ExpressVPN fixar “Voracle” -komprimeringssårbarhet i appar

[ware_item id=33][/ware_item]

ExpressVPN-logotypen i en robust skruv, för att symbolisera vår robusta säkerhet. Vi är starka, som björn.


Uppdatering: Sedan 24 oktober 2018 är våra manuella konfigurationsservrar inte sårbara för VORACLE-exploateringen.

Vid en Black Hat Briefing i augusti 2018 avslöjade forskaren Ahamed Nafeez en ny sårbarhet i OpenVPN-protokollet. Sårbarheten, namnet Voracle, påverkar alla TLS-anslutningar som använder komprimering.

OpenVPN används av ett brett spektrum av ledande VPN-tjänster för konsumenter. Nafeez kunde utnyttja en OpenVPN-anslutning som han skapade själv, och surfar på en webbplats med Firefox, men han kunde inte replikera effekten med Google Chrome.

ExpressVPN använder huvudsakligen OpenVPN- och IPsec-protokollen. I vårt fall påverkade Voracle-anslutningar konfigurerade genom manuell konfiguration eller anslutningar som upprättats via våra appar med TCP OpenVPN. UDP OpenVPN-anslutningar även om apparna inte påverkades.

Hur Voracle fungerar

Komprimering ökar teoretiskt lagrings- och bandbreddskapacitet genom att ersätta ofta mönster med referenser, liknande hur byte av ord med emojis gör att mer information kan passa in i en tweet. Men i den dagliga användningen, komprimering när du använder ett VPN ger liten nytta.

Genom att injicera data i en okrypterad ström kan en angripare kunna lära sig om viss text ingår i den okrypterade och komprimerade dataströmmen genom att observera förändringar i längden på den krypterade strömmen.

För att tillförlitligt lära sig om innehållet i anslutningen skulle angriparen behöva att användaren upprepade gånger begär samma innehåll, vilket möjliggör att små variationer av angriparens testdata injiceras i användarens ström.

Denna information kan injiceras via förfrågningar eller kakor över domänen och angriparen kunde sedan observera trafik genom att kontrollera en nätverksomkopplare eller router. Om informationen redan är krypterad innan den går in i VPN-tunneln, kan detta sårbarhet inte utnyttjas. En angripare skulle under inga omständigheter kunna använda detta mot HTTPS- eller PGP / OTR-anslutningar.

Lösning: Inaktivera komprimering

För att mildra mot Voracle, ExpressVPN har inaktiverat komprimering på alla anslutningar som gjorts av appar. Användare behöver inte uppdatera sina appar.

Om du använder en manuell konfigurationsfil från före VORACLE-attacken, ladda ner en ny konfigurationsfil eller uppdatera din fil så att den innehåller raden "comp-lzo off".

ExpressVPN anser utnyttjandet allvarligt men begränsat i applikationen, eftersom en angripare inte bara skulle behöva kunna observera den krypterade trafiken utan också kunna injicera data i den okrypterade dataströmmen. Fortfarande, när man använder någon webbplats eller tjänst där känslig information är inblandad, bör internetanvändare använda HTTPS för en-till-än-kryptering.

ExpressVPN fixar "Voracle" -komprimeringssårbarhet i appar
admin Author
Sorry! The Author has not filled his profile.