A Apple deixou uma vulnerabilidade de desvio de VPN no iOS sem correção por pelo menos dois anos, deixando os dados de identificação de tráfego IP expostos e não há sinal de correção.
No início de 2020, seguro O provedor de e-mail ProtonMail relatou uma falha na versão 13.3.1 do iOS da Apple que impedia as VPNs de criptografar todo o tráfego. O problema era que o sistema operacional não conseguia fechar as conexões existentes.
Isso pode permitir que um invasor identifique o endereço IP de origem de um usuário de VPN. Para aqueles que realmente confiam em ocultar esses dados para evitar a atenção de um regime repressivo ou de alguém que busca informações privadas, essa não é uma preocupação trivial.
O ProtonMail na época disse que a Apple estava ciente do problema e que Cupertino estava analisando opções de mitigação. A Apple tem uma solução alternativa para usuários corporativos com dispositivos gerenciados pela empresa, uma VPN Always On. Mas isso não é uma opção para consumidores ou outros com dispositivos autogerenciados.
O ProtonMail revisou sua postagem de 25 de março de 2020 a cada poucos meses para observar que as versões subsequentes do iOS 13.4, 13.5, 13.6, 13.7 e 14 todos deixaram a vulnerabilidade não corrigida. A última atualização da empresa está datada de 19 de outubro de 2020.
Corrigindo vazamentos ou não
No início deste ano, Michael Horowitz, um desenvolvedor de software e consultor veterano, revisitou a situação e descobriu que as VPNs no iOS ainda são vulneráveis e vazam dados.
“As VPNs no iOS estão quebradas “, ele escreveu em uma atualização de 5 de agosto para um post de 25 de maio intitulado “VPNs no iOS são uma farsa”. “A princípio, eles parecem funcionar bem. O dispositivo iOS obtém um novo endereço IP público e novos servidores DNS. Os dados são enviados para o servidor VPN.”
“Mas, com o tempo, uma a inspeção de dados que saem do dispositivo iOS mostra que o túnel VPN vaza. Os dados deixam o dispositivo iOS fora do túnel VPN. Este não é um vazamento de DNS clássico/herdado, é um vazamento de dados.”
Sua postagem inclui dados de log do roteador que demonstram o vazamento de dados.
Então, dez dias atrás, Horowitz atualizou sua postagem para confirmar que o iOS 15.6 – a versão mais recente do iOS da Apple, se você não pudesse o 15.6. 1 atualização que saiu ontem para corrigir dois bugs de dia zero – ainda está vulnerável.
Silêncio absoluto
O Register pediu para a Apple comentar e a empresa não respondeu, o que não é totalmente esperado.
A resistência de longa data da Apple em se envolver com o público, a imprensa e a comunidade de segurança, para responder abertamente às preocupações e fornecer atualizações de status as discussões sobre questões pendentes permitem que questões como essa se agravem – até que o clamor público fique tão alto que não possa ser ignorado. É a mesma política de comunicação de mentalidade de bunker que permitiu à empresa formular um plano de varredura CSAM para o iCloud que explodiu na sua cara quando o público ficou sabendo da ideia.
A Microsoft corrige o patch que quebrou VPNs, Hyper-V e deixou servidores em loops de inicialização
- A Apple processa o NSO ‘mercenários amorais do século 21’ por infectar iPhones com spyware Pegasus As redes móveis realmente odeiam o Private Relay da Apple: algumas pessoas encontram o recurso de privacidade do iOS bloqueado em seus iPhones
- ProtonMail exclui ‘ nós não registramos seu IP’ do site após a prisão do ativista climático francês
Horowitz relata ter enviado um e-mail à Apple sobre vazamento de dados da VPN em maio, quando seu post foi publicado pela primeira vez. Em julho, ele escreveu: “Desde então, houve uma série de e-mails entre mim e a empresa (sim, e-mail simples e não criptografado – sem segurança alguma). Até o momento, cerca de cinco semanas depois, a Apple não disse praticamente nada para Eles não disseram se tentaram recriar o problema. Eles não disseram se concordam que isso seja um bug. Eles não disseram nada sobre uma correção.”
Além disso, Horowitz diz que Yegor Sak, o cofundador do serviço VPN Windscribe, entrou em contato para dizer que sua empresa está ciente do vazamento de dados e enviou vários relatórios para a Apple.
Quando a empresa de segurança Sophos notou a postado em março de 2020, o autor John Dunn observou: “Pelo menos a Apple sabe sobre o problema”. Dois anos e meio depois, a consciência da Apple parece indistinguível da ignorância.
