Een VPN beschermt gebruikers op openbare wifi-netwerken mogelijk niet zo goed als werd gedacht, zo blijkt uit onderzoek van Leviathan Security. Door het misbruiken van een DHCP-server is het voor hackers en kwaadwillenden mogelijk om VPN-verbindingen te omzeilen. Op deze manier hebben zij toch toegang tot alle data van de VPN-gebruiker, zonder dat deze daar weet van heeft.
Onderzoekers Lizzie Moratti en Dani Cronce van Leviathan ontdekten de kwetsbaarheid op publieke wifi-netwerken. Zij wisten een neppe Dynamic Host Configuration Protocol (DHCP)-server op te zetten binnen een lokaal netwerk.
Een DHCP-server stuurt normaal gesproken aanvragen van een apparaat door om te verbinden met een netwerk. Door het aanmaken van een extra, neppe DHCP-server kunnen kwaadwillenden verkeer ongemerkt toch buiten de VPN om laten lopen. Hierdoor is de VPN geactiveerd, maar wordt de beveiligde tunnel niet gebruikt, waardoor men toegang krijgt tot het verkeer van een apparaat. Deze techniek heeft daarmee iets weg van een man-in-the-middle aanval.
Uit diverse tests bleek dat deze methode werkt bij zowel nieuw-opgezette VPN-verbindingen als bij verbindingen die al tot stand waren gebracht. De VPN detecteert deze aanval niet en zelfs een ingeschakelde kill switch activeerde niet tijdens het onderzoek. Dit betekent dat VPN-gebruikers ongemerkt afgeluisterd kunnen worden.
De DHCP-standaard die deze methode mogelijk maakt, wordt al sinds 2002 gebruikt. Dit betekent dat de kwetsbaarheid in theorie al 22 jaar misbruikt kan worden. Of dat ook echt is gebeurd, is onduidelijk. Wel liet Bill Woodcock, executive director van de nonprofit Packet Clearing House, aan KrebsOnSecurity (1) weten dat deze zwakte erg problematisch is voor VPN-gebruikers op publieke wifi-netwerken.
John Kristoff, oprichter van dataplane.org, reageerde op Leviathan’s onderzoek met het feit dat veel netwerkapparaten de mogelijkheid hebben tot rogue DHCP-serverdetectie. Of deze opties in de praktijk ook actief gebruikt worden, is de vraag. Kristoff benadrukt dat onveilige netwerken altijd een risico zijn, en dat de DHCP-methode een simpele maar geavanceerde manier is om misbruik te maken van een lokaal netwerk.
De kwetsbaarheid is alleen relevant voor VPN-gebruikers die verbonden zijn met onbeveiligde publieke netwerken. Lezers die een VPN gebruiken op hun besloten netwerk of met hun 4G-verbinding, hoeven zich dus geen zorgen te maken.
Wél laat Woodcock weten dat deze methode vooral aantrekkelijk is voor hackers en kwaadwillenden die zich bezighouden met spear phishing. Spear phishing is een vorm van online fraude die jouw persoonlijke gegevens gebruikt om je te overtuigen met neppe berichten. Dit vormt in het bijzonder een risico voor journalisten, publieke figuren en IT-professionals.
VPNGids vroeg populaire VPN-providers NordVPN en Surfshark om commentaar. Tot op heden is daar geen reactie op gekomen.
De gemiddelde VPN-gebruiker zal hoogstwaarschijnlijk geen doelwit worden van de hierboven beschreven aanval. Enkel individuen met een hoger risico op spear phishing, zoals klokkenluiders en influencers, zullen op hun hoede moeten zijn.
Als je jezelf wilt beschermen tegen deze DHCP-aanval op VPN-verbindingen, kun je meerdere acties ondernemen:
Gebruik een Android-apparaat. Het Android-systeem is beter bestand tegen de DHCP-optie 121 die de hack mogelijk maakt.
Verbind je laptop met de 4G-hotspot van je smartphone. Dit kost wellicht extra data, maar zorgt er wel voor dat je de mogelijk kwetsbare wifi van je lokale café niet hoeft te gebruiken.
Installeer je VPN op een virtuele machine. Zolang je deze niet in ‘bridged mode’ zet, zal je hiermee beschermd zijn tegen de aanval.
(1) https://krebsonsecurity.com/2024/05/why-your-vpn-may-not-be-as-secure-as-it-claims/
