يعمل ExpressVPN على إصلاح ثغرة ضغط “Voracle” في التطبيقات

[ware_item id=33][/ware_item]

شعار ExpressVPN بنائب قوي ، يرمز إلى أمننا القوي. نحن أقوياء ، مثل الدب.


تحديث: منذ 24 تشرين الأول (أكتوبر) 2018 ، لا تعد خوادم التكوين اليدوي الخاصة بنا عرضة للاستغلال.

في موجز القبعة السوداء في أغسطس 2018 ، كشف الباحث أحمد نافذ عن ثغرة جديدة في بروتوكول OpenVPN. مشكلة عدم الحصانة ، المسمى Voracle ، يؤثر على كافة اتصالات TLS التي تستخدم الضغط.

يتم استخدام OpenVPN من قبل مجموعة واسعة من خدمات VPN الرائدة للعملاء. تمكن Nafeez من استغلال اتصال OpenVPN الذي أنشأه بنفسه ، وتصفح موقعًا باستخدام Firefox ، لكنه لم يتمكن من تكرار التأثير باستخدام Google Chrome.

يستخدم ExpressVPN أساسًا بروتوكولي OpenVPN و IPsec. في حالتنا ، أثرت Voracle على الاتصالات التي تم إعدادها من خلال التكوين اليدوي أو الاتصالات التي تم إنشاؤها من خلال تطبيقاتنا باستخدام TCP OpenVPN. اتصالات UDP OpenVPN على الرغم من أن التطبيقات لم تتأثر.

كيف يعمل Voracle

يزيد الضغط من الناحية النظرية من سعة التخزين وعرض النطاق الترددي عن طريق استبدال الأنماط المتكررة بالمراجع ، على غرار الطريقة التي يسمح بها استبدال الكلمات بـ emojis بتضمين مزيد من المعلومات في تغريدة. ولكن في الاستخدام اليومي ، فإن الضغط عند استخدام VPN يوفر فائدة قليلة.

عن طريق حقن البيانات في دفق غير مشفر ، قد يتمكن المهاجم من معرفة ما إذا كان هناك نص معين مدرج في دفق البيانات غير المشفرة والمضغوطة من خلال مراقبة التغييرات في طول الدفق المشفر.

لمعرفة محتويات الاتصال بشكل موثوق ، سيحتاج المهاجم إلى أن يطلب المستخدم مرارًا وتكرارًا نفس المحتوى ، مما يسمح بحقن تغييرات طفيفة في بيانات اختبار المهاجم في تدفق المستخدم.

يمكن حقن هذه البيانات عبر طلبات أو ملفات تعريف الارتباط عبر المجال ، ويمكن للمهاجم بعد ذلك مراقبة حركة المرور من خلال التحكم في مفتاح الشبكة أو جهاز التوجيه. إذا كانت البيانات مشفرة بالفعل قبل أن تدخل نفق VPN ، فلا يمكن استغلال هذه الثغرة الأمنية. لن يتمكن المهاجم تحت أي ظرف من الظروف من استخدام هذا ضد اتصالات HTTPS أو PGP / OTR.

الحل: تعطيل الضغط

لتخفيف ضد Voracle, قام ExpressVPN بتعطيل الضغط على جميع الاتصالات التي تجريها التطبيقات. لا يحتاج المستخدمون إلى تحديث تطبيقاتهم.

إذا كنت تستخدم ملف تكوين يدوي من قبل هجوم VORACLE ، فيرجى تنزيل ملف تكوين جديد أو تحديث ملفك لتضمين السطر "comp-lzo off".

يعتبر ExpressVPN أن الاستغلال خطير ولكنه محدود في التطبيق ، حيث إن المهاجمين لن يحتاجوا فقط إلى مراقبة حركة المرور المشفرة ، بل سيكون بإمكانهم أيضًا ضخ البيانات في دفق البيانات غير المشفر. ومع ذلك ، عند استخدام أي موقع أو خدمة تشتمل على بيانات حساسة ، يجب على مستخدمي الإنترنت استخدام HTTPS للتشفير من طرف إلى طرف.

يعمل ExpressVPN على إصلاح ثغرة ضغط "Voracle" في التطبيقات
admin Author
Sorry! The Author has not filled his profile.