En breve: Muchos usuarios consideran que las VPN son esenciales para mantener la privacidad digital. Sin embargo, los investigadores han descubierto un exploit que puede neutralizar completamente la tecnología sin que el objetivo lo sepa, y todas las VPN en todos los sistemas operativos, excepto Android, son vulnerables. Además, la única solución infalible es actualmente exclusiva de Linux.
Los investigadores del Leviathan Security Group han publicitado un exploit que puede obligar a un usuario de VPN a transmitir tráfico de Internet no cifrado fuera del túnel VPN, exponiéndolo a espionaje y frustrando el propósito completo de la tecnología. Actualmente, no existe ningún método para solucionar completamente el problema en sistemas operativos populares como Windows, macOS o iOS. Aunque los investigadores no han encontrado evidencia de explotación activa, es posible que haya sido posible durante más de dos décadas.
Al ejecutar un servidor DHCP en la misma red que su objetivo, un actor malintencionado puede enrutar el tráfico destinado a una VPN a través de una puerta de enlace y leerlo sin cifrado. El método es especialmente engañoso porque el usuario afectado no notará nada inusual.
El canal VPN permanece intacto, por lo que un dispositivo seguirá mostrando que está funcionando correctamente y los interruptores de apagado nunca se activan. Además, todos los algoritmos de cifrado y protocolos VPN son vulnerables ya que el exploit elude todo el sistema. Los investigadores probaron WireGuard, OpenVPN e IPsec.
Sin embargo, la principal debilidad del exploit es que requiere la opción 121 de DHCP. Como Android no admite la opción 121, los ataques no afectan a los dispositivos Android. Aquellos que usan otros sistemas operativos pueden ignorar 121, pero la solución alternativa corre el riesgo de desconectar un dispositivo de Internet y un atacante podría negar el acceso hasta que se vuelva a habilitar la opción 121.
El uso de espacios de nombres de red también soluciona el problema, pero sólo Linux admite la función. Los investigadores sugieren que Windows y Apple consideren actualizar sus sistemas operativos para incluir esta opción.
Otros métodos de mitigación, como desactivar DHCP, reforzar las reglas de firewall o usar un punto de acceso para acceder a una VPN, podrían interrumpir la conectividad de la red u ofrecer a los atacantes vías alternativas para espiar a las víctimas. Los usuarios que emplean una VPN para mantener la mayor privacidad posible deben tener más cuidado al elegir qué puntos de acceso públicos utilizar.
En noticias relacionadas, es posible que todas las VPN en iOS todavía filtren datos que podrían identificar la dirección IP de un iPhone o iPad, cuatro años después de la primera ProtonVPN. reportado el problema a Apple. A partir de agosto de 2023, el problema persiste. IVPN eliminó el interruptor de apagado en su aplicación iOS en respuesta, pero no está claro si iOS 17 resolvió el problema.