TunnelVision e Proton VPN

TunnelVision è una vulnerabilità presente in tutti i principali sistemi operativi che può costringere le app della rete privata virtuale (VPN) a instradare il traffico al di fuori del tunnel VPN. Questo potrebbe consentire a un malintenzionato di spiare la tua cronologia di navigazione o persino di inserire codice dannoso nel tuo traffico internet.

La vulnerabilità è stata scoperta da ricercatori di sicurezza che l’hanno annunciata(nuova finestra) a maggio 2024, e non sono noti casi di hacker che l’abbiano mai utilizzata. Tuttavia, la vulnerabilità potrebbe essere esistita fin dal 2002.

Proton VPN è ampiamente resistente a TunnelVision se usi Android, Windows o se attivi la funzionalità kill switch sui dispositivi Apple. L’eccezione è la nostra app per Linux, ma ci sono comunque dei modi per mitigare il rischio. Sebbene sia improbabile che la maggior parte delle persone subisca questo attacco, è importante essere consapevoli dei rischi e di come rimanere al sicuro mentre usi Proton VPN.

Le app Proton VPN sono vulnerabili a TunnelVision?

Molte VPN sono vulnerabili a TunnelVision perché l’attacco prende di mira un protocollo comunemente utilizzato.

Ma non si tratta di un attacco facile da mettere in atto: per sfruttare la vulnerabilità TunnelVision, un malintenzionato deve prima acquisire il controllo della rete locale (LAN) a cui è connesso il tuo dispositivo. Vale a dire che il router a cui ti connetti tramite WiFi o cavo ethernet deve essere compromesso (le connessioni mobili cellulari non sono interessate da TunnelVision).

Ciò significa che è molto improbabile che si tratti di un problema per i dispositivi connessi a una rete domestica o dell’ufficio. Il vero pericolo si corre quando ci si connette a hotspot WiFi pubblici, che potrebbero essere controllati da chiunque.

Dopo approfonditi test sulle app Proton VPN, possiamo confermare:

Android

La nostra app Android non è affatto interessata dal problema, in quanto non supporta l’opzione 121 (vedi sotto). Android è anche altamente resistente ad attacchi simili, grazie al modo in cui suddivide le connessioni in più “zone”, ciascuna delle quali utilizza una tabella di routing diversa.

Windows

Il sistema operativo (OS) Windows è vulnerabile a TunnelVision, mas le regole del firewall che abbiamo implementato nella nostra app Windows per garantire che i dati possano essere instradati solo attraverso il tunnel VPN fanno sì che la nostra app Windows non sia vulnerabile a TunnelVision.

I tentativi di sfruttare rotte vulnerabili a TunnelVision possono impedire a un’app di connettersi a siti web che potrebbero essere altrimenti sfruttati, ma in nessun momento i tuoi dati sono in pericolo.

macOS, iOS e iPadOS

I dispositivi Apple stessi sono vulnerabili a TunnelVision, ma le nostre app per macOS, iOS e iPadOS non sono vulnerabili quando attivi il kill switch. Questo perché le regole del firewall e le altre precauzioni utilizzate dal kill switch per impedire connessioni al di fuori del tunnel VPN proteggono anche il tuo dispositivo dagli exploit di TunnelVision.

• Scopri come attivare il kill switch su macOS
• Scopri come attivare il kill switch su iOS e iPadOS

Linux

La nostra implementazione del protocollo WireGuard® sulla nostra app Linux è stata progettata per indirizzare questo problema. Quando si usa WireGuard, la nostra app Linux non è vulnerabile a TunnelVision.

Come funziona TunnelVision?

Gli indirizzi IP su una rete locale sono allocati dal router utilizzando il Dynamic Host Configuration Protocol (DHCP)(nuova finestra). Le app VPN sono progettate per garantire che tutto il traffico internet sia instradato attraverso un indirizzo IP locale che lo incanala nel tunnel VPN crittografato.

Un’impostazione nota come opzione 121(nuova finestra) consente al router di ignorare tali configurazioni e instradare il traffico al di fuori del tunnel VPN verso il router stesso. Affinché l’attacco funzioni, l’autore dell’attacco deve quindi controllare il router.

Domande frequenti

Il mio dispositivo è vulnerabile a TunnelVision?

Se usi Proton VPN per:

• Android: no
• Windows: no
• macOS: no, se attivi il kill switch
• iOS e iPadOS: no, se attivi il kill switch
• Linux: sì. Ma solo se sei connesso a un router controllato da un utente malintenzionato

Il mio dispositivo è vulnerabile sulla mia rete domestica o dell’ufficio?

Quasi certamente no. La rete locale dovrebbe essere compromessa da un malintenzionato, il che è molto improbabile. Tuttavia, le reti WiFi pubbliche potrebbero non essere sicure.

Il mio dispositivo mobile è vulnerabile?

I dispositivi che utilizzano connessioni mobili (cellulari) non sono vulnerabili agli attacchi TunnelVision. Gli iPhone e gli iPad potrebbero essere vulnerabili se connessi a una rete locale (ad esempio tramite WiFi o cavo ethernet), ma questo problema può essere mitigato attivando il kill switch.

Perché alcuni dispositivi sono più vulnerabili di altri?

Il modo in cui i pacchetti di dati vengono instradati dipende dal tuo sistema operativo, non dall’app VPN. È quindi l’OS a determinare quanto una piattaforma sia sensibile alla vulnerabilità TunnelVision. Le app VPN possono mitigare il problema, ma in ultima analisi dipende da come è progettato ciascun OS.