ExpressVPN memperbaiki kerentanan “Voracle” kompresi di aplikasi

Logo ExpressVPN dalam wakil kokoh, untuk melambangkan keamanan kokoh kami. Kami kuat, seperti beruang.

Pembaruan: Sejak 24 Oktober 2018, server konfigurasi manual kami tidak rentan terhadap eksploitasi VORACLE.

Pada Black Hat Briefing pada Agustus 2018, peneliti Ahamed Nafeez mengungkapkan kerentanan baru dalam protokol OpenVPN. Kerentanan, bernama Voracle, mempengaruhi semua koneksi TLS yang menggunakan kompresi.

OpenVPN digunakan oleh berbagai layanan VPN konsumen terkemuka. Nafeez dapat mengeksploitasi koneksi OpenVPN yang ia atur sendiri, menjelajahi situs menggunakan Firefox, tetapi ia tidak dapat meniru efek menggunakan Google Chrome.

ExpressVPN terutama menggunakan protokol OpenVPN dan IPsec. Dalam kasus kami, Voracle memengaruhi koneksi yang diatur melalui konfigurasi manual atau koneksi yang dibuat melalui aplikasi kami menggunakan TCP OpenVPN. Koneksi UDP OpenVPN meskipun aplikasi tidak terpengaruh.

Bagaimana Voracle bekerja

Kompresi secara teoritis meningkatkan kapasitas penyimpanan dan bandwidth dengan mengganti pola yang sering dengan referensi, mirip dengan bagaimana mengganti kata dengan emoji memungkinkan lebih banyak informasi untuk masuk ke dalam tweet. Namun dalam penggunaan sehari-hari, kompresi saat menggunakan VPN menawarkan sedikit manfaat.

Dengan menyuntikkan data ke dalam aliran yang tidak dienkripsi, penyerang mungkin dapat mempelajari apakah teks tertentu termasuk dalam aliran data yang tidak dienkripsi dan dikompresi dengan mengamati perubahan dalam panjang aliran yang dienkripsi.

Untuk mempelajari dengan andal tentang konten koneksi, penyerang perlu bagi pengguna untuk berulang kali meminta konten yang sama, memungkinkan sedikit variasi data uji penyerang untuk disuntikkan ke dalam aliran pengguna.

Data ini dapat disuntikkan melalui permintaan lintas-domain atau cookie, dan penyerang kemudian dapat mengamati lalu lintas dengan mengendalikan switch jaringan atau router. Jika data sudah dienkripsi sebelum memasuki terowongan VPN, kerentanan ini tidak dapat dieksploitasi. Penyerang tidak akan dalam keadaan apa pun dapat menggunakan ini terhadap koneksi HTTPS atau PGP / OTR.

Solusi: Nonaktifkan kompresi

Untuk mengurangi terhadap Voracle, ExpressVPN telah menonaktifkan kompresi pada semua koneksi yang dibuat oleh aplikasi. Pengguna tidak perlu memperbarui aplikasi mereka.

Jika Anda menggunakan file konfigurasi manual dari sebelum serangan VORACLE, silakan unduh file konfigurasi baru, atau perbarui file Anda untuk memasukkan baris "comp-lzo off".

ExpressVPN menganggap eksploit serius tetapi terbatas dalam aplikasi, karena penyerang tidak hanya harus dapat mengamati lalu lintas terenkripsi tetapi juga dapat menyuntikkan data ke dalam aliran data yang tidak terenkripsi. Namun, ketika menggunakan situs atau layanan apa pun yang melibatkan data sensitif, pengguna internet harus menggunakan HTTPS untuk enkripsi ujung ke ujung.

ExpressVPN memperbaiki kerentanan "Voracle" kompresi di aplikasi
admin Author
Sorry! The Author has not filled his profile.