Er virtuelle private netværk faktisk private?

I lande, hvor internetcensur og overvågning er regeringens politik, er onlinesikkerhed afgørende for udsatte brugere. Journalister, aktivister, politikere og andre med en fremtrædende online tilstedeværelse kan stå over for alvorlige konsekvenser for selv de websteder, de besøger.

Virtuelle private netværk, eller VPN'er, er designet til at holde brugernes data beskyttet mod overvågning, men om de gør, hvad de hævder, er af største betydning for dem, hvis liv kan afhænge af deres effektivitet. VPN'ers evne til at beskytte brugere inspirerer også forskningen udført af Jedidah Crandall, en lektor i datalogi ved Arizona State University.

Crandall forklarer, at VPN'er skjuler din internetprotokol eller IP-adresse ved at linke den til en anden server end din egen og få det til at virke, som om du har adgang til internettet uden for dit normale netværk.

"VPN'er blev oprindeligt designet til at komme ind på et sikkert netværk, men virksomheder har genbrugt dem, så du kan undslippe en restriktiv internetudbyder, som du ikke stoler på, og få adgang til en gratis og sikker i stedet," siger Crandall. "Så den måde, som folk bruger VPN'er på i dag, er lidt bagvendt."

Crandall bemærker, at denne adgang er nyttig, når brugere er bekymrede for, at deres browserdata bliver overvåget gennem deres internetudbyder eller internetudbyder, eller når brugere er i et land, der censurerer deres internetindhold.

Ressourcer som OpenVPN, en førende global privat netværks- og cybersikkerhedsvirksomhed, og den mest populære ressource til kommercielle VPN-tjenester, kan prale af adgang til værktøjer, der hurtigt og nemt forbinder til private netværk og beskytter aktiver. Men Crandalls forskning sigter mod at afkræfte påstande om privatliv og afsløre, om VPN'er kan skabe en falsk følelse af sikkerhed for deres brugere.

"Vi stiller egentlig bare grundlæggende spørgsmål som 'Når du genbruger VPN'er på denne måde, har de så faktisk de sikkerhedsegenskaber, som folk forventer?'," siger han og gentager sit arbejdes fokus på udsatte brugere, der står over for alvorlige konsekvenser fra censur og overvågningspolitikker. "Den første del af forskningen, vi lavede, var at se på selve VPN-tunnelen, som er en krypteret tunnel mellem VPN-serveren og klienten, for at se, hvilken slags skade angribere kan gøre derfra."

For at finde ud af, hvordan angreb kan udføres, simulerede Crandall og en gruppe forskere en række angreb fra to potentielle trusselsveje:klient-side eller direkte angreb på brugerens enheder og server-side eller angreb på VPN-serveren, som er tilgået af brugerens enhed. Gruppen detaljerede deres resultater i et papir med titlen "Blind In/On-Path Attacks and Applications to VPNs."

Holdet konkluderede, at trafik stadig kan angribes fra tunnelen på samme måder, som hvis en VPN ikke blev brugt, med angribere i stand til at omdirigere forbindelser og servere malware, som brugerne mener, at en VPN beskytter dem fra.

Nu ser vi på truslen om et angreb som muligt og ikke blot hypotetisk, og Crandall samarbejdede med et team af forskere – inklusive eksperter fra University of Michigan og Merit Network – om et papir med titlen "OpenVPN er åbent for VPN-fingeraftryk" til USENIX i 2022 Sikkerhedssymposium.

Undersøgelsen omhandler, hvordan VPN-adoption har oplevet en stabil vækst på grund af øget offentlig bevidsthed om privatlivets fred og overvågningstrusler, og hvordan nogle regeringer forsøger at begrænse adgangen ved at identificere forbindelser ved hjælp af deep packet inspection, eller DPI, teknologi, som almindeligvis bruges til online aflytning og censur.

"Meget af æren går til holdet ved University of Michigan, som virkelig stod i spidsen for denne forskning," siger Crandall. "En stor del af dette arbejde er at forsøge at sætte standarderne for, hvordan man samler forskellige interessenter, så alle, fra VPN-udbyderne til brugerne, har de samme forventninger. Men vi forsøger også at definere, hvad disse forventninger skal være. ."

"For mennesker rundt om i verden kan der være meget på spil, når VPN-udbydere markedsfører med falske påstande om deres tjenester. Vores forskning afslørede, hvordan VPN-baserede tjenester, herunder dem, der markedsfører deres VPN-tjeneste som 'usynlige' eller 'ublokerbare' kan være effektivt blokeret med ringe sideskader," siger Ensafi, en assisterende professor i elektroteknik og datalogi. "Jed er en af ​​de førende internetcensurforskere, som har fokuseret på netværksinterferens siden 2005, så han har været medvirkende til at fremme denne forskning."