Metoda e sulmit TunnelVision është propozuar për publikun, e cila lejon, nëse ka qasje në rrjetin lokal ose kontrolle mbi rrjetin pa tel, të drejtojë trafikun e viktimës në hostin e tij, duke shmangur VPN-në (në vend që të dërgohet përmes VPN, trafiku do të dërgohet në mënyrë të hapur pa tunelizim në sistemin e sulmuesit). Problemi është se i gjithë klientët VPN janë të ndjeshëm, të cilët nuk përdorin hapësira të izoluara emrash për nënstrukturën e rrjetit (network namespace) kur drejtojnë trafikun në tunel ose nuk vendosin rregulla të filtrit të paketave që ndalojnë ruterimin e trafikut VPN përmes interfecesve fizikë të rrjetit të disponueshëm.
Qëllimi i sulmit është se sulmuesi mund të nisë serverin e tij DHCP dhe ta përdorë atë për të dërguar informacion te klienti për të ndryshuar ruterimin. Në veçanti, sulmuesi mund të përfitojë nga opsioni 121 i ofruar në protokollin DHCP (RFC-3442, miratuar në vitin 2002), i dedikuar për të përcjellë informacion mbi ruterat statikë, për të bërë ndryshime në tabelën e ruterimit në makinën e viktimës dhe për të drejtuar trafikun nëpërmjet. VPN. Ruterimi realizohet përmes vendosjes së një serie ruterash për nënrrjeta me prefiks /1, të cilat kanë prioritet më të lartë se ruterat e përdorur si parazgjedhje me prefiks /0 (0.0.0.0/0), kështu që trafiku në vend të interfaces virtuale të rrjetit VPN, do të drejtohet përmes interfaces fizikë të rrjetit në hostin e sulmuesit në rrjetin lokal.
Sulmi mund të realizohet në çdo sistem operativ që mbështet opsionin 121 të DHCP, duke përfshirë Linux, Windows, iOS dhe macOS, pa marrë parasysh protokollin e përdorur VPN (Wireguard, OpenVPN, IPsec) dhe grupin e kriptografive. Platforma Android nuk është e ndjeshme ndaj sulmit, pasi nuk trajton opsionin 121 në DHCP. Megjithatë, sulmi lejon qasje në trafik, por nuk jep mundësinë për të ndërhyrë në lidhjet dhe për të përcaktuar përmbajtjen që transmetohet duke përdorur protokolle të mbrojtura të nivelit të aplikacionit, si TLS dhe SSH; për shembull, sulmuesi nuk mund të përcaktojë përmbajtjen e kërkesave HTTPS, por mund të kuptojë se në cilat serivce dërgohen ato.
Për të mbrojtur veten nga sulmi, mund të ndalohet në nivelin e filtrit të paketave dërgimi i paketeve të adresuara në interfesin VPN nëpër interfecet e tjera të rrjetit; të bllokohen paketat DHCP me opsionin 121; të përdoret VPN brenda një makine virtuale të veçantë (ose kontejner) të izoluar nga rrjeti i jashtëm, ose të përdoren modulet speciale të konfigurimit të tunelëve që përdorin hapësira emërimi në Linux (network namespace). Për eksperimentet me realizimin e sulmit, është publikuar një grup skriptesh.
Vlen të theksohet se ideja e ndryshimit lokal të ruterimit nuk është e re dhe më parë zakonisht përdorej në sulme që synonin zëvendësimin e serverit DNS. Në një sulm të ngjashëm, TunnelCrack, ku ruterimi i trafikut u realizua përmes zëvendësimit të portës default, problemi preku të gjithë klientët VPN të verifikuar për iOS, në 87.5% të klientëve VPN për macOS, 66.7% për Windows, 35.7% për Linux dhe 21.4% për Android. Në kontekstin e VPN dhe DHCP, metoda është përmendur gjithashtu më parë; për shembull, një nga raportet në konferencën e vitit të kaluar USENIX 2023 ishte dedikuar për të (kjo studim tregoi se 64.6% nga 195 klientë VPN të testuar ishin të ndjeshëm ndaj sulmit).
Për vendosjen e ruterëve më parë gjithashtu ishte propozuar përdorimi i një USB-të ngjyrosur posaçërisht, që simulonte funksionimin e një adaptori rrjeti, i cili, kur lidhesh me kompjuterin përmes DHCP, shpall veten si portë. Për më tepër, nëse ka kontroll mbi portën (për shembull, kur viktima lidhet me një rrjet pa tel të kontrolluar nga sulmuesi), është zhvilluar një teknikë për vendosjen e paketeve në tunel, të perceptuara në kontekstin e interfeces VPN.
Fluxet e të dhënave gjatë përdorimit të VPN:
Fluxet e të dhënave pas realizimit të sulmit:
Burimi: opennet.ru
