Un bug iOS impedisce alle app VPN di crittografare il traffico



Apple ha recentemente rilasciato l’iOS 13.5. L’aggiornamento è venuto con un sacco di correzioni, ma non uno per la vulnerabilità che gli utenti individuati sulla versione iOS 13.4. Questa vulnerabilità ha impedito a tutte le app VPN sul dispositivo di crittografare il traffico degli utenti. L’ultimo aggiornamento non ha rettificato questo e la vulnerabilità esiste ancora. iOS non consente a qualsiasi app VPN di uccidere le connessioni di rete esistenti e questo significa che non c’è nulla che i provider VPN possano fare per risolvere la situazione, solo Apple può risolvere il problema.

Secondo le stime, milioni di utenti in tutto il mondo potrebbero essere a rischio a causa di questa vulnerabilità, ProtonVPN spiegato in un blog.

Funzionamento della vulnerabilità del bypass VPN iOS

In genere, quando ci si connette a una rete privata virtuale (VPN), il sistema operativo del dispositivo chiude tutte le connessioni Internet esistenti e quindi le ristabilisce tramite il tunnel VPN.

Un membro della comunità ProtonVPN ha scoperto che in iOS versione 13.3.1, il sistema operativo non chiude le connessioni esistenti. Il problema persisteva anche nella versione 13.4 di iOS. La maggior parte delle connessioni sono di breve durata e alla fine saranno ristabilite attraverso il tunnel VPN da soli. Tuttavia, alcuni sono di lunga durata e possono rimanere aperti per minuti o ore al di fuori del tunnel VPN.

Un esempio importante in questo caso è stato il servizio di notifica push di Apple, che mantiene una connessione a esecuzione prolungata tra il dispositivo e i server di Apple. Ma il problema potrebbe avere un impatto su qualsiasi app o servizio, ad esempio applicazioni di messaggistica istantanea o web beacon.

La vulnerabilità di bypass VPN potrebbe causare dati degli utenti vengono esposti se le connessioni interessate non sono criptati se stessi (anche se questo sarebbe insolito al giorno d’oggi). Il problema più comune sono le perdite IP. Un utente malintenzionato potrebbe vedere l’indirizzo IP degli utenti e l’indirizzo IP dei server a cui si connettono. Inoltre, il server a cui ci si connette sarebbe in grado di vedere il tuo vero indirizzo IP anziché quello del server VPN.

Le persone a più alto rischio di questo difetto di sicurezza sono persone nei paesi in cui la sorveglianza e le violazioni dei diritti civili sono comuni. Né ProtonVPN né qualsiasi altro servizio VPN in grado di fornire una soluzione per questo problema perché iOS non consente a un’applicazione VPN di uccidere le connessioni di rete esistenti.

Fino a quando Apple risolve questo problema, ecco come mitigare la vulnerabilità di bypass VPN iOS –

Le connessioni Internet stabilite dopo la connessione a VPN non sono interessate. Ma le connessioni che sono già in esecuzione quando ci si connette a VPN possono continuare al di fuori del tunnel VPN a tempo indeterminato. Non c’è modo di garantire che tali connessioni verranno chiuse al momento dell’avvio di una connessione VPN.

Tuttavia, la seguente tecnica potrebbe essere la più efficace:

1. Connettersi a qualsiasi server VPN.

2. Attivare la modalità aereo. Questo ucciderà tutte le connessioni Internet e disconnetterà temporaneamente la VPN.

3. Disattivare la modalità aereo e la VPN si riconnetterà, e le altre connessioni dovrebbero anche riconnettersi all’interno del tunnel VPN, anche se non può essere garantito un 100%.

In alternativa, Apple consiglia di utilizzare una VPN always-on per mitigare questo problema. Questo metodo richiede l’utilizzo della gestione dei dispositivi, quindi purtroppo non mitiga il problema per le applicazioni di terze parti (come le applicazioni VPN).

Questa vulnerabilità è stata segnalata per la prima volta da Luis, un consulente di sicurezza e membro della comunità Proton.