ExpressVPN risolve la vulnerabilità della compressione “Voracle” nelle app

[ware_item id=33][/ware_item]

Il logo ExpressVPN in una morsa robusta, a simboleggiare la nostra solida sicurezza. Siamo forti, come l'orso.


Aggiornamento: dal 24 ottobre 2018, i nostri server di configurazione manuali non sono vulnerabili all'exploit VORACLE.

Durante un briefing su Black Hat nell'agosto 2018, il ricercatore Ahamed Nafeez ha rivelato una nuova vulnerabilità nel protocollo OpenVPN. La vulnerabilità, denominata Voracle, interessa tutte le connessioni TLS che utilizzano la compressione.

OpenVPN è utilizzato da una vasta gamma dei principali servizi VPN per i consumatori. Nafeez è stato in grado di sfruttare una connessione OpenVPN che ha creato da solo, navigando in un sito utilizzando Firefox, ma non è stato in grado di replicare l'effetto utilizzando Google Chrome.

ExpressVPN utilizza principalmente i protocolli OpenVPN e IPsec. Nel nostro caso, Voracle ha influenzato le connessioni impostate tramite la configurazione manuale o le connessioni stabilite tramite le nostre app tramite TCP OpenVPN. Connessioni OpenVPN UDP anche se le app non sono state interessate.

Come funziona Voracle

La compressione aumenta teoricamente la capacità di archiviazione e larghezza di banda sostituendo schemi frequenti con riferimenti, analogamente a come la sostituzione di parole con emoji consente a più informazioni di adattarsi a un tweet. Ma nell'uso quotidiano, la compressione quando si utilizza una VPN offre pochi vantaggi.

Iniettando i dati in un flusso non crittografato, un utente malintenzionato potrebbe essere in grado di sapere se un determinato testo è incluso nel flusso di dati non crittografato e compresso osservando le modifiche nella lunghezza del flusso crittografato.

Per conoscere in modo affidabile i contenuti della connessione, l'utente malintenzionato dovrebbe richiedere all'utente di ripetere ripetutamente lo stesso contenuto, consentendo di iniettare lievi variazioni dei dati di test dell'attaccante nel flusso dell'utente.

Questi dati potrebbero essere immessi tramite richieste o cookie interdominio e l'utente malintenzionato potrebbe quindi osservare il traffico controllando uno switch di rete o un router. Se i dati sono già crittografati prima che entrino nel tunnel VPN, questa vulnerabilità non può essere sfruttata. Un utente malintenzionato non sarebbe in grado in nessun caso di utilizzarlo su connessioni HTTPS o PGP / OTR.

Soluzione: disabilitare la compressione

Per mitigare il Voracle, ExpressVPN ha disabilitato la compressione su tutte le connessioni effettuate dalle app. Gli utenti non devono aggiornare le loro app.

Se si utilizza un file di configurazione manuale prima dell'attacco VORACLE, scaricare un nuovo file di configurazione o aggiornare il file per includere la riga "comp-lzo off".

ExpressVPN considera l'exploit serio ma limitato nell'applicazione, in quanto un utente malintenzionato dovrebbe non solo essere in grado di osservare il traffico crittografato, ma anche essere in grado di iniettare dati nel flusso di dati non crittografato. Tuttavia, quando si utilizza qualsiasi sito o servizio in cui sono coinvolti dati sensibili, gli utenti di Internet dovrebbero utilizzare HTTPS per la crittografia end-to-end.

ExpressVPN risolve la vulnerabilità della compressione "Voracle" nelle app
admin Author
Sorry! The Author has not filled his profile.