2020 年 5 月 13 日 Trevor Collins 著

先週、 VPNpro の Jan Youngren 氏が書いた記事で、彼のチームが発見した、さまざまな VPN サービスプロバイダのクライアントソフトウェアに存在する脆弱性が紹介されています。ただし、これは VPN に使用されているプロトコルを調査したものではなく、接続の設定や、更新プログラムのインストール方法など、プロトコル以外の部分に注目しています。多くの VPN クライアントは、ソフトウェアを更新する際に、プロバイダに接続して、直接アップデートを取得する仕組みになっています。しかし研究者が発見したところによれば、VPN ソフトウェアによっては、更新プログラムをダウンロードして実行する前に、そのソースを適切に検証していない場合があったようです。安全な VPN プロバイダを謳うならば、最高レベルのセキュリティを確保しなくてはいