Derzeit gibt es Unzuverlässigkeiten bei der VPN-Funktion auf iOS- und iPadOS-Geräten, ebenso wie das Sicherheitsunternehmen Proton Technologies aus der Schweiz berichtet. Sogar bei der Aktivierung eines Virtual Private Networks wird der Datenverkehr nicht vollständig verschlüsselt und einige Verbindungen verlaufen unsicher über das Netzwerk. Dies kann dazu führen, dass IP-Adressen & Nutzerdaten an Internet-Provider oder WLAN-Hotspot-Besitzer weitergegeben werden ebenfalls wenn man VPN eingesetzt hat um seine Daten zu schützen.
Verbindungen werden nicht terminiert
Der Bug besteht laut Proton Technologies bereits seit mindestens iOS 13․3․1. Die Bypass Vulnerability basiert auf der Tatsache, dass iOS mit Aktivierung des VPN nicht alle vorhandenen Verbindungen terminiert. Stattdessen werden manche davon beibehalten und es kommt dadurch auch nach der VPN-Zuschaltung zum ungeschützten Datenaustausch. Laut Proton Technologies sind keine nach VPN-Aktivierung neu aufgebauten Verbindungen betroffen, allerdings nur die alten. Der Nutzer kann allerdings nicht feststellen – welche ungeschützt sind.
Zu den betroffenen Verbindungen gehören etwa Push-Benachrichtigungen, deren Prozesse auch nach der VPN-Aktivierung wie zuvor weiterlaufen ? eine automatische Schließung erfolgt nicht. Entsprechend könnte jede App auf dem Gerät betroffen sein. VPN-Apps an sich können nichts gegen das Problem tun da ihnen nicht erlaubt ist sämtliche Netzverbindungen zurückzusetzen. Entsprechend müsste Apple selbst tätig werden.
Ein nicht immer zuverlässiger Workaround
Laut Proton Technologies wurde der Konzern informiert. Apple arbeite aktuell an einer Lösung. Bis dahin ist ein Workaround verfügbar. Das Schließen jeder einzelnen App samt Neustart ist womöglich nicht ausreichend, weil besagte Push-Benachrichtigungen nicht standardmäßig geschlossen werden.
Zudem lassen sich Systemprozesse nicht abschießen, da Apple diese gegenüber dem User abschottet. Stattdessen solle man sich mit einem VPN-Server verbinden und dann in den Flugmodus gehen und diesen sofort wieder deaktivieren. Damit werden vorhandene Verbindungen terminiert. Völlig verlässlich sei dies aber nicht – schreiben die Entdecker der Lücke.
Kommentare