Kolejna wpadka VPNów? Nie do końca.

Cześć! Dbanie o swoją prywatność to ciężka praca. I to taka na pełen etat. Czasami okazuje się jednak, że nie ze swojej winy stajemy się nadzy w internecie. To nie przez nasz błąd, a przez zaniedbanie wielomiliardowej korporacji okazało się, że VPNy w najnowszej wersji Androida Niby działają, ale tak nie do końca. Jakie to może mieć konsekwencje? Na czym ten błąd polega? Dlaczego czasami szybciej nie oznacza wcale bezpieczniej? I w końcu, czemu Google jeszcze nie załatało tej luki? Zapraszam. Android w szesnastej swojej wersji, czyli w sumie najnowszej stabilnej, wprowadził pewien błąd w imię radzieckiej Maksymy.

Chcieliśmy dobrze, a wyszło jak zawsze. O co chodzi? Otóż jeśli korzystamy na Androidzie z VPNa, to możemy to zrobić w takiej bardzo restrykcyjnej formie, czyli wprost zaznaczając, że chcemy z niego korzystać zawsze, wszędzie i zablokować jakikolwiek ruch, który przez niego nie przechodzi. Powinna to być absolutna gwarancja, że nic nie zostanie wysłane do sieci z pominięciem VPNa. A to może być bardzo istotne, gdy chcemy ukryć miejsce, z którego łączymy się do sieci. No bo postawmy się w roli takiego choćby dziennikarza śledczego, pracującego z jakiegoś kraju, który systemowo podsłuchuje cały ruch sieciowy. Połączenie się do sieci z pominięciem własnego szyfrowanego tunelu może wtedy ujawnić naszą tożsamość i sprowadzić na nas poważne kłopoty.

Niestety, jak się okazuje, w Androidzie jesteśmy na takie niebezpieczeństwo narażeni. Dlaczego? Jakaś złośliwa aplikacja jest w stanie nadal zignorować ustawienia i połączyć się do sieci bezpośrednio, tym samym ujawniając choćby informacje o tym, gdzie aktualnie przebywamy, czy ułatwić śledzenie nas w sieci. I nie ma żadnego znaczenia z jakiego VPNa korzystamy. Nawet od firmy, która w swoich kolorowych reklamach zapewniała, że gwarantują wszystkie możliwe gruszki na wierzbie. To błąd na poziomie systemu. Dotyczy więc każdego dostawcy rozwiązań tej kategorii. Tylko, co tak właściwie się dzieje? No, tu muszę odpakować trochę technikaliów. Zacznijmy od tego, czym jest QUIC.

Bo tu jest pies pogrzebany. Rzeczona funkcja w ogóle nie sprawdza, czy wysyła to pożegnanie z wykorzystaniem zestawionego już i wymaganego przez użytkownika VPNa. Po prostu ignorując te ustawienia. To trochę tak, jakby prowadzić z kimś wszystkie rozmowy od samego początku poprzez Signala albo jakiś inny bezpieczny komunikator, aby na sam koniec krzyknąć przez megafon na rynku albo obwieścić w gazecie, że nie będzie się już więcej gadać. O ile nikt nie dowie się z tego, o czym rozmawialiśmy, To taki zabieg szeroko ujawnia, że w ogóle z kimś prowadziło się komunikację, co samo w sobie może być niebezpieczne. Co istotne, takie ujawnienie musi zostać zainicjowane przez aplikację, z której korzystamy.

Ukryto jedynie ten wpis przed postronnymi oczami. Więcej dowiedzieć możemy się za to z wpisu Józufa, który odkrył dziurę. Na swojej stronie lowlevel.fun wszedł głęboko w detale, gdzie odsyłam zainteresowanych przejrzeniem kodów źródłowych, systemowych technikaliów i proof of concept. Ogólnie cały szkopuł w tym, że to całe pożegnanie, o którym mowa, Nie jest realizowane bezpośrednio przez aplikację. Prosi ona o to systemową usługę i wyłącza się. I to system następnie otwiera nowe połączenie właśnie z pominięciem VPNa. Ten, z kim aplikacja chciała się pożegnać, poznaje w ten sposób rzeczywisty adres IP nadawcy.

Nie likwiduję ich całkiem, więc potencjalnie jakaś aktualizacja może otworzyć je ponownie. No i wiadomo, robimy to na własną odpowiedzialność i nie powinniśmy dotykać takich ustawień bez dogłębnej wiedzy, jakie mogą one potencjalnie mieć skutki. Zresztą To nie jest pierwszy problem z VPNami jako protokołem. Donosiłem już raz uprzejmie o podobnej sytuacji w materiale o słodkim tytule Żaden VPN Cię nie obroni. Wtedy, co ciekawe, androidy były jedynymi urządzeniami odpornymi domyślnie na atak wykorzystujący Telukę. Cóż, balans w przyrodzie, jak widać, został zachowany. Co robić i jak żyć? Nie chcesz bawić się w instalację innego oprogramowania na swoim telefonie, a gdy słyszysz ADB, to zastanawiasz się, czy to jakiś nowy system bezpieczeństwa w samochodzie?

Po prostu nie uruchamiaj na swoich urządzeniach aplikacji, którym nie ufasz. Korzystaj z VPNa w celach, do których został stworzony. To nie jest narzędzie anonimizujące, nawet jeśli reklama twierdzi inaczej. Po prostu przekładasz w ten sposób jajka do innego koszyka, bo od tej pory wszystko o Twoim ruchu sieciowym wie po prostu ktoś inny – dostawca, VPNa, a nie Twój operator internetu. Anonimizować lepiej jest się na cebulkę. Na przykład dodać do VPNa jeszcze serwer proxy. Wtedy, gdy jedno zawiedzie, drugie powinno być w stanie zniwelować zagrożenie. I to już wszystko na dziś. Tymczasem dziękuję za Waszą uwagę i do zobaczenia!