كشفت شركة Perfect Privacy، المُتخصصة في مجال الحماية وتوفير شبكات افتراضية خاصّة VPN، عن ثغرة أمنية في شبكات VPN تسمح بالحصول على عنوان آي بي IP الخاص بالمُستخدم.
وقالت الشركة إن الثغرة الجديدة التي تُعرف بـ “Port Fail” موجودة في جميع خوادم الشركات التي توفر إمكانية إعادة تحويل المنفذ Port Forwarding دون استخدام طبقة من الحماية.
ويُمكن للمُخترق خداع أي مُستخدم يعتمد على نفس خدمة الشبكة الافتراضية الخاصّة وتحويل اتصاله إلى منفذ جديد والحصول على عنوان جهازه الإلكتروني IP الحقيقي، وبالتالي يفشل عمل VPN التي تُستخدم أساسًا لإخفاء هوية المُستخدم.
واستعرضت الشركة خطوات استغلال الثغرة، حيث يحتاج المُخترق بدايةً لاستخدام نفس خدمة VPN التي يستخدمها الضحية، بعدها يجب الحصول على عنوانه الإلكتروني المُزيّف؛ وهذا يُمكن من خلال إجباره على زيارة صفحة برابط مُعيّن، أو متابعة اتصاله بأحد مُخدمات التورنت Torrent أو أحد خوادم الدردشة مثل IRC. أخيرًا، يتم تحويل منفذ الاتصال إلى منفذ مُزيّف يتحكم به المُخترق ليحصل على عنوان الضحية الحقيقي وبالتالي كشف هوّيته بكل سهولة.
ويُمكن إغلاق الثغرة الأمنية من خلال استخدام أكثر من مستوى للعناوين الإلكترونية داخل خدمات VPN، أو من خلال تثبيت جدار ناري Firewall يمنع أي اتصال يتم عبر عنوان IP الحقيقي للمُستخدم.
وأجرت شركة Perfect Privacy تجاربها على تسعة مُزودات خدمة VPN شهيرة، وجدت أن خمسة منها غير مُؤمّنة من هذه الثغرة ويُمكن مُهاجمة مُستخدميها بكل سهولة.
وتُستخدم الشبكات الافتراضية الخاصّة VPN لإخفاء هوية المُستخدم الحقيقة وتغيير عنوانه الإلكتروني من خلال تحويل اتصاله عبر مجموعة من الخوادم قبل الوصول إلى الموقع المطلوب، وبالتالي تُضيف طبقة حماية على اتصال المُستخدم.
