ExpressVPN поправя „Voracle“ компресионната уязвимост в приложенията

Логото на ExpressVPN в здрав порок, за да символизира здравата ни сигурност. Силни сме, като мечка.

Актуализация: От 24 октомври 2018 г. нашите ръчни конфигуриращи сървъри не са уязвими от експлоатацията VORACLE.

На брифинг на Black Hat през август 2018 г. изследователят Ахамед Нафеес разкри нова уязвимост в протокола OpenVPN. Уязвимостта, наречена Voracle, влияе на всички TLS връзки, които използват компресия.

OpenVPN се използва от широк спектър от водещи VPN услуги на потребителите. Nafeez успя да се възползва от OpenVPN връзка, която той сам създаде, като преглежда сайт чрез Firefox, но не може да повтори ефекта с Google Chrome.

ExpressVPN използва главно протоколите OpenVPN и IPsec. В нашия случай връзките, засягащи Voracle, се настройват чрез ръчна конфигурация или връзки, създадени чрез нашите приложения, използвайки TCP OpenVPN. UDP OpenVPN връзки, въпреки че приложенията не са засегнати.

Как работи Voracle

Компресията теоретично увеличава капацитета за съхранение и честотна лента, като заменя честите модели с препратки, подобно на това как замяната на думи с емоджи позволява на повече информация да се впише в туитър. Но при ежедневна употреба компресията при използване на VPN предлага малка полза.

Чрез инжектиране на данни в незашифрован поток, атакуващият може да бъде в състояние да научи дали определен текст е включен в незашифрования и компресиран поток от данни, като наблюдава промените в дължината на криптирания поток.

За да научи надеждно за съдържанието на връзката, нападателят ще се нуждае от потребителя многократно да иска едно и също съдържание, което позволява леки вариации на тестовите данни на нападателя да бъдат инжектирани в потребителския поток.

Тези данни могат да бъдат инжектирани чрез заявки или бисквитки между домейни и след това нападателят може да наблюдава трафика, като контролира мрежов превключвател или рутер. Ако данните са вече криптирани, преди да влязат в тунела за VPN, тази уязвимост не може да бъде използвана. Атакуващият при никакви обстоятелства не би могъл да използва това срещу HTTPS или PGP / OTR връзки.

Решение: Деактивиране на компресията

За смекчаване на Voracle, ExpressVPN е деактивирал компресията на всички връзки, направени от приложенията. Потребителите не трябва да актуализират своите приложения.

Ако използвате файл за ръчна конфигурация от преди атаката VORACLE, моля, изтеглете нов конфигурационен файл или актуализирайте файла си, за да включите реда „comp-lzo off“.

ExpressVPN счита експлоатацията за сериозна, но ограничена в приложението, тъй като нападателят ще трябва не само да може да наблюдава шифрования трафик, но и да може да инжектира данни в незашифрования поток от данни. Все пак, когато използват всеки сайт или услуга, където са включени чувствителни данни, интернет потребителите трябва да използват HTTPS за криптиране от край до край..

ExpressVPN поправя „Voracle“ компресионната уязвимост в приложенията
admin Author
Sorry! The Author has not filled his profile.