Badacz bezpieczeństwa twierdzi, że aplikacje VPN na iOS nie działają; Apple nie jest stabilny

przysługa Bezpieczeństwo Badacz twierdzi, że iOS VPN Aplikacje (wirtualne sieci prywatne) nie działają z powodu usterki, o której Apple twierdzi, że znało ją co najmniej dwa i pół roku temu.

Stanowi to kopię zapasową wcześniejszego raportu ProtonVPN, że luka VPN istnieje na urządzeniach z systemem iOS od wersji iOS 13.3.

Rzeczywiste słowa Michaela Horowitza mają większe znaczenie niż nasz tytuł. Jego post na blogu na ten temat nosi tytułVPN na iOS to oszustwo. „

Jak działają VPN (podobno działa)

Zwykle, gdy łączysz się z inną witryną lub serwerem, Twoje dane są najpierw przesyłane do Twojego dostawcy usług internetowych lub operatora sieci komórkowej. Następnie przesyłają go do zdalnego serwera. Oznacza to, że Twój dostawca usług internetowych może zobaczyć, kim jesteś oraz do jakich witryn i usług uzyskujesz dostęp.

Korzystając z publicznych hotspotów Wi-Fi, ryzykujesz także ataki typu „man-in-the-middle” (MITM). Dzieje się tak, gdy zły aktor tworzy hotspot Wi-Fi, który naśladuje oryginalny hotspot, ale najpierw kieruje cały ruch przez swój system, umożliwiając im rejestrowanie wszystkich danych. Jest to łatwe do zrobienia i może być tak proste, jak podłączenie urządzenia wielkości kostki zasilającej do gniazdka elektrycznego w kawiarni.

Zamiast tego VPN wysyła zaszyfrowane dane na bezpieczny serwer. Twoje dane są chronione przez dostawcę usług internetowych, operatora lub operatora hotspotu. Widzą tylko, że korzystasz z VPN. Zwykła analogia to użycie tajnego tunelu z urządzenia do serwera VPN.

Podobnie strony internetowe i serwery, do których uzyskujesz dostęp, nie mogą uzyskać dostępu do Twojego adresu IP, lokalizacji ani innych danych identyfikujących – wydaje się, że ruch pochodzi z serwera VPN.

Dlaczego aplikacje VPN na iOS są zepsute

Po aktywacji aplikacji VPN powinna natychmiast zamknąć wszystkie istniejące (niezabezpieczone) połączenia danych, a następnie ponownie je otworzyć w bezpiecznym „tunelu”. Jest to całkowicie standardowa funkcja każdej usługi VPN.

Problem, jak mówi Horowitz, polega na tym, że iOS nie Umożliwić Aplikacje VPN do blokowania wszystkich istniejących niezabezpieczonych połączeń.

VPN na iOS są wyłączone. Na początku wydają się działać dobrze. Twoje urządzenie z systemem iOS otrzymuje nowy publiczny adres IP i nowe serwery DNS. Dane są przesyłane do serwera VPN. Jednak z biegiem czasu szczegółowe badanie danych opuszczających urządzenie z systemem iOS pokazuje, że tunel VPN przecieka. Dane opuszczają urządzenie iOS poza tunelem VPN.

To nie jest klasyczny/starszy wyciek DNS, to jest wyciek danych. Potwierdziłem to, korzystając z wielu rodzajów VPN i oprogramowania od kilku dostawców VPN. Najnowsza testowana przeze mnie wersja iOS to 15.6.

Jest to duży problem, ponieważ istniejące, niezabezpieczone połączenia mogą trwać kilka minut, co oznacza, że ​​jeśli włączysz VPN, aby zrobić coś tajnego, pierwsze czynności, które zrobisz, mogą nie być chronione.

Jeszcze gorzej jest w przypadku powiadomień push Apple, ponieważ te połączenia mogą pozostać otwarte godziny, Nie minuty.

ProtonVPN Ten problem został rozwiązany po raz pierwszy Powrót w marcu 2020 r.

Członek społeczności Proton odkrył, że w iOS 13.3.1 system operacyjny nie zamyka istniejących połączeń. (Problem utrzymywał się również w najnowszej wersji 13.4). Większość połączeń jest krótkotrwała i ostatecznie zostanie ponownie nawiązana samodzielnie przez tunel VPN. Jednak niektóre z nich są długotrwałe i mogą pozostawać otwarte przez kilka minut do godzin poza tunelem VPN. […]

Ani Proton VPN, ani żadna inna usługa VPN nie mogą zapewnić obejścia tego problemu, ponieważ iOS nie pozwala aplikacji VPN na zatrzymywanie istniejących połączeń sieciowych.

Później w tym samym roku firma dodała aktualizację, która mówi, że Apple nadal nie naprawił problemu, ale daje twórcom aplikacji możliwość dodania ręcznej funkcji „Kill Switch”, która wyłączy wszystkie połączenia danych na żądanie. Firma powiedziała, że ​​to doda, ale potem przestała aktualizować post w październiku 2020 r.

Długi post Horowitza opisuje, w jaki sposób zidentyfikował problem jako problem z iOS, używając wielu urządzeń i wielu aplikacji VPN. Powiedział też, że kiedy powiadomił Apple, firma początkowo zajmowała się nim, ale później zamilkła.

Jak dotąd, po około pięciu tygodniach, Apple prawie nic mi nie powiedział. Nie wspomnieli, czy próbowali odtworzyć problem. Nie powiedzieli, czy zgadzają się, że to pomyłka. Nie mówili nic o reformie.

Odtworzenie tego zajmuje tak mało czasu i wysiłku, a problem jest tak spójny, że gdyby w ogóle próbowali, powinni byli go odtworzyć. To nie moja sprawa. Może mają nadzieję, że tak jak ProtonVPN pójdę dalej i zostawię to. Nie wiem.

Czy w tym obszarze jest jakaś firma?

Proton zasugerował włączenie, a następnie wyłączenie trybu samolotowego, ale mówi, że nie może zagwarantować, że to zadziała. Horowitz przetestował to i znalazł używany Aby działać, wróć na iOS 12.5.5, ale nie rób tego na iOS 15.

chciałbym oczekiwanie Ponowne uruchomienie telefonu zadziała, ale Horowitz nie wydaje się specjalnie tego testować.

Zamiast tego mówi, że jedyną opcją w tej chwili jest kontakt bezpieczny routerz wbudowaną siecią VPN — ale to nie pomaga w przypadku połączeń mobilnych, czyli wtedy, gdy najprawdopodobniej potrzebujesz VPN.

Skontaktowaliśmy się z firmą Apple i zaktualizujemy ją z każdą odpowiedzią.

obrazek: Peter Lagson/Unsplash

Sprawdź 9to5Mac na YouTube, aby uzyskać więcej informacji o Apple: