Mạng Riêng Tử Ảo (VPN) là công cụ rất hữu ích để bảo vệ quyền riêng tư và ẩn danh trực tuyến. VPN hoạt động bằng cách chuyển kết nối Internet của bạn qua một máy tính khác (gọi là "điểm cuối"), sử dụng đường hầm mã hóa. Điều này có nghĩa là bất kỳ ai nằm giữa máy tính của bạn và điểm cuối đều không thể thấy bạn đang làm gì. Nó cũng có nghĩa là bạn được ngụy trang thành điểm cuối đối với bất kỳ máy tính nào máy của bạn kết nối. Tóm lại, nó ẩn địa chỉ IP của bạn.
Nhưng một lỗ hổng ở nhiều nhà cung cấp VPN được Perfect Privacy phát hiện gần đây làm nghi ngờ điểm cuối cùng đó. Lỗ hổng bảo mật này có thể khiến người dùng mất đi sự ẩn danh khi dùng VPN. Đây là cách nó hoạt động.
Lỗ Hổng
Vậy cuộc tấn công (được đặt tên "Port Fail") hoạt động như thế nào? Trước tiên, một vài điều kiện cần được đáp ứng.
Thứ nhất, cả nhà cung cấp VPN và kẻ tấn công phải bật chuyển tiếp cổng. Đây là nơi địa chỉ IP và số cổng thay đổi khi gói tin đi qua mạng. Để đọc thêm về chủ đề này, xem bài viết của chúng tôi về Dịch Địa Chỉ Mạng (NAT). Cuộc tấn công vẫn hoạt động nếu nạn nhân không bật chuyển tiếp cổng.
Kẻ tấn công cũng phải có tài khoản với VPN họ nhắm đến, và biết địa chỉ IP của điểm cuối VPN mà người dùng đang dùng. Điều này có thể tìm thấy bằng cách theo dõi đám BitTorrent (tất cả peer kết nối với một torrent), hoặc giám sát IRC.
Sau đó, kẻ tấn công kết nối tới cùng điểm cuối VPN với nạn nhân, và chờ họ truy cập một trang web độc hại do kẻ tấn công kiểm soát. Điều này thường hoàn thành bằng cách nhúng trang web vào một trang hợp pháp, dưới dạng hình ảnh được lưu trữ trên máy chủ web hoặc dưới dạng iFrame. Từ đó, có thể suy ra địa chỉ IP thực của người bị nhắm mục tiêu.
Ai Bị Ảnh Hưởng
Một số tên tuổi lớn trong ngành VPN bị ảnh hưởng bởi lỗ hổng này. Bao gồm Ovpn.to, nVPN và Private Internet Access (PIA). Tất cả đều được thông báo về lỗ hổng trước khi công bố, và đã kịp phát hành bản vá trước khi nó trở nên công khai. Trao đổi với TorrentFreak, Private Internet Access nói:
"Chúng tôi đã triển khai quy tắc tường lửa cấp máy chủ VPN để chặn truy cập cổng chuyển tiếp từ địa chỉ IP thực của khách hàng. Bản vá được triển khai trên tất cả máy chủ trong vòng 12 giờ kể từ báo cáo ban đầu".
PIA cũng trao cho Perfect Privacy 5.000 USD tiền thưởng lỗi hổng để ghi nhận nỗ lực của họ và việc tiết lộ lỗ hổng một cách có trách nhiệm. Trong quá khứ, chúng tôi đã viết nhiều về đạo đức tiết lộ lỗ hổng, và việc thông báo cho nhà cung cấp trước khi phát hành lỗ hổng ra ngoài gần như luôn tốt hơn.
Tất nhiên, có hàng nghìn nhà cung cấp VPN. Mặc dù một số đã phát hành bản vá, nhiều nơi khác có thể chưa.
Tại Sao Điều Này Quan Trọng
Mọi người dùng VPN vì nhiều lý do khác nhau. Nhiều người dùng để vượt giới hạn địa lý trên trang web TV trực tuyến. Một số dùng để bảo mật truyền thông khi dùng hotspot Wi-Fi công cộng. Người khác dùng để vượt qua kiểm duyệt và giám sát chính phủ, hoặc tải phim và nhạc bất hợp pháp mà không bị kiện.
Đối với nhóm sau cùng, việc phát hiện lỗ hổng này sẽ là mối quan tâm thực sự. Như luôn, lựa chọn duy nhất của bạn là bỏ phiếu bằng ví tiền, và đăng ký nhà cung cấp VPN đã được xác nhận đã vá lỗ hổng này.
Về mặt cá nhân, tôi là fan hâm mộ lớn của Private Internet Access, và sẽ рекомендовать họ bất cứ ngày nào trong tuần. Để xem chi tiết hơn về thị trường, hãy xem danh sách dịch vụ VPN tốt nhất của chúng tôi. Cũng có một số dịch vụ VPN miễn phí.
Giữ An Toàn
Khi dùng VPN, có vài việc bạn có thể làm để cải thiện quyền riêng tư. Thứ nhất, bạn có thể cấu hình máy tính để bảo vệ chống rò rỉ DNS, có thể hoàn toàn phá vỡ sự ẩn danh của bạn. Hơn nữa, cân nhắc tắt JavaScript (JavaScript là gì?) để chống lại tấn công Canvas Fingerprinting. Đáng chú ý rằng điều này có thể ảnh hưởng tiêu cực đến trải nghiệm duyệt web, và nhiều người (bao gồm James Bruce - Giám đốc Web chính của chúng tôi) khuyên không nên làm vậy.
Bạn có chiến lược nào khác để cải thiện quyền riêng tư khi dùng VPN? Hãy cho tôi biết trong phần bình luận bên dưới.