Talvez você tenha ouvido relatos de uma nova vulnerabilidade chamada TunnelVision, que pode permitir que um invasor ignore a proteção VPN sob determinadas circunstâncias. Gostaríamos de reservar um momento para explicar o relatório e tranquilizá-lo sobre a segurança dos aplicativos e serviços ExpressVPN.
Em 6 de maio de 2024, um artigo intitulado “TunnelVision — How Attackers Can Decloak Routing-Based VPNs For a Total VPN Leak” revelou uma técnica que permitiria a um invasor contornar a proteção VPN em algumas situações específicas. Os pesquisadores nos contataram antes da publicação do artigo e tivemos tempo de fazer testes extensivos por conta própria.
Após uma avaliação minuciosa, podemos confirmar que a técnica descrita no artigo tem impacto mínimo sobre os usuários da ExpressVPN, graças ao design robusto do nosso kill switch, Network Lock. Detalhamos abaixo nossa investigação e como ela se relaciona com os aplicativos da ExpressVPN em cada plataforma que oferecemos suporte.
Mas antes de entrarmos em detalhes técnicos, gostaríamos de enfatizar que esse problema só pode ocorrer se diversas condições específicas forem atendidas.
Se você está em casa e ninguém invadiu seu roteador, você está seguro. Se você estiver se conectando por rede celular e não pelo Wi-Fi de outra pessoa, você está seguro. Se a rede Wi-Fi à qual você está acessando não for controlada por um agente mal-intencionado, você estará seguro. Se você estiver em um laptop e o kill switch estiver ativado, você estará seguro. E assim por diante. Na prática, é necessária uma grande combinação de fatores, todos existindo simultaneamente, para que este problema não apresente qualquer risco.
O que é TunnelVision?
O problema levantado pelos pesquisadores está relacionado ao DHCP (Dynamic Host Configuration Protocol), recurso inerente a dispositivos de rede como roteadores. Este protocolo é usado para configurar automaticamente o seu dispositivo para que ele possa se conectar à rede e à Internet.
Parte dessa configuração é informar ao seu dispositivo exatamente para onde ele deve enviar o tráfego para que possa acessar a Internet.
No entanto, há um recurso DHCP menos conhecido, Opção 121, que permite definir rotas alternativas para destinos específicos — digamos, os endereços IP que hospedam www.google.com. Qualquer dispositivo que suporte a Opção 121 tem o potencial de ter esses gateways extras adicionados, desviando o tráfego que de outra forma seguiria o caminho padrão.
Quando você se conecta à ExpressVPN, definimos nossas próprias rotas para informar ao seu dispositivo que ele deve se comunicar com a Internet pela conexão VPN. Isso funciona porque nossas rotas são mais específicas que a rota padrão e, portanto, têm precedência.
No entanto, com a Opção 121, é possível definir uma rota ainda mais específica — uma que seja mais específica que a nossa — fazendo com que o tráfego que deveria seguir pela VPN siga através desta rota mais específica. É importante notar que esta “preferência pelo específico” não é em si uma vulnerabilidade; é fundamental para o funcionamento da rede. Pode causar comportamento indesejado, a menos que medidas específicas sejam implementadas para evitá-lo. A ExpressVPN reconhece há muito tempo o risco de tal problema (seja por causa de um invasor mal-intencionado ou simplesmente devido a uma configuração incorreta), e é por isso que enviamos nossos aplicativos com o Network Lock ativado por padrão.
Em seu artigo sobre o TunnelVision, os pesquisadores afirmam que é possível induzir um vazamento de tráfego VPN ao usar algo chamado DHCP Opção 121, rotas estáticas sem classe, e que isso afeta todos os provedores de VPN e protocolos VPN que suportam tais rotas.
Simplificando, isso significa que sob certas condições (e somente quando você se conecta a uma rede que não controla, como Wi-Fi de hotel ou aeroporto), um invasor com controle do roteador Wi-Fi pode designar que qualquer tráfego com destino a um destino específico seja desviado para fora da VPN.
É necessária uma sequência específica de condições para que qualquer pessoa seja afetada por esse problema, e os clientes da ExpressVPN estão entre os mais bem protegidos, em parte devido à solidez e estrutura do Network Lock.
O impacto do TunnelVision na ExpressVPN
O potencial desta técnica depende do sistema operacional ou dispositivo utilizado.
Começando pelos usuários de desktop: graças ao Network Lock, o kill switch da ExpressVPN no Mac, Windows, Linux e roteadores, o potencial de exposição é limitado. Quer você use Mac ou Windows, nossas investigações descobriram que essa técnica só poderia representar uma ameaça se nosso kill switch, Network Lock, tivesse sido desativado manualmente por um usuário. Como o Network Lock está ativado por padrão, os usuários que nunca modificaram suas configurações não podem ser afetados.
