Уязвимости TunnelCrack в VPN-клиентах | Блог Касперского

[KL FC Bot]

Основная цель VPN — зашифровать ваше интернет-соединение, защитив информацию от перехвата, просмотра и изменения.  Этим пользуются компании для обеспечения безопасной дистанционной работы или для организации связи между филиалами. В быту же VPN помогает защитить конфиденциальность и получить доступ к контенту из определенного региона.  Недавно разглашенные уязвимости TunnelCrack позволяют нарушить работу VPN, частично лишая пользователей защиты. Проблема касается большинства корпоративных и бытовых VPN. Как это возможно и что делать для защиты?

В чем суть TunnelCrack

Если подключиться к зловредной точке доступа Wi-Fi или злонамеренному провайдеру Интернета, он может выдать компьютеру или телефону такие настройки, что часть трафика приложений пойдет в незашифрованном виде мимо VPN-туннеля и будет доступна для анализа и изменений. Атака работает вне зависимости от того, какой конкретно VPN-протокол используется для соединения. Но перенаправить весь трафик таким образом затруднительно, так что атакующему придется выбрать какой-то конкретный список интересующих его сайтов и серверов, за общением с которыми он хочет подсматривать.

В атаке эксплуатируется настройка исключений, которая предусмотрена во всех клиентах VPN. Каждое исключение направляет часть трафика мимо зашифрованного VPN-канала. Эта функция действительно нужна как минимум в двух случаях.

Во-первых, чтобы не пускать в VPN-туннель трафик между локальными устройствами. Если ваш компьютер транслирует изображение на ваш же телевизор по локальной сети, делать это через VPN не нужно.

 

Посмотреть статью полностью

[Umnik]

3 hours ago, KL FC Bot said:

Основная цель VPN — зашифровать ваше интернет-соединение, защитив информацию от перехвата, просмотра и изменения. 

Узнай автора статьи по первому предложению. Автор - Стан Камински. Потому что он не знает, в чём основная задача VPN. Задача VPN, Стан, связать устройства в единую сеть. Например, чтобы удалённый сотрудник мог из Перди подключиться к серверу внутри организации. Более того, VPN может быть даже без защиты подключения. К примеру, ещё несколько лет назад в Москве почти все провайдеры делали подключение к себе по L2TP,  который сам по себе перекладывает обеспечение шифрования на других, так сказать. Играет роль "передаста".

 

Ну то есть в реальном мире VPN будет почти наверняка с шифрованием и всё такое, но это как говорить, что трафик сайтов зашифрован — ведь сегодня почти все сайты по https.

 

Quote

В быту же VPN помогает защитить конфиденциальность и получить доступ к контенту из определенного региона.

...Впрочем, использовать для этого VPN — это ошибка. // господи-божечки, дай мне уже сил и времени разъяснить, что вам почти наверняка не нужен VPN.

 

Quote

в то время как для Android проблема проявилась лишь в четверти приложений. Более того, под Android начиная с 12 версии провести атаку невозможно.

Смешались в кучу кони, люди. Стан как всегда, держит марку:

1. Невозможно провести никакой атаки на встроенных в Android 12 и новее VPN клиентах. Не про сторонние речь в 12+, а только про встроенный. Сторонние сами по себе и не связаны с версией ОС
2. На самом деле защищён Android 8 и новее (имеется в виду, опять же, встроенный VPN клиент), т.к. вторая уязвимость, которая исправлена для 12+, требует не защищённый DNS резолвинг. А исправлена проблема не в VPN, а в том, что Android 12 и новее принудительно использует защищённый DNS резолвер по умолчанию, прям на уровне системы. То есть до 12-го ни одно приложение, которое бы использовало тоже нормальный резолвер (всякие банковские + браузеры), тоже бы не попалось

Quote

Кстати, стандартный клиент VPN, встроенный в Windows, уязвим к этим атакам, и на момент подготовки этого поста Microsoft не планировала выпуск патчей.

Потому что встроенные VPN клиенты, это, как правило, просто заглушки, чтобы хоть как-то работало. Они не рассчитаны на реальную работу. Для реальной работы будут ставить сторонние. Ну то есть лучше, когда проблем нет вовсе, конечно, но в данном случае это как переживать про проблемы со встроенным wordpad, которым никто не пользуется.

Quote

Если там есть опция «пропускать локальный трафик без VPN» или «разрешить доступ к локальной сети», ее нужно отключить.

Я, конечно, мало VPN клиентов видел, но те, которые видел, имели ровно обратную настройку: блокировать local network. В этом случае она должна быть включена

[Friend]

Хм, я ожидал в статье рекомендации использовать Kaspersky Secure Connection. Если его не рекламируют, значит он тоже уязвим, прав ли я @Umnik ?

 

[Umnik]

Я не знаю, не проверял. Может банально не хотели проверять российское ПО.