TunnelVision 和 Proton VPN

阅读: 0 分钟
类别: Proton VPN 应用

TunnelVision 是一种存在于所有主流操作系统中的漏洞，可强制虚拟专用网络 (VPN) 应用将流量路由到 VPN 隧道之外。这可能让攻击者窥探您的浏览历史，甚至向您的互联网流量中注入恶意代码。

该漏洞由安全研究人员发现，他们于 2024 年五月宣布（新窗口）了这一漏洞，目前尚无已知的黑客利用案例。不过，该漏洞可能早在 2002 年就已存在。

如果您使用 Android 或 Windows，或在 Apple 设备上启用终止开关功能，Proton VPN 基本上可以抵御 TunnelVision。例外情况是我们的 Linux 应用，但仍有方法可以降低风险。虽然大多数人不太可能遭遇这种攻击，但了解相关风险以及如何在使用 Proton VPN 时保持安全仍然十分重要。

Proton VPN 应用是否容易受到 TunnelVision 的影响？

许多 VPN 都容易受到 TunnelVision 的攻击，因为该攻击针对的是一种常用协议。

但这种攻击并不容易实施：要利用 TunnelVision 漏洞，攻击者必须首先控制您的设备所连接的局域网 (LAN)。也就是说，您通过 WiFi 或以太网电缆连接的路由器必须已被泄露（移动蜂窝网络不受 TunnelVision 的影响）。

这意味着对于连接到家庭或办公室网络的设备来说，这不太可能成为问题。真正的危险在于连接到公共 WiFi 热点之类的网络时，因为这些热点可能被任何人控制。

经过对 Proton VPN 应用的广泛测试，我们可以确认：

Android

我们的 Android 应用完全不受此问题的影响，因为它不支持选项 121（见下文）。此外，得益于 Android 将连接拆分为多个“区域”、且每个区域使用不同路由表的方式，Android 对类似攻击也具有很强的抵抗力。

Windows

Windows 操作系统 (OS) 容易受到 TunnelVision 的影响，但我们在 Windows 应用中实施了防火墙规则，以确保数据只能通过 VPN 隧道路由，因此我们的 Windows 应用不易受到 TunnelVision 的攻击。

利用易受 TunnelVision 攻击的路由的尝试可能会阻止应用连接到原本可能被利用的网站，但您的数据在任何时候都不会处于危险之中。

macOS、iOS 和 iPadOS

Apple 设备本身容易受到 TunnelVision 的影响，但启用终止开关后，我们的 macOS、iOS 和 iPadOS 应用不易受到攻击。这是因为终止开关用于防止 VPN 隧道之外连接的防火墙规则和其他预防措施也能保护您的设备免受 TunnelVision 的攻击。

Linux

我们的 Linux 应用对 WireGuard® 协议的实现旨在解决这一问题。使用 WireGuard 时，我们的 Linux 应用不易受到 TunnelVision 的攻击。

TunnelVision 是如何运作的？

本地网络中的 IP 地址由路由器通过动态主机配置协议 (DHCP)（新窗口）分配。VPN 应用旨在确保所有互联网流量都通过本地 IP 地址路由，该地址会将流量引入已加密的 VPN 隧道。

一项名为选项 121（新窗口）的设置允许路由器覆盖此类配置，并将流量路由到 VPN 隧道之外、直达路由器本身。因此，攻击者必须控制路由器才能发起攻击。

常见问题

我的设备是否容易受到 TunnelVision 的影响？

如果您将 Proton VPN 用于以下平台：

Android：否
Windows：否
macOS：否，前提是您开启了终止开关
iOS 和 iPadOS：否，前提是您开启了终止开关
Linux：是。但仅当您连接到由恶意攻击者控制的路由器时

我的设备在家庭或办公室网络上是否容易受到攻击？

几乎可以肯定不会。本地网络需要已被恶意攻击者泄露，而这种情况非常罕见。不过，公共 WiFi 网络可能并不安全。

我的移动设备是否容易受到攻击？

使用移动（蜂窝）网络的设备不易受到 TunnelVision 攻击。iPhone 和 iPad 如果连接到本地网络（例如通过 WiFi 或以太网电缆），则可能容易受到攻击，但启用终止开关可以降低这一风险。

为什么有些设备比其他设备更容易受到攻击？

数据包的路由方式取决于您的操作系统，而不是 VPN 应用。因此，决定平台受 TunnelVision 漏洞影响程度的是操作系统。VPN 应用可以缓解这一问题，但归根结底取决于每个操作系统的设计方式。