Un gruppo di ricercatori di università canadesi e americane ha sviluppato una tecnica di attacco chiamata Port Shadow, che consente, tramite la manipolazione delle tabelle di traduzione degli indirizzi sul lato del server VPN, di inviare la risposta a una richiesta a un altro utente connesso allo stesso server VPN. Questo metodo può essere utilizzato per intercettare o reindirizzare il traffico crittografato, eseguire scansioni delle porte e de-anonimizzare gli utenti VPN. Come esempio, viene mostrato come utilizzare il metodo per reindirizzare a un host maligno le richieste DNS di un utente che sta lavorando tramite un server VPN al quale l'attaccante ha accesso come cliente.
Per eseguire l'attacco, l'attaccante deve avere la possibilità di connettersi a un VPN-server insieme alla vittima, il che è possibile, ad esempio, utilizzando tipici operatori VPN e servizi VPN pubblici che forniscono accesso a chiunque lo desideri. La vulnerabilità interessa i server VPN che utilizzano la traduzione degli indirizzi (NAT) per far accedere i clienti a risorse esterne, a patto che per ricevere il traffico dai clienti e inviare richieste a siti esterni si utilizzi server lo stesso indirizzo IP.
L'attacco si basa sul fatto che, inviando richieste formattate in modo specifico, l'attaccante connesso allo stesso server VPN e utilizzando lo stesso NAT può ottenere una distorsione del contenuto delle tabelle di traduzione degli indirizzi, il che porterà a far sì che i pacchetti indirizzati a un utente vengano inviati a un altro utente. Nelle tabelle di traduzione degli indirizzi, le informazioni circa quale indirizzo IP interno è associato alla richiesta inviata sono determinate in base al numero della porta di rete sorgente utilizzato durante l'invio della richiesta. L'attaccante, inviando determinati pacchetti SYN e ACK e simultaneamente manipolando il collegamento del cliente al server VPN e dal lato del server esterno controllato dall'attaccante, può ottenere l'emergere di una collisione nella tabella NAT e l'aggiunta di una voce con lo stesso numero di porta sorgente, ma associata al proprio indirizzo locale, il che porterà a restituire le risposte a una richiesta altrui all'indirizzo dell'attaccante.
Durante lo studio sono stati testati i sistemi di traduzione degli indirizzi Linux e FreeBSD in combinazione con VPN come OpenVPN, OpenConnect e WireGuard. La piattaforma FreeBSD si è dimostrata resistente ai metodi di attacco di reindirizzamento delle richieste effettuati da altri utenti connessi alla stessa VPN. La sostituzione nelle tabelle NAT è stata possibile solo durante l'attacco ATIP (Adjacent-to-In-Path), nel quale l'attaccante può interferire con il traffico tra l'utente e il server VPN (ad esempio, quando l'utente si connette a una rete Wi-Fi controllata dall'attaccante) o tra il server VPN e il sito target. Inoltre, il NAT di FreeBSD è stato colpito anche dall'attacco, che consente di determinare se l'utente è connesso a un determinato sito (Connection Inference).
Per quanto riguarda Linux, il sottosistema Netfilter si è rivelato vulnerabile agli attacchi di sostituzione delle voci nella tabella di traduzione degli indirizzi, che consentono di reindirizzare i pacchetti in entrata a un altro utente, di inviare pacchetti al di fuori del canale VPN crittografato (Decapsulation) o di determinare le porte di rete aperte sul lato client.
Come misure per bloccare l'attacco, si raccomanda ai fornitori di VPN di utilizzare metodi adeguati di randomizzazione dei numeri delle porte sorgenti nel NAT, di limitare il numero di connessioni simultanee consentite al server VPN da parte di un singolo utente e di bloccare la possibilità per il cliente di scegliere la porta di rete che riceve le richieste sul lato server VPN.
Secondo un rappresentante dell'azienda Proton AG, l'attacco non colpisce i servizi VPN che utilizzano IP separati per le richieste in entrata e in uscita. Inoltre, ci sono dubbi sulla possibilità di applicare l'attacco ai reali servizi VPN, poiché l'attacco riuscito è stato dimostrato finora solo in test di laboratorio e richiede l'adempimento di determinate condizioni da parte del server VPN e del client attaccato. Inoltre, l'attacco potrebbe essere utile solo per manovre su richieste non crittografate, come le richieste DNS, mentre l'uso di TLS e HTTPS a livello di applicazione rende il reindirizzamento del traffico inutile.
Le tecniche di manipolazione delle tabelle di traduzione degli indirizzi non sono applicabili solo alle VPN, ma anche alle reti wireless, dove per collegare gli utenti a risorse esterne è usato il NAT nei punti di accesso. Il mese scorso sono stati pubblicati i risultati di uno studio sulla possibilità di effettuare un attacco simile per intercettare le connessioni TCP di altri utenti nella rete wireless. Il metodo di attacco si è rivelato applicabile a 24 dei 33 punti di accesso wireless testati.
L'attacco proposto per il Wi-Fi si è rivelato significativamente più semplice rispetto al metodo sopra menzionato per le VPN, poiché a causa delle ottimizzazioni applicate, molti punti di accesso non verificano la correttezza dei numeri di sequenza nei pacchetti TCP. Di conseguenza, per l'attacco era sufficiente inviare un pacchetto RST fasullo per pulire la voce nella tabella di traduzione degli indirizzi e poi far sì che la risposta fosse indirizzata all'host dell'attaccante per determinare i numeri di sequenza (SEQ) e di conferma (ACK) necessari per intercettare la connessione TCP.
Fonte: opennet.ru
