خطر لو رفتن آدرس واقعی IP کاربران VPN

شرکت Perfect Privacy، ارائه‌دهنده VPN، که ضعف‌های امنیتی را کشف کرده‌ است، آن را «شکست پورت» نامگذاری کرده است، و گفته است که این ضعف‌ها روی VPN های مبتنی بر IPSec (امنیت پروتکل اینترنت) یا PPTP (پروتکل تونل نقطه به نقطه) یا روی نرم‌افزارهای گیرنده خدمات OpenVPN، تاثیرگذار است.

این شرکت‌ اضافه کرد، شرکت‌هایی که خدمات Port Forwarding را ارائه می‌دهند تاثیر می‌بینند، مگر اینکه از روش‌های دفاعی خاصی استفاده کرده باشند.

مهاجمان نیاز دارند تا در همان ارائه‌دهنده آسیب‌پذیر که قربانیانشان مشتری آن هستند، یک حساب داشته باشند و باید هدف را تحریک کنند که از یک وب‌گاه خاص که تحت کنترل رخنه‌گر است بازدید کنند.

محققان می‌گویند: «اگر مهاجم، امکان Port Forwarding را برای حسابش روی همان کارگزار فعال کرده باشد، می‌تواند آدرس آی‌پی واقعی هر کاربری را روی همان کارگزار VPN، کشف کند، این کار با تحریک وی به بازدید از یک پیوند که ترافیک را به یک پورت تحت کنترل مهاجم هدایت می‌کند، صورت می‌گیرد.»

شرکت‌های اصلی ارائه‌دهنده خدمات شبکه خصوصی مجازی، در مورد این رخنه هشدار داده‌اند. شرکت Private Internet Access اعلام کرد که این نقص را تعمیر کرده است و ۵۰۰۰ دلار به رقیب خود برای تلاش تحقیقاتی در این زمینه پرداخت کرده است.

کاربران BitTorrent هدف تهدید خاصی قرار دارند، به گفته Perfect Privacy، چون آن‌ها از Port Forwarding به عنوان پورت گیرنده خدمات پیش‌فرض استفاده کنند، نیازی ندارند که به یک وب‌گاه که تحت کنترل رخنه‌گر است مراجعه کنند.

محققان پیشنهاد می‌دهند که ارائه‌دهندگان VPN، قوانین دیوار آتش سمت کارگزار را طوری تعیین کنند که امکان دسترسی با آدرس آی‌پی واقعی گیرنده خدمات را مسدود شود تا از Port Forwarding گیرنده خدمات به پورت‌هایی که از‌ آن‌ها استفاده نمی‌شود، جلوگیری گردد.