Une nouvelle série de techniques d'attaques a été mise en lumière par des chercheurs. Nommées « TunnelCrack », elles peuvent se jouer des défenses d'une grande partie des VPN en exposant le trafic réseau de leurs utilisateurs.
Les VPN (Virtual Private Network) ont le vent en poupe depuis plusieurs années chez le grand public, prouvant que beaucoup de personnes sont soucieuses de leur anonymat sur le Web. Si ces solutions paraissent être une protection sûre, il se trouve qu'elles comportent tout de même des faiblesses exploitables par des hackers suffisamment aguerris. Voyons ce qu'il se cache derrière ce TunnelCrack en nous attardant sur deux types différents d'attaques.
L'attaque LocalNet : l'exploitation des faiblesses d'un VPN grâce à un réseau fictif
La première de ces attaques, LocalNet, permet aux hackers de créer un réseau Ethernet ou Wi-Fi fictif. Ensuite, les utilisateurs du VPN visés sont incités à se connecter à ce réseau virtuel frauduleux. Grâce à cette manipulation, les attaquants leur attribuent une adresse IP publique et un sous-réseau dédié. Tout le trafic qui transite logiquement à l'intérieur du tunnel sécurisé du VPN est ensuite redirigé, et les hackers ont tout le loisir de l'intercepter. Très efficace, l'attaque LocalNet nécessite cependant de solides connaissances en informatique et en manipulation pour que les victimes soient incitées à se connecter au réseau fictif malveillant.
Comme un exemple vaut mieux que mille mots, prenons la situation suivante : un utilisateur souhaite se rendre sur une adresse IPv4 « 1.2.3.4 ». L'attaquant qui veut le cibler lui attribue alors l'adresse « 1.2.3.7 ». Comme une grande majorité des services VPN donnent la permission d'un accès direct au réseau local lorsqu'il est utilisé, la connexion souhaitée originellement par la victime sera automatiquement redirigée à partir de la mauvaise adresse, soit ici « 1.2.3.7 ». Le tunnel sécurisé normalement créé par le VPN est de fait contourné, et le trafic de l'utilisateur est entièrement exposé.
L'attaque ServerIP : la redirection vers une adresse IP modifiée
Cette attaque exploite un autre type de vulnérabilité, plutôt courante chez une bonne partie des VPN du marché. Le trafic à destination de l'adresse IP du serveur VPN manque parfois d'un chiffrement solide. Conscients de cette faiblesse, les hackers altèrent les réponses DNS. Le résultat ne se fait pas attendre : l'adresse IP du VPN est ainsi mise en correspondance avec celle d'un site web qui est pris pour cible. Une fois que la victime utilise son VPN, tout son trafic réseau est détourné vers le site ciblé, échappant alors à la protection du VPN.
Prenons l'exemple suivant : un serveur VPN est identifié par un nom d'hôte comme « xyx.com ». Son adresse IP est « 4.4.4.4 ». Pour que l'attaque fonctionne, le hacker fait en sorte de falsifier la réponse DNS afin que « xyx.com » renvoie vers une autre adresse IP, disons « 1.2.3.4 », qui est en fait l'adresse IP de la personne ciblée. Une fois celle-ci connectée au VPN, l'entièreté du trafic réseau est redirigée vers sa propre IP. Même si la connexion avec le VPN est établie, le trafic est ensuite détourné en dehors du tunnel sécurisé, le laissant ainsi en proie aux hackers.
Même si ces nouveaux types d'attaques découvertes ne sont pas forcément accessibles à des hackers débutants, elles mettent en lumière des vulnérabilités importantes. Malheureusement, aucune liste des VPN concernés par ces attaques TunnelCrack n'est pour le moment officiellement disponible. Les fabricants, de leur côté, ont tout intérêt à prendre les mesures nécessaires s'ils veulent garder la confiance de leurs clients.
Source : The Register
