Xakep #305. Многошаговые SQL-инъекции
Специалисты Mullvad VPN обнаружили, что на Android трафик «утекает» за пределы VPN-туннелей, когда устройство подключается к сети Wi-Fi. Это происходит даже в том случае, если функции Block connections without VPN или Always-on VPN активны.
Фактически, за пределы VPN-туннелей утекает такая информация, как исходные IP-адреса, запросы DNS, трафик HTTPS и, вероятно, трафик NTP.
Хотя такое поведение в Android, по сути, является нормальным, мало кто знает об этой особенности ОС, из-за неточного описания функциональности VPN Lockdown в официальной документации.
Аналитики Mullvad VPN объясняют, что в настройках Android есть опция для блокировки сетевых подключений, если пользователь не использует VPN. Эта функция предназначена для предотвращения случайной утечки реального IP-адреса пользователя, если VPN-соединение прерывается или внезапно обрывается. Однако работе этой функции зачастую мешают особые случаи, к примеру, идентификация на порталах авторизации (например, Wi-Fi в отеле), и проверки, которые должны быть проверены, прежде чем пользователь сможет войти в систему, или при использовании функций разделенного туннелирования.
По этой причине Android «сливает» некоторые данные при подключении к новой сети Wi-Fi, независимо от того, включен ли параметр Block connections without VPN.
Специалисты сообщили о проблеме разработчикам Google и поинтересовались у них, можно ли как-то ее исправить, отказавшись от проверок подключения. К сожалению, в Google ответили, что исправить проблему не выйдет по следующим причинам:
- многие VPN полагаются на результаты таких проверок подключения;
- проверки – это не единственные и далеко не самые рискованные исключения;
- влияние на конфиденциальность пользователей минимально и даже незначительно, поскольку утекающая информации уже доступна в L2-соединениях.
Исследователи возражают, что трафик, утекающий за пределы VPN-подключения, содержит метаданные, которые могут использоваться для получения конфиденциальной информации, например, о расположении точек доступа Wi-Fi.
«За трафиком проверки подключений может следить и его может анализировать сторона, контролирующая сервер проверки подключений, а также любое другое лицо, наблюдающее за сетевым трафиком. Даже если сообщение не раскрывает ничего, кроме “подключено какое-то Android-устройство”, метаданные (включая исходный IP-адрес) можно использовать для получения дополнительной информации, особенно в сочетании с такими данными, как расположение точек доступа Wi-Fi», — указывают исследователи в блоге.
Эксперты Mullvad VPN убеждены, что даже если эти утечки не будут устранены, инженерам Google стоит хотя бы обновить документацию и объяснить, защита Block connections without VPN не распространяется на проверки подключений.
