TunnelVision und Proton VPN

TunnelVision ist eine Sicherheitslücke in allen gängigen Betriebssystemen, die VPN-Apps (Virtual Private Network) dazu zwingen kann, den Datenverkehr außerhalb des VPN-Tunnels zu leiten. Dies könnte es einem Angreifer ermöglichen, deinen Browserverlauf auszuspionieren oder sogar schädlichen Code in deinen Internetverkehr einzuschleusen.

Die Sicherheitslücke wurde von Sicherheitsforschern entdeckt, die sie im Mai 2024 bekannt gaben(neues Fenster), und es sind keine Fälle bekannt, in denen Hacker sie jemals ausgenutzt hätten. Die Sicherheitslücke könnte jedoch bereits seit dem Jahr 2002 existiert haben.

Proton VPN ist weitgehend resistent gegen TunnelVision, wenn du Android oder Windows verwendest oder die Kill Switch-Funktion auf Apple-Geräten aktivierst. Die Ausnahme ist unsere Linux-App, aber es gibt dennoch Möglichkeiten, das Risiko zu minimieren. Obwohl die meisten Menschen wahrscheinlich nicht von diesem Angriff betroffen sein werden, ist es wichtig, sich der Risiken bewusst zu sein und zu wissen, wie du bei der Nutzung von Proton VPN geschützt bleibst.

Sind Proton VPN-Apps anfällig für TunnelVision?

Viele VPNs sind anfällig für TunnelVision, da der Angriff auf ein häufig verwendetes Protokoll abzielt.

Der Angriff ist jedoch nicht einfach durchzuführen: Um die TunnelVision-Sicherheitslücke auszunutzen, muss ein Angreifer zuerst die Kontrolle über das lokale Netzwerk (LAN) erlangen, mit dem dein Gerät verbunden ist. Das bedeutet, dass der Router, mit dem du dich über WLAN oder ein Ethernet-Kabel verbindest, kompromittiert sein muss (mobile Mobilfunkverbindungen sind von TunnelVision nicht betroffen).

Das bedeutet, dass dies für Geräte, die mit einem Heim- oder Büronetzwerk verbunden sind, sehr unwahrscheinlich ein Problem darstellt. Die eigentliche Gefahr besteht bei der Verbindung mit öffentlichen WLAN-Hotspots, die von jedermann kontrolliert werden könnten.

Nach umfassenden Tests der Proton VPN-Apps können wir bestätigen:

Android

Unsere Android-App ist von diesem Problem überhaupt nicht betroffen, da sie Option 121 nicht unterstützt (siehe unten). Android ist zudem sehr resistent gegen ähnliche Angriffe. Das liegt daran, wie es Verbindungen in mehrere „Zonen“ aufteilt, von denen jede eine andere Routing-Tabelle verwendet.

Windows

Das Windows-Betriebssystem (OS) ist anfällig für TunnelVision. Doch die Firewall-Regeln, die wir in unserer Windows-App implementiert haben, um sicherzustellen, dass Daten nur durch den VPN-Tunnel geleitet werden können, bedeuten, dass unsere Windows-App nicht für TunnelVision anfällig ist.

Versuche, für TunnelVision anfällige Routen auszunutzen, können eine App daran hindern, sich mit Websites zu verbinden, die andernfalls ausgenutzt werden könnten. Deine Daten sind jedoch zu keinem Zeitpunkt in Gefahr.

macOS, iOS und iPadOS

Apple-Geräte selbst sind anfällig für TunnelVision, aber unsere macOS-, iOS- und iPadOS-Apps sind nicht anfällig, wenn du den Kill Switch aktivierst. Dies liegt daran, dass die Firewall-Regeln und andere Vorsichtsmaßnahmen des Kill Switches zur Verhinderung von Verbindungen außerhalb des VPN-Tunnels dein Gerät auch vor TunnelVision-Exploits schützen.

• Erfahre, wie du den Kill Switch auf macOS aktivierst
• Erfahre, wie du den Kill Switch auf iOS und iPadOS aktivierst

Linux

Unsere Implementierung des WireGuard®-Protokolls in unserer Linux-App wurde entwickelt, um dieses Problem zu beheben. Wenn du WireGuard verwendest, ist unsere Linux-App nicht für TunnelVision anfällig.

Wie funktioniert TunnelVision?

IP-Adressen in einem lokalen Netzwerk werden vom Router über das Dynamic Host Configuration Protocol (DHCP)(neues Fenster) zugewiesen. VPN-Apps sind so konzipiert, dass der gesamte Internetverkehr über eine lokale IP-Adresse geleitet wird, die ihn in den verschlüsselten VPN-Tunnel kanalisiert.

Eine Einstellung, die als Option 121(neues Fenster) bekannt ist, ermöglicht es dem Router, solche Konfigurationen zu überschreiben und den Datenverkehr außerhalb des VPN-Tunnels zum Router selbst zu leiten. Damit der Angriff funktioniert, muss der Angreifer daher die Kontrolle über den Router haben.

Häufig gestellte Fragen

Ist mein Gerät anfällig für TunnelVision?

Wenn du Proton VPN nutzt für:

• Android: Nein
• Windows: Nein
• macOS: Nein, wenn du den Kill Switch einschaltest
• iOS und iPadOS: Nein, wenn du den Kill Switch einschaltest
• Linux: Ja. Aber nur, wenn du mit einem Router verbunden bist, der von einem böswilligen Angreifer kontrolliert wird

Ist mein Gerät in meinem Heim- oder Büronetzwerk anfällig?

Fast mit Sicherheit nicht. Das lokale Netzwerk müsste von einem böswilligen Angreifer kompromittiert werden, was sehr unwahrscheinlich ist. Öffentliche WLAN-Netzwerke können jedoch unsicher sein.

Ist mein Mobilgerät anfällig?

Geräte, die Mobilfunkverbindungen nutzen, sind für TunnelVision-Angriffe nicht anfällig. iPhones und iPads können anfällig sein, wenn sie mit einem lokalen Netzwerk verbunden sind (z. B. über WLAN oder ein Ethernet-Kabel), dies kann jedoch abgemildert werden, indem du den Kill Switch aktivierst.

Warum sind manche Geräte anfälliger als andere?

Wie Datenpakete weitergeleitet werden, hängen von deinem Betriebssystem ab, nicht von der VPN-App. Es ist daher das Betriebssystem, das bestimmt, wie anfällig eine Plattform für die TunnelVision-Sicherheitslücke ist. VPN-Apps können das Problem abmildern, aber letztendlich hängt es davon ab, wie das jeweilige Betriebssystem konzipiert ist.