Nuevo método de ataque desafía el modelo de seguridad de las VPN | DKCERT

Los investigadores de la firma de seguridad Leviathan Security han ideado un método de ataque contra casi todas las aplicaciones de redes privadas virtuales que las obliga a enviar y recibir parte o todo el tráfico fuera del túnel cifrado.

Eso es lo que escribe Ars Technica sobre lo nuevo, que puede que ni siquiera sea tan nuevo.

El ataque en sí, llamado TunnelVision, supuestamente anula el propósito de las VPN. Es decir, para encapsular el tráfico de Internet entrante y saliente en un túnel cifrado, donde la dirección IP del usuario queda oculta. El método de ataque permite a un atacante leer, descartar o modificar el tráfico filtrado mientras la víctima mantiene su conexión tanto a la VPN como a Internet.

Los investigadores opinan que el método afecta a todas las aplicaciones VPN cuando se conectan a una red hostil y que no hay forma de prevenir tales ataques a menos que la VPN del usuario se ejecute en Linux o Android. Los investigadores también han declarado que la técnica de ataque puede haber estado en uso desde 2002 y es posible que ya haya sido descubierta y utilizada en la naturaleza desde entonces.

Manipulación del tráfico

El ataque funciona manipulando el servidor DHCP que asigna direcciones IP a los dispositivos que intentan conectarse a la red local. Una configuración especial conocida como «opción 121» permite que el servidor DHCP anule las reglas de enrutamiento predeterminadas, enviando tráfico VPN a través de una dirección IP local que, de otro modo, está diseñada para iniciar el túnel cifrado.

Al utilizar la configuración para enrutar el tráfico VPN a través del servidor DHCP, el ataque redirige los datos al propio servidor DHCP.

Los investigadores afirman que la técnica consiste en ejecutar un servidor DHCP en la misma red que un usuario de VPN objetivo y también establecer la configuración de DHCP para que se utilice como puerta de enlace. Cuando el tráfico llega a la puerta de enlace, las reglas de reenvío de tráfico en el servidor DHCP se utilizan para pasar el tráfico a una puerta de enlace legítima.

Luego se utiliza la opción 121 de DHCP para establecer una ruta en la tabla de enrutamiento del usuario de VPN. La ruta especificada es arbitraria, pero también se pueden establecer múltiples rutas y reglas de enrutamiento que tengan una prioridad más alta que las rutas a la interfaz virtual que crea la VPN. Esto significa que el tráfico de red se envía a través de la misma interfaz que el servidor DHCP en lugar de la interfaz de red virtual. Por lo tanto, el atacante puede elegir qué direcciones IP pasan por el túnel y qué direcciones pasan por la interfaz de red y se comunican con el servidor DHCP del atacante. Así, hay tráfico que se transmite fuera del túnel cifrado de la VPN.

Android inmune

Ars Technica escribe que Android es el único sistema operativo resistente al ataque porque no implementa la opción 121. Para el resto de sistemas operativos no existen soluciones completas. Cuando las aplicaciones se ejecutan en Linux, hay una configuración que minimiza los efectos, pero incluso así TunnelVision puede explotar un canal lateral.

Las contramedidas más efectivas al ataque deberían ser ejecutar la VPN dentro de una máquina virtual cuyo adaptador de red no esté en modo puente, o conectar la VPN a Internet a través de la red Wi-Fi de un dispositivo móvil.

Enlaces:

https://arstechnica.com/security/2024/05/novel-attack-against-virtually-…