نشت IPv6 و DNS در کلاینت های VPN تجاری، اخیرا در یک مقاله دانشگاهی کشف شده است.
محققان در دانشگاه لندن و رم ادعای ارائه دهندگان سرویس VPN درباره مزایای استفاده از سرویس هایشان را، مانند ناشناس ماندن، اجتناب از سانسور و حفاظت از ردیابی/نظارت را بررسی کردند، آنها امنیت کافی دریافت نکردند. بنابراین، دانشگاهیان کلاینتها را برای دستگاههای دسکتاپ و موبایل از 14 سرویس VPN تجاری محبوب دانلود کردند. این تیم یافته های خود را در مقاله ای منتشر کرد.
نویسندگان در مقدمه این مقاله گفته اند که: ” تصور غلط عمومی این است که کلمه “خصوصی” در VPN ، به جای اتصال داخلی از شبکه های خصوصی مربوط به حریم خصوصی کاربر نهایی است. در واقع، حریم خصوصی و ناشناسی ویژگی هایی هستند که دریافتشان سخت است، نیاز به ترکیب دقیق از تکنولوژی و بهترین روش هایی دارد که مستقیما یک تعریف مدل تهدید/ مقابله را نشان می دهد. این وی پی ان ها قابل خرید هستند.
در اینجا مطالبی آورده شده که تیم کشف کرده اند:
- بسیاری از سرویس ها از فن آوری های قدیمی مانند PPTP ( با MS-CHAPv2) استفاده می کنند که می تواند توسط حملات شدید شکسته شود.
- بیشتر کلاینت های تجاری VPN اجازه نشت داده ها را در شبکه های دو بسته ای می دهند (برای مثال، آنهایی که IPv4 و IPv6 را پشتیبانی می کنند).
- با استفاده از برنامه های کاربردی مختلف، وب سایتها و سیستم های عامل، محققان تعیین کرده اند که ترافیک برای شناسایی عمومی در معرض خطر بود.
- با نشت ترافیک IPv6 به خارج از تونل VPN، می تواند سابقه مرور کاربران حتی در وب سایت های IPv4 در معرض بگذارد.
نشت IPv6
بنظر می رسد نشت IPv6 محققان را بیشتر نگران کرده است. محققان توضیح می دهند که: ” آسیب پذیری توسط این واقعیت انجام میگیرد که، در حالیکه تمام کلاینت های VPN جدول مسیریابی IPv4 را اداره می کنند، آنها تمایل به نادیده گرفتن جدول مسیریابی IPv6 دارند”. هیچ قاعده ای به تغییر مسیر ترافیک IPv6 درون تونل اضافه نشده است. این می تواند منجر به دور زدن همه ترافیک IPv6 در رابط مجازی VPN شود.”
شکل A اطلاعاتی درباره هر یک از 14 سرویس فراهم میکند و اینکه چطور آنها نشت IPv6 را می گذارنند.
شکل A
افشای مسئول و پاسخ
ما برخی از وب سایت های ارائه دهندگان سرویس VPN جهت خرید VPN از جمله parsvpn.online را بررسی کردیم و فهمیدیم که تیم تحقیق سعی و تلاش خود را برای اطلاع رسانی ارائه دهندگان یک ماه قبل از انتشار مقاله کرده است. تعدادی از ارائه دهندگان پاسخ داده اند.
یک کارمند AirVPN نوشت: این مقاله رد شده است برای اینکه آزمایش های آنها بر روی سرورهای VPN با فن آوری 30/ انجام شده است، ما سازگاری حفاظت را با Windows OpenVPN 2.0.9 و نسخه های قدیمی تر نگه داشته ایم. بعد از نمایش پیش نویس ها، ما تصمیم گرفتیم سرعت پشتیبانی OpenVPN 2.0.9 را افزایش دهیم.
عضو هیات مشابه گفت: ” متاسفانه آنها نمی توانند رفع ایراد این مقاله را مدیریت کنند، صرفا برای مشکلات ما پیشنهاد دادیم خارج از رده باقی مانده است.”
TorGuard ارائه دهنده سرویس دیگر، پاسخی به مقاله تحقیقاتی در پست وبلاگ داده است. مدیریت TorGuard می نویسد: ” اخیرا محققان امنیتی از دانشگاه رم و دانشگاه لندن مقاله ای در مورد خطرات امنیتی احتمالی نشت اطلاعات شخصی از طریق IPv6 هر هنگام استفاده از شبکه های خصوصی مجازی منتشر کرده اند. در حالیکه این آسیب پذیری ها برای سالها شناخته شده است، محققان کشف کرده اند که بسیاری از ارائه دهندگان برتر VPN در نگاه ساده دارای نشت IPv6 هستند.
سپس این پست در مورد چگونگی رخ دادن نشت IPv6 و اقداماتی برای جلوگیری هر درخواست IPv6 خصوصی از نشت بحث می کند.
توجه: از آنجاییکه IPv4 هنوز در اطراف وجود دارد، یک راه حل ممکن است غیرفعال کردن IPv6 باشد در حالیکه از یک سرویس نجاری VPN خرید و استفاده می کنید.
خرید VPN و خرید کریو در parsvpn.online