方法はないと考えています。 彼らはまた、彼らの攻撃手法は2002年から可能であった可能性があり、それ以来すでに発見され、実際に使用されていた可能性があるとも述べた。

VPN トラフィックの読み取り、ドロップ、または変更

TunnelVision の効果は、「被害者のトラフィックのクローキングが解除され、攻撃者を直接経由してルーティングされるようになる」とビデオ デモンストレーションで説明されています。 「攻撃者は漏洩したトラフィックを読み取り、ドロップし、変更することができますが、被害者は VPN とインターネットの両方への接続を維持します。」

この攻撃は、ローカル ネットワークに接続しようとするデバイスに IP アドレスを割り当てる DHCP サーバーを操作することによって機能します。 オプション 121 として知られる設定を使用すると、DHCP サーバーは、暗号化されたトンネルを開始するローカル IP アドレスを介して VPN トラフィックを送信するデフォルトのルーティング ルールをオーバーライドできます。 オプション 121 を使用して VPN トラフィックを DHCP サーバー経由でルーティングすることにより、攻撃はデータを DHCP サーバー自体に転送します。 Leviathan Security の研究者は次のように説明しました。

私たちの手法は、対象の VPN ユーザーと同じネットワーク上で DHCP サーバーを実行し、それ自体をゲートウェイとして使用するように DHCP 構成を設定することです。 トラフィックがゲートウェイに到達すると、DHCP サーバー上のトラフィック転送ルールを使用して、トラフィックを正規のゲートウェイに通過させ、その間にそのゲートウェイを覗き見します。

DHCP オプション 121 を使用して、VPN ユーザーのルーティング テーブルにルートを設定します。 設定するルートは任意であり、必要に応じて複数のルートを設定することもできます。 ほとんどの VPN が使用する /0 CIDR 範囲よりも具体的なルートをプッシュすることで、VPN が作成する仮想インターフェイスのルートよりも高い優先順位を持つルーティング ルールを作成できます。 複数の /1 ルートを設定して、ほとんどの VPN で設定されている 0.0.0.0/0 のすべてのトラフィック ルールを再作成できます。

ルートをプッシュすると、ネットワーク トラフィックが仮想ネットワーク インターフェイスではなく DHCP サーバーと同じインターフェイスを介して送信されることも意味します。 これは意図された機能ですが、RFC には明確に記載されていません。 したがって、プッシュするルートは VPN の仮想インターフェイスによって暗号化されることはなく、代わりに DHCP サーバーと通信するネットワーク インターフェイスによって送信されます。 攻撃者は、どの IP アドレスがトンネルを経由し、どのアドレスがネットワーク インターフェイスを経由して DHCP サーバーと通信するかを選択できます。

現在、トラフィックは VPN の暗号化されたトンネルの外に送信されています。 この手法は、VPN ユーザーのホストが DHCP サーバーからのリースを更新する必要がある場合に、すでに確立されている VPN 接続に対して使用することもできます。 DHCP リースに短いリース時間を設定することで、そのシナリオを人為的に作成できるため、ユーザーはルーティング テーブルをより頻繁に更新できます。 さらに、VPN 制御チャネルは通信にすでに物理インターフェイスを使用しているため、そのまま残ります。 私たちのテストでは、VPN は常に接続済みとして報告され続け、キル スイッチが VPN 接続を切断することはありませんでした。

この攻撃は、ターゲットが接続しているネットワークを管理制御している人が最も効果的に実行できます。 このシナリオでは、攻撃者はオプション 121 を使用するように DHCP サーバーを構成します。特権のないユーザーとしてネットワークに接続できるユーザーが、独自の不正な DHCP サーバーをセットアップして攻撃を実行することも可能です。

この攻撃により、一部またはすべてのトラフィックが暗号化されていないトンネルを経由してルーティングされるようになります。 どちらの場合も、VPN アプリケーションは、すべてのデータが保護された接続を通じて送信されていることを報告します。 このトンネルから迂回されるトラフィックは VPN によって暗号化されず、リモート ユーザーが表示できるインターネット IP アドレスは、VPN アプリによって指定されたネットワークではなく、VPN ユーザーが接続しているネットワークに属します。

興味深いことに、Android はオプション 121 を実装していないため、VPN アプリを攻撃から完全に防御する唯一のオペレーティング システムです。他のすべての OS については、完全な修正はありません。 Linux でアプリを実行する場合、影響を最小限に抑える設定がありますが、それでも TunnelVision を使用してサイド チャネルを悪用し、宛先トラフィックの匿名化を解除し、標的型サービス拒否攻撃を実行することができます。 ネットワーク ファイアウォールは、物理インターフェイスとの間の受信および送信トラフィックを拒否するように構成することもできます。 この解決策には 2 つの理由から問題があります。(1) 信頼されていないネットワークに接続している VPN ユーザーにはファイアウォールを制御する能力がない、(2) Linux 軽減策に存在するのと同じサイド チャネルが開かれる。

最も効果的な修正は、ネットワーク アダプターがブリッジ モードになっていない仮想マシン内で VPN を実行するか、携帯端末の Wi-Fi ネットワーク経由で VPN をインターネットに接続することです。 Leviathan Security 研究者の Lizzie Moratti 氏と Dani Cronce 氏による調査結果は、ここから入手できます。