[NEWS] VPN, la falla è sistemica

[c.m.g]

lunedì 30 novembre 2015

Spoiler:

I provider di connessioni anonime a rischio dopo la scoperta di una vulnerabilità comune, un problema potenzialmente in grado di rivelare l'indirizzo IP reale dei clienti rovinando le prospettive di business delle aziende

Roma - Perfect Privacy (PP) ha individuato una vulnerabilità di sicurezza comune a tutti i protocolli (IPSec, OpenVPN, PPTP e altri) su cui sono basate le reti VPN (Virtual Private Network) e i relativi servizi commerciali, un problema in grado di rivelare l'indirizzo IP reale dei clienti e quindi di eliminare alla radice la convenienza del servizio di mascheramento offerto dai provider.

La vulnerabilità è connessa direttamente all'utilizzo del port forwarding, spiegano da PP, vale a dire a un meccanismo di comunicazione telematica comunemente usato per "lasciar passare" il traffico di un'applicazione specifica quando la connessione è protetta da un router e necessita della traduzione automatica degli indirizzi tramite NAT.

Nello scenario descritto da PP, il potenziale attaccante ha registrato un account sullo stesso servizio VPN usato dall'utente bersaglio ed è a conoscenza dell'indirizzo IP di uscita (fornito dal suddetto servizio di VPN) con cui l'utente "esce" su Internet, Web, IRC, torrent o con altri tipi di comunicazione.L'attacco è capace di smascherare l'IP del bersaglio e funziona indipendentemente dal sistema operativo, spiegano da PP, e tutti i provider VPN in grado di fornire la funzionalità di port forwarding (fondamentale per l'utilizzo proficuo e anonimo dei client P2P) sono risultati vulnerabili ai test della società.

Mettere fuori gioco il rischio di "IP leak" tramite port forwarding è in ogni caso semplice, spiega ancora l'azienda - anch'essa specializzata in servizi VPN. Basta infatti impostare regole specifiche nella gestione del traffico di rete, e magari allargare il numero di IP pubblici disponibili agli utenti, per chiudere la falla. E molte VPN hanno già confermato di aver risolto il problema.

Alfonso Maruccia





Fonte: Punto informatico