Il ricercatore italiano di sicurezza Paolo Stagno (VoidSec) ha verificato che circa il 20% dei client appartenenti ai maggiori servizi VPN sono soggetti a un bug del protocollo WebRTC associato a STUN, meccanismo che consente di instaurare un collegamento tra due computer.
WebRTC, attivo di default in molti browser, appartiene al novero delle “tecnologie invisibili” di cui ci serviamo nelle operazioni più comuni senza rendercene conto: chiamate, chat o conferenze audio e video, condivisione di file e schermate del PC.
STUN ha invece il compito di identificare la tipologia di firewall e NAT che si interpongono fra il computer e Internet, facilitando l’apertura al loro interno di quei corridoi che consentono la comunicazione e lo scambio di dati. Questi ultimi avvengono identificando le due macchine tramite i rispettivi IP.
Se utilizziamo una VPN, l’IP attraverso il quale effettuare le transazioni dovrebbe essere quello del server dietro cui ci “nascondiamo”. Un bug in STUN, e ovviamente un attacco in grado di sfruttarlo, permettono invece di risalire all’IP assegnatoci dal nostro provider, facendo saltare la copertura e rendendo molto più agevole risalire alla nostra identità.
Qui trovi un file di Google Docs con l’elenco aggiornato delle VPN vulnerabili.
E vuoi sapere qual è la parte migliore? Questo problema è noto fin dal 2015 ma quasi nessuno ha ancora fatto qualcosa per rimediare, complimenti!
Se vuoi saperne di più non perdere Hacker Journal 220 in edicola o su Sprea.it.
