Tujuan kita menggunakan Virtual Private Network (VPN) adalah untuk menyembunyikan IP asal dan menggantikan ia dengan IP dari pelayan VPN tersebut.
Apalah gunanya kalau kita mengaktifkan VPN tetapi alamat IP masih lagi bocor kepada pihak ketiga.
Itulah yang ditemui oleh pengkaji sekuriti dari VPN Mentor, yang mendapati bahawa terdapat beberapa servis VPN yang meskipun kliennya diaktifkan, tetapi ia masih lagi membocor alamat IP pengguna.
3 servis tersebut adalah HotSpot Shield, PureVPN, dan Zenmate.
Jika anda masih ingat, PureVPN adalah servis yang sama telah membantu FBI dalam memberkas seorang dari penggunanya beberapa bulan lalu walaupun dalam polisi ada dinyatakan ‘tiada log dibuat’ (Zero log policy).
Ujian yang dilakukan terhadap servis-servis tersebut menunjukkan bahawa kliennya masih lagi gagal menyembunyikan alamat IP pengguna lantas membocorkan identiti atau lokasi sebenar mereka.
VPN Mentor telah mengupah satu team penggodam (beretika) untuk mencari kerentanan pada 3 servis VPN secara rawak. Hanya dua sahaja individu yang memberikan sedikit info diri masing-masing, yang mana mereka hanya mahu dikenali sebagai File Descriptor dan Paulos Yibelo.
Mereka mendapati puncanya adalah dari skrip PAC dan dijumpai dalam Chrome plug-in, manakala aplikasi desktop dan telefon pula tidak terjejas oleh kerentanan ini.
Hanya satu sahaja penyedia servis VPN yang memberikan respons pantas iaitu Hotspot Shield dan kerentanan yang dijumpai telah pun ditampal/diperbaiki. Berikut adalah senarai kerentanan tersebut:
Hijack all traffic (CVE-2018-7879) – Kerentanan ini berada dalam Chrome extension Hotspot Shield yang dapat membolehkan penggodam untuk menghala trafik pengguna kepada laman hasad.
DNS leak (CVE-2018-7878) – Kebocoran DNS menyebabkan alamat IP asal pengguna terdedah kepada pelayan DNS, dan membenarkan penyedia servis internet (ISP) untuk memantau dan merekodkan aktiviti atas talian mereka.
Real IP Address leak (CVE-2018-7880) – Penggodam akan dapat menjejak lokasi sebenar pengguna dan ISP-nya.
Kerentanan yang seakan sama telah ditemui pada kedua servis PureVPN dan Zenmate, cuma disebabkan syarikat-syarikat ini tidak memberi sebarang maklum balas kepada VPN Mentor, maka kerentanan tersebut tidak didedahkan lagi buat masa ini.
Sumber: VPN Mentor
Via: The Hacker News
