🥇Атаката TunnelVision, позволяваща пренасочване на VPN трафик чрез манипулации с DHCP

На вниманието на обществеността е предоставен метод на атака TunnelVision, който позволява, при наличие на достъп до локална мрежа или контрол над безжичната мрежа, да се пренасочи трафикът на жертвата към собствен хост, заобикаляйки VPN (вместо да се изпраща чрез VPN, трафикът ще бъде изпратен в открит вид, без тунелиране към системата на атакуващия). Проблемът засяга всички VPN клиенти, които не използват изолирани имена на пространство на мрежовата подсистема (network namespace) при пренасочване на трафика в тунела или не задават при настройка на тунела правила за пакетно филтриране, забраняващи маршрутизация на VPN трафик през наличните физически мрежови интерфейси.

Същността на атаката е в това, че атакуващият може да стартира свой DHCP сървър и да го използва за предаване на информация на клиента за промяна на маршрутизацията. В частност, атакуващият може да се възползва от предоставената в протокола DHCP опция 121 (RFC-3442, приета през 2002 година), предназначена за предаване на информация за статични маршрути, за да внесе изменения в таблицата за маршрутизация на машината жертва и да насочи трафика наобратно VPN. Пренасочването се извършва чрез задаване на серия от маршрути за подсетите с префикс /1, които имат по-висок приоритет от използвания по подразбиране маршрут с префикс /0 (0.0.0.0/0), съответно трафикът вместо зададения за VPN виртуален мрежови интерфейс, ще бъде насочен през физическия мрежови интерфейс към хоста на атакуващия в локалната мрежа.

Атаката може да бъде осъществена в всякакви операционни системи, поддържащи опция 121 на DHCP, включително Linux, Windows, iOS и macOS, независимо от използвания протокол VPN (Wireguard, OpenVPN, IPsec) и набора от криптографски алгоритми. Платформата Android не е подложена на атака, тъй като не обработва опция 121 в DHCP. При това атаката позволява достъп до трафика, но не предоставя възможност за намеса в връзките и определяне на съдържанието, предавано с използването на защитени протоколи на ниво приложения, като TLS и SSH, например, атакуващият не може да определи съдържанието на запитванията по HTTPS, но може да разбере към какви сървъри те са изпратени.

За защита от атаки може да се забрани на ниво пакетен филтър изпращането на пакети, адресирани към VPN интерфейса, през други мрежови интерфейси; да се блокират DHCP пакети с опция 121; да се използва VPN в отделна виртуална машина (или контейнер), изолирана от външната мрежа, или да се прилагат специални режими на настройка на тунели, използващи пространства от имена в Linux (network namespace). За експерименти с провеждане на атака е публикуван набор от скриптове.

Може да се отбележи, че идеята за локални промени в маршрутизацията не е нова и по-рано обикновено е била използвана в атаки, нацелени на подмяна на DNS сървъра. В подобна атака TunnelCrack, при която пренасочването на трафика е осъществено чрез замяна на шлюза по подразбиране, проблемът е засягал всички проверени VPN клиенти за iOS, в 87.5% от VPN клиентите за macOS, 66.7% за Windows, 35.7% за Linux и 21.4% за Android. В контекста на VPN и DHCP методът също е споменат по-рано, например, на него е посветен един от докладите на миналогодишната конференция USENIX 2023 (изследването показа, че 64.6% от 195 тествани VPN клиенти са податливи на атака).

За подмяна на маршрути по-рано също е предлагано използването на специално оформен USB ключ, симулиращ работа на мрежов адаптер, който при свързване към компютър чрез DHCP се обявява за шлюз. Освен това, при наличие на контрол над шлюза (например, при свързване на жертвата към контролирана от атакуващия безжична мрежа) е разработена техника за подмяна на пакети в тунела, възприемани в контекста на VPN интерфейса.

Потоци данни при използване на VPN: