TunnelVision y Proton VPN

TunnelVision es una vulnerabilidad presente en todos los principales sistemas operativos que puede obligar a las aplicaciones de red privada virtual (VPN) a enrutar el tráfico fuera del túnel VPN. Esto podría permitir que un atacante espíe su historial de navegación o incluso que inyecte código malicioso en su tráfico de internet.

La vulnerabilidad fue descubierta por investigadores de seguridad que la anunciaron(nueva ventana) en mayo de 2024, y no se conocen casos de hackers que la hayan utilizado. Sin embargo, es posible que la vulnerabilidad haya existido desde el año 2002.

Proton VPN es ampliamente resistente a TunnelVision si utiliza Android, Windows o si activa la función de interruptor de bloqueo en dispositivos Apple. La excepción es nuestra aplicación para Linux, pero aún existen formas de mitigar el riesgo. Aunque es poco probable que la mayoría de las personas se enfrenten a este ataque, es importante conocer los riesgos y saber cómo mantenerse seguro al utilizar Proton VPN.

¿Son vulnerables a TunnelVision las aplicaciones de Proton VPN?

Muchas VPN son vulnerables a TunnelVision porque el ataque se dirige a un protocolo de uso común.

Pero no es un ataque fácil de realizar: para explotar la vulnerabilidad TunnelVision, un atacante primero debe obtener el control de la red de área local (LAN) a la que está conectado su dispositivo. Es decir, el enrutador al que se conecta a través de WiFi o cable Ethernet debe estar comprometido (las conexiones móviles de datos no se ven afectadas por TunnelVision).

Esto significa que es muy poco probable que sea un problema para los dispositivos conectados a una red del hogar o de la oficina. El verdadero peligro radica en conectarse a redes WiFi públicas, las cuales podrían estar controladas por cualquier persona.

Tras realizar pruebas exhaustivas en las aplicaciones de Proton VPN, podemos confirmar:

Android

Nuestra aplicación de Android no se ve afectada en absoluto por el problema, ya que no admite la opción 121 (ver más abajo). Android también es muy resistente a ataques similares gracias a la forma en que divide las conexiones en múltiples “zonas”, cada una de las cuales utiliza una tabla de enrutamiento diferente.

Windows

El sistema operativo (SO) Windows es vulnerable to TunnelVision, pero las reglas de cortafuegos que hemos implementado en nuestra aplicación de Windows para garantizar que los datos solo se puedan enrutar a través del túnel VPN significan que nuestra aplicación de Windows no es vulnerable a TunnelVision.

Los intentos de explotar rutas vulnerables a TunnelVision pueden evitar que una aplicación se conecte a sitios web que de otro modo podrían ser explotados, pero sus datos no están en peligro en ningún momento.

macOS, iOS y iPadOS

Los dispositivos Apple en sí son vulnerables a TunnelVision, pero nuestras aplicaciones para macOS, iOS y iPadOS no son vulnerables cuando activa el interruptor de bloqueo. Esto se debe a que las reglas de cortafuegos y otras precauciones que utiliza el interruptor de bloqueo para evitar conexiones fuera del túnel VPN también protegen su dispositivo contra los ataques de TunnelVision.

• Aprenda cómo activar el interruptor de bloqueo en macOS
• Aprenda cómo activar el interruptor de bloqueo en iOS y iPadOS

Linux

Nuestra implementación del protocolo WireGuard® en nuestra aplicación de Linux fue diseñada para solucionar este problema. Al utilizar WireGuard, nuestra aplicación de Linux no es vulnerable a TunnelVision.

¿Cómo funciona TunnelVision?

Las direcciones IP en una red local las asigna el enrutador mediante el Protocolo de configuración dinámica de host (DHCP)(nueva ventana). Las aplicaciones de VPN están diseñadas para garantizar que todo el tráfico de internet se enrute a través de una dirección IP local que lo canalice hacia el túnel VPN cifrado.

Un ajuste conocido como opción 121(nueva ventana) permite al enrutador anular dichas configuraciones y enrutar el tráfico fuera del túnel VPN hacia el propio enrutador. Por lo tanto, para que el ataque funcione, el atacante debe controlar el enrutador.

Preguntas frecuentes

¿Es mi dispositivo vulnerable a TunnelVision?

Si utiliza Proton VPN para:

• Android: No
• Windows: No
• macOS: No, si activa el interruptor de bloqueo
• iOS y iPadOS: No, si activa el interruptor de bloqueo
• Linux: Sí. Pero solo si está conectado a un enrutador controlado por un atacante malicioso

¿Es vulnerable mi dispositivo en la red de mi hogar o de la oficina?

Es casi seguro que no. La red local tendría que estar comprometida por un atacante malicioso, lo cual es muy poco probable. Sin embargo, las redes WiFi públicas pueden ser inseguras.

¿Es vulnerable mi dispositivo móvil?

Los dispositivos que utilizan conexiones de datos móviles no son vulnerables a los ataques de TunnelVision. Los iPhone y iPad pueden ser vulnerables si están conectados a una red local (por ejemplo, mediante WiFi o cable Ethernet), pero esto se puede mitigar activando el interruptor de bloqueo.

¿Por qué algunos dispositivos son más vulnerables que otros?

La forma en que se enrutan los paquetes de datos depende de su sistema operativo, no de la aplicación de VPN. Por lo tanto, el SO es el que determina qué tan vulnerable es una plataforma a la vulnerabilidad TunnelVision. Las aplicaciones de VPN pueden mitigar el problema, pero en última instancia, todo depende de cómo esté diseñado cada SO.