Un gruppo di ricercatori della Leviathan Security Group ha scoperto una vulnerabilità che riguarda le VPN, da moltissimi utenti usate per tenere al sicuro i propri dati mentre si naviga, proteggendoli dalle minacce della rete. Purtroppo, sembra che il problema sia abbastanza grave, dal momento che colpisce tutte le VPN sulla quasi totalità dei sistemi operativi; sembra che Android sia l'unico a salvarsi, mentre per Linux sembra esserci un workaroud funzionante.
Questo significa che gli utenti Windows, Mac e iOS sono tutti esposti ai rischi. Ma cosa comporta questa vulnerabilità? Secondo il report dei ricercatori, TunnelVision (così è stato battezzato l'exploit) vanifica l'efficacia della VPN, esponendo il traffico non crittografato al di fuori del tunnel VPN.
Ad aggravare ancor di più la cosa c'è il fatto che l'attacco rimane occultato, rendendo inutili sistemi di sicurezza come i "kill switch" presenti nelle migliori VPN, che non si attivano in quanto non rilevano anomalie. Secondo lo studio pubblicato, un attaccante, posizionandosi sulla stessa rete della vittima e gestendo un server DHCP, può deviare il traffico internet destinato alla VPN verso un gateway da lui controllato, leggendone i dati senza nessuna cifratura.
La vulnerabilità colpisce allo stesso modo i diversi protocolli VPN, non importa se il servizio in uso sfrutti WireGuard, OpenVPN, IPsec o altro. Il fulcro della vulnerabilità si basa sull'opzione 121 del protocollo DHCP, una funzionalità non supportata da Android, motivo per cui i dispositivi con questo sistema operativo sono immuni all'attacco.
I ricercatori hanno proposto, come soluzione, l'uso dei namespace di rete, che però al momento è presente solo su Linux, lasciando gli utenti degli altri sistemi operativo senza una risposta definitiva alla vulnerabilità. Chi usa Windows o macOS potrebbe valutare di non usare l'opzione 121 del DHCP, oppure rendere più stringenti le regole del firewall, ma ciò potrebbe comportare la perdita della connessione a internet o perfino offrire ai malintenzionati altre vie per intercettare i dati degli utenti.