Talvez ao usar a SPOD VPN você possa não estar tão seguro quanto eles prometem e isso é um problema da Apple e não deles.
O conhecido pesquisador de segurança, Michael Horowitz, diz que os aplicativos de VPN para iOS (redes privadas virtuais) estão “quebrados”, devido a uma falha que ele afirma que a Apple conhece há pelo menos dois anos e meio.
Isso confirma um relatório da ProtonVPN que uma vulnerabilidade em VPN está presente em dispositivos iOS desde, pelo menos, o iOS 13.3.1 (lançado em 28 de Janeiro de 2020), e que não há uma maneira 100% confiável de garantir que seus dados estejam sendo enviados exclusivamente através da VPN apenas.
A postagem de Horowitz em seu blog sobre o problema é intitulada “VPNs no iOS são uma farsa“.
Como as VPNs funcionam
Normalmente, quando você se conecta a um site, seus dados são enviados pela primeira vez para o seu ISP (operadora de internet). Em seguida, eles o encaminham para o servidor remoto. Isso significa que seu ISP pode ver quem você é e quais sites e serviços você está acessando.
Ao usar hotspots Wi-Fi públicos, você também corre o risco de ataques man-in-the-middle (MITM – homem no meio, em tradução direta). Isso ocorre quando um alguém cria um hotspot Wi-Fi que imita um genuíno, mas que roteia todo o tráfego através do sistema primeiro, permitindo que eles registrem todos os seus dados. Isso é fácil de fazer e pode ser tão simples quanto conectar um dispositivo do tamanho de um tijolo elétrico a uma tomada elétrica de cafeteria.
Uma VPN, por sua vez, envia seus dados de forma criptografada para um servidor seguro. Seus dados estão protegidos de um provedor de internet, operadora ou operadora de hotspot. Tudo o que eles podem ver é que você está usando uma VPN. A analogia usual é que é como usar um túnel secreto do seu dispositivo para o servidor VPN.
Da mesma forma, os sites e servidores que você está acessando não têm acesso ao seu endereço IP, localização ou outros dados de identificação – seu tráfego parece estar originário do servidor VPN (seja ele qual for).
Por que os aplicativos de VPN para iOS estão ‘quebrados’ então?
Assim que você ativar um aplicativo VPN, ele deve(ria) fechar imediatamente todas as conexões de dados existentes (não seguras) e, em seguida, reabri-las dentro do “túnel” seguro (VPN). Este é um recurso absolutamente padrão de qualquer serviço de VPN.
O problema, segundo Horowitz, é que o iOS não permite que os aplicativos de VPN fechem todas as conexões não seguras existentes.
VPNs no iOS estão quebradas. No começo, eles parecem funcionar bem. O dispositivo iOS recebe um novo IP público e novos servidores DNS. Os dados são enviados para o servidor VPN. Mas, com o tempo, uma inspeção detalhada dos dados que saem do dispositivo iOS mostra que o túnel VPN está vazando os dados deixando o dispositivo iOS fora do túnel VPN.
Este não é um vazamento de DNS clássico/legado, é um vazamento de dados. Confirmei isso usando vários tipos de VPN e software de vários provedores de VPN. A versão mais recente do iOS com a qual testei é a 15.6.
Michael Horowitz
Isso é muito importante porque as conexões inseguras existentes podem durar vários minutos de cada vez, o que significa que, se você ligar sua VPN para fazer algo confidencial, as primeiras coisas que você faz já podem não estar protegidas.
Isso piora no caso das notificações push da Apple, pois essas conexões podem permanecer abertas por horas, não por minutos.
A ProtonVPN identificou esse problema pela primeira vez em Março de 2020.
Um membro da comunidade Proton descobriu que, na versão 13.3.1 do iOS, o sistema não fechava as conexões existentes. (O problema também persistia na versão posterior, 13.4.) A maioria das conexões é de curta duração e acabará sendo restabelecida através do túnel VPN por conta própria. No entanto, alguns são duradouros e podem permanecer abertos por minutos a horas fora do túnel VPN. […]
Nem a Proton VPN nem qualquer outro serviço VPN podem fornecer uma solução alternativa para esse problema, porque o iOS não permite que um aplicativo VPN acabe com as conexões de rede existentes.
No final do ano, a empresa adicionou uma atualização para dizer que a Apple ainda não havia corrigido o problema, mas estava fornecendo aos desenvolvedores de aplicativos a capacidade de adicionar um recurso manual de “kill switch”, que fecharia todas as conexões de dados mediante requisição. A empresa disse que adicionaria isso, mas depois parou de atualizar o post em outubro de 2020.
O longo post de Horowitz descreve passo-a-passo como ele identificou o problema no iOS, mesmo usando vários dispositivos e vários aplicativos VPN. Ele também disse que, quando notificou a Apple, a empresa inicialmente se envolveu com ele, mas depois ficou em silêncio.
Até o momento, cerca de cinco semanas depois, a Apple não me disse praticamente nada. Eles não disseram se tentaram recriar o problema. Eles não disseram se concordam que isso é um bug. Eles não disseram nada sobre uma correção.
É preciso tão pouco tempo e esforço para recriar isso, e o problema é tão consistente que, se eles tentassem, deveriam ter sido capazes de recriá-lo. Não é da minha conta. Talvez eles estejam esperando que, como o ProtonVPN, eu siga em frente e esqueça. Não sei.
Michael Horowitz
Existe uma solução alternativa?
A Proton sugeriu ativar o Modo Avião e, em seguida, desativá-lo, mas diz que não pode garantir que isso funcione. Horowitz testou e descobriu que costumava funcionar no iOS 12.5.5, mas não o faz no iOS 15.
Curiosamente o iOS 12.5.5 foi lançado em 23 de Setembro de 2021 com uma das notas de atualização:
- Fixes bug where a malicious application is able to gain arbitrary code execution with kernel privileges
- Tradução direta: Corrige o bug em que um aplicativo malicioso é capaz de obter execução arbitrária de código com privilégios de kernel*
Kernel é a raiz do sistema operacional
A única opção é se conectar a um roteador seguro, com VPN integrada – mas isso não ajuda com conexões móveis, que é quando é mais provável que você precise de uma VPN.
O 9to5mac entrou em contato com a Apple, mas sem resposta por enquanto. Atualizaremos o post assim que tivermos novidades.