Portanto, se você, como muitos usuários da ExpressVPN, simplesmente abre seu aplicativo, aperta o grande botão Ligar e ocasionalmente muda de localização, então você nunca foi exposto a esse problema. A forma como projetamos nosso kill switch garante que nossos usuários de desktop estejam protegidos contra essa técnica e outros ataques que tentam forçar o tráfego para fora da VPN.
Quando o Network Lock está ativado, descobrimos que não ocorrem vazamentos. O tráfego com destino ao destino designado por um invasor resultaria em “negação de serviço” — seria simplesmente bloqueado, resultando em uma página da Web em branco ou em uma mensagem de erro. O tráfego direcionado para qualquer outro destino (em outras palavras, qualquer lugar não especificado para desvio pelo invasor) passaria pela VPN normalmente. No entanto, se um usuário tiver desativado manualmente o Network Lock, o tráfego poderá de fato passar pela rota desviada, causando um vazamento.
Por isso, é altamente recomendável que todos os usuários da ExpressVPN sempre ativem o kill switch. Também estamos adicionando novos lembretes em nossos aplicativos para incentivar os usuários a manter o kill switch ativado.
Nos roteadores Aircove e Aircove Go, você não pode ficar vulnerável, pois o kill switch está sempre ativado e não pode ser desativado.
Agora falemos dos usuários móveis. No Android, você não pode ter sido exposto, independentemente da configuração do kill switch, porque a opção DHCP 121 não é suportada nessa plataforma. Mas no iOS, há algum grau de vulnerabilidade, mesmo com nosso kill switch ativado. Isso acontece devido a uma limitação estabelecida pela Apple, o que efetivamente torna impossível um kill switch robusto. Ainda assim, usar uma conexão celular 4G ou 5G em vez de Wi-Fi é totalmente eficaz na prevenção desse ataque.
Como construímos e projetamos o Network Lock para proteger os usuários
Como explicamos, o Network Lock é o kill switch da ExpressVPN no Mac, Windows, Linux e roteadores. Ele mantém os dados do usuário seguros, bloqueando todo o tráfego da Internet até que a proteção seja restaurada. Um recurso semelhante está disponível nas configurações de proteção de rede de nossos aplicativos iOS e Android. Oferecemos esses recursos porque um kill switch confiável é um recurso essencial de uma VPN, fundamental para proteger os usuários e garantir sua privacidade. É por isso que também ativamos nosso kill switch por padrão e passamos muito tempo investindo em sua confiabilidade desde que o lançamos pela primeira vez em 2015.
Também tomamos muitas decisões cuidadosas de engenharia e design para implementar o recurso. Nosso recurso Network Lock evita que todos os tipos de tráfego, incluindo IPv4, IPv6 e DNS, vazem para fora da VPN, como quando a conexão do usuário com a Internet é interrompida, ao alternar entre redes Wi-Fi e outros vários cenários onde outras VPNs podem vazar.
Nossa funcionalidade kill switch no firmware do roteador e em todas as plataformas de desktop funciona aplicando uma regra de firewall “bloquear tudo” seguida por uma regra que permite o tráfego exclusivamente através do túnel VPN. Essas regras de kill switch são acionadas pela primeira vez quando a VPN se conecta e permanecem ativas durante ciclos de reconexão e desconexão inesperados. Isso é exatamente o que os pesquisadores estão se referindo na seção “Impacto na Indústria” de seu relatório quando afirmam que “observaram uma mitigação de alguns provedores de VPN que reduz o tráfego para interfaces não VPN por meio de regras de firewall”.
Esta configuração protege contra a exploração do TunnelVision e ameaças semelhantes. Ele bloqueia qualquer tráfego que tente contornar a VPN, incluindo quaisquer rotas que o TunnelVision possa ter introduzido.
O que isso significa para a indústria VPN
Fundamentalmente, a pesquisa sobre o TunnelVision destaca como é importante que as VPNs atendam a um padrão de excelência quando se trata de privacidade e design de segurança.
Como não existe uma única implementação padrão na indústria de um kill switch, o diabo está nos detalhes. Torna-se mais importante do que nunca escolher um provedor de VPN premium que priorize a segurança e a facilidade de uso. Agradecemos os esforços dos pesquisadores em destacar a importância de um kill switch confiável quando os consumidores selecionam uma VPN.
Agradecemos também pelo seu esforço em toda a indústria para a divulgação responsável deste problema; a investigação contínua sobre segurança, realizada de forma responsável, é uma faceta importante de um cenário saudável de segurança cibernética. Queremos encorajar os nossos usuários, parceiros da indústria e investigadores a continuarem a promover uma compreensão mais profunda das tecnologias subjacentes às soluções de privacidade e segurança.
Uma ótima promoção para garantir a sua privacidade e segurança online
30 dias de garantia de reembolso
