Sommario
Un recente attacco denominato “TunnelVision” può deviare il traffico fuori dal tunnel crittografato di una VPN, consentendo agli aggressori di intercettare il traffico non crittografato mentre si mantiene l’apparenza di una connessione VPN sicura. Questo attacco è stato dettagliato in un rapporto di Leviathan Security, che sfrutta l’opzione 121 del Dynamic Host Configuration Protocol (DHCP) per configurare percorsi statici di classe su un sistema client.
Metodo dell’attacco
Gli aggressori configurano un server DHCP malevolo che modifica le tabelle di instradamento in modo che tutto il traffico VPN venga inviato direttamente alla rete locale o a un gateway maligno, evitando così il tunnel VPN crittografato. L’approccio consiste nell’operare un server DHCP sulla stessa rete di un utente VPN bersagliato e configurare il DHCP per utilizzare se stesso come gateway.
Sicurezza e vulnerabilità
Una delle principali preoccupazioni è l’assenza di un meccanismo di autenticazione per i messaggi in entrata nel DHCP che potrebbero manipolare i percorsi. Questo problema di sicurezza è noto e sfruttabile dai malintenzionati almeno dal 2002, ma non ci sono casi noti di sfruttamento attivo in campo.
Identificazione e impatto
Il problema, denominato CVE-2024-3661, colpisce i sistemi operativi Windows, Linux, macOS e iOS, con l’eccezione di Android che non supporta l’opzione DHCP 121 e quindi non è influenzato dagli attacchi TunnelVision.
Mitigazione dell’attacco TunnelVision
Gli utenti possono essere più esposti agli attacchi TunnelVision se si connettono a una rete controllata dall’aggressore o dove l’aggressore ha presenza. Le mitigazioni proposte includono l’uso di spazi di nomi di rete su Linux per isolare le interfacce di rete e le tabelle di instradamento dal resto del sistema, configurare i client VPN per negare tutto il traffico in entrata e in uscita che non utilizza l’interfaccia VPN, e configurare i sistemi per ignorare l’opzione DHCP 121 mentre sono connessi a una VPN.
Raccomandazioni per i Fornitori VPN
I fornitori di VPN sono incoraggiati a migliorare il loro software client per implementare propri gestori DHCP o integrare controlli di sicurezza aggiuntivi che bloccherebbero l’applicazione di configurazioni DHCP rischiose. Questo attacco evidenzia la necessità di una maggiore vigilanza e di misure di sicurezza più robuste nei sistemi di rete, soprattutto per quegli utenti che dipendono da connessioni VPN per la protezione dei loro dati sensibili.
