Un gruppo di ricercatori provenienti da università canadesi e americane ha sviluppato una tecnica di attacco chiamata Port Shadow, che consente, attraverso la manipolazione delle tabelle di traduzione degli indirizzi sul server VPN, di inviare una risposta a una richiesta a un altro utente connesso allo stesso server VPN. Questo metodo può essere impiegato per effettuare intercettazioni o reindirizzamenti del traffico crittografato, condurre scansioni delle porte e deanonimizzare gli utenti della VPN. Come esempio, è mostrato come questo metodo possa essere utilizzato per reindirizzare le richieste DNS di un utente, che sta lavorando attraverso un server VPN, verso un host controllato dall'attaccante.
Per compiere l'attacco, l'attaccante deve essere in grado di collegarsi a uno VPN-server con la vittima, il che è possibile, ad esempio, utilizzando operatori VPN standard e servizi VPN pubblici che offrono accesso a chiunque lo desideri. La vulnerabilità colpisce i server VPN che utilizzano la traduzione degli indirizzi (NAT) per organizzare le richieste dei clienti verso risorse esterne, mentre per ricevere il traffico dai clienti e inviare richieste a siti web esterni deve server essere utilizzato lo stesso indirizzo IP.
L'attacco si basa sul fatto che, mediante l'invio di richieste appositamente formulate, un attaccante connesso allo stesso server VPN e utilizzando lo stesso NAT può indurre una distorsione del contenuto delle tabelle di traduzione degli indirizzi, il che porterà a far sì che i pacchetti indirizzati a un utente siano inviati a un altro utente. Nelle tabelle di traduzione degli indirizzi, le informazioni su quale indirizzo IP interno è associato alla richiesta inviata sono determinate in base al numero della porta di rete sorgente utilizzata per inviare la richiesta. L'attaccante, attraverso l'invio di specifici pacchetti SYN e ACK e manovre simultanee da parte della connessione client verso il server VPN e da parte di un server esterno controllato dall'attaccante, può causare una collisione nella tabella NAT e aggiungere una registrazione con lo stesso numero di porta sorgente, ma associata al suo indirizzo locale, il che porterà a risposte a richieste altrui inviate all'indirizzo dell'attaccante.
Durante la ricerca, sono stati testati i sistemi di traduzione degli indirizzi Linux e FreeBSD in combinazione con VPN OpenVPN, OpenConnect e WireGuard. La piattaforma FreeBSD si è dimostrata immune ai metodi di attacco di reindirizzamento delle richieste effettuate da altri utenti connessi allo stesso VPN. La sostituzione nelle tabelle NAT è stata possibile soltanto durante l'attacco ATIP (Adjacent-to-In-Path), in cui l'attaccante può infiltrarsi nel traffico tra l'utente e il server VPN (ad esempio, quando l'utente si connette a una rete Wi-Fi controllata dall'attaccante) o tra il server VPN e il sito obiettivo. In questo caso, anche il NAT di FreeBSD è stato coinvolto da un attacco che permette di determinare il fatto della connessione dell'utente a un sito specifico (Connection Inference).
Per quanto riguarda Linux, il sottosistema Netfilter si è dimostrato vulnerabile agli attacchi di sostituzione delle registrazioni nella tabella di traduzione degli indirizzi, permettendo di reindirizzare i pacchetti in entrata a un altro utente, di inviare pacchetti al di fuori del canale VPN crittografato (Decapsulation) o di identificare le porte di rete aperte lato cliente.
Come misure per bloccare l'attacco, si raccomanda ai fornitori VPN di utilizzare metodi adeguati di randomizzazione dei numeri delle porte sorgente nel NAT, limitare il numero di connessioni simultanee consentite al server VPN da un singolo utente e bloccare la possibilità per il cliente di scegliere la porta di rete che riceve le richieste lato server VPN.
Secondo un rappresentante di Proton AG, l'attacco non riguarda i servizi VPN che utilizzano indirizzi IP distinti per le richieste in ingresso e in uscita. Inoltre, ci sono dubbi sulla possibilità di applicare l'attacco a servizi VPN reali, poiché un attacco di successo è stato dimostrato finora solo in test di laboratorio e per condurlo è necessario soddisfare determinate condizioni sul server VPN e sul cliente attaccato. Inoltre, l'attacco potrebbe essere utile solo per manovre su richieste non crittografate, come le richieste DNS, mentre l'uso di TLS e HTTPS a livello applicativo rende il reindirizzamento del traffico inutile.
Le manipolazioni con le tabelle di traduzione degli indirizzi non sono applicabili solo ai VPN, ma anche alle reti wireless, dove l'accesso degli utenti a risorse esterne avviene tramite NAT sulla rete. Il mese scorso sono stati pubblicati i risultati di uno studio riguardante la possibilità di condurre attacchi simili per il furto delle connessioni TCP di altri utenti in una rete wireless. Il metodo di attacco si è rivelato efficace su 24 delle 33 reti wireless testate.
L'attacco proposto per il Wi-Fi si è rivelato notevolmente più semplice rispetto al metodo menzionato per i VPN, poiché, a causa di ottimizzazioni, molte reti non controllano la correttezza dei numeri di sequenza nei pacchetti TCP. Di conseguenza, per l'attacco è stato sufficiente inviare un pacchetto RST fasullo per svuotare la tabella di traduzione degli indirizzi, e poi ottenere la risposta dal host dell'attaccante per identificare i numeri di sequenza (SEQ) e di conferma (ACK) necessari per intercettare la connessione TCP.
Fonte: opennet.ru
