Kolejna wpadka VPNów? Nie do końca.

Niestety, jak się okazuje, w Androidzie jesteśmy na takie niebezpieczeństwo narażeni. Dlaczego? Jakaś złośliwa aplikacja jest w stanie nadal zignorować ustawienia i połączyć się do sieci bezpośrednio, tym samym ujawniając choćby informacje o tym, gdzie aktualnie przebywamy, czy ułatwić śledzenie nas w sieci. I nie ma żadnego znaczenia z jakiego VPNa korzystamy. Nawet od firmy, która w swoich kolorowych reklamach zapewniała, że gwarantują wszystkie możliwe gruszki na wierzbie. To błąd na poziomie systemu. Dotyczy więc każdego dostawcy rozwiązań tej kategorii. Tylko, co tak właściwie się dzieje? No, tu muszę odpakować trochę technikaliów. Zacznijmy od tego, czym jest QUIC.

Obiecuję, to istotne. W dużym skrócie, QUIC to protokół stworzony trochę ponad 10 lat temu przez Google'a, aby rozwiązać problemy znanego od dekad protokołu TCP. W zamyśle, pozwala korzystać z Internetu szybciej, wygodniej oraz bezpieczniej. Aplikacje korzystające z Quicka, oczywiście tak po stronie użytkownika, jak i serwera, zestawiają pomiędzy sobą wiele równoległych połączeń poprzez protokół UDP. Dzięki temu już na poziomie samych założeń Quick jest znacznie odporniejszy na jakieś przerwy w komunikacji, np. utracone po drodze pakiety. Nie musi on równać do najwolniejszego, w przeciwieństwie do właśnie rzeczonego TCP, w którym to, gdy coś nie dotrze na czas, to trzeba czekać.

Próbować ponownie, no i znowu czekać. W przypadku Quicka jest inaczej. Kiedy do takiego opóźnienia czy też utraty pakietu dojdzie, nie wpływa to na działanie całej aplikacji, która teraz skazana jest na czekanie. Cierpi tylko jedno konkretne połączenie i ewentualna retransmisja rozwiązywana jest niezależnie, równolegle, nie wpływając na resztę, co podnosi wydajność i wygodę użytkowania. To jednak nie jedyna zaleta Quicka. Ogólnie zmniejsza on opóźnienia i lepiej zarządza ruchem, aby mądrzej wykorzystywać dostępne połączenie oraz wprowadza nowe mechanizmy korekcji danych, poprawiając stabilność. Skraca też czas potrzebny na zestawienie samego połączenia, bo o ile w przypadku protokołu TCP praktycznie zawsze dodatkowo trzeba jeszcze dołożyć jakąś warstwę szyfrowania, gdzie zestawia się jakby kolejne połączenie w ramach ustanowionego już tunelu, QUIC robi to wszystko za jednym zamachem.

Omija się więc Kolejna wpadka VPNów? Takie wprowadzenie po łebkach, bez analizowania godzinami RFC w Internet Engineering Task Force, ale pokazuje dlaczego QUIC jest potrzebny i szeroko wykorzystywany. Przesyłamy przecież przez Internet coraz więcej i oczekujemy, że będzie to działało coraz szybciej. Nic dziwnego, że wspierają go wszystkie popularne przeglądarki i, co pewnie nie jest zaskoczeniem, mocno korzysta z niego Google w swoich usługach, ale też Facebook z Instagramem.

Po tym przydługim wstępie mogę już z czystym sumieniem powiedzieć, czego dotyczy opisywana luka. Otóż Android posiada w swoim systemowym arsenale funkcję kończącą połączenie z wykorzystaniem Quicka pod nazwą Graceful Shutdown, czyli, nieco parafrazując, eleganckie wyjście z pożegnaniem. Nasz telefon, tablet czy telewizor z Android TV mówi w ten sposób serwerowi, z którym się wcześniej już komunikował, To moja ostatnia wiadomość. Nie dzwoń więcej. Robi to po to, aby serwer nie czekał w nieskończoność, ale mógł przeznaczyć swoje zasoby na tych, którzy rzeczywiście go w tej chwili potrzebują, bo chcą rozmawiać. Ot. Uprzejmość. Ale ta, jak widać, niesie za sobą pewne niebezpieczeństwo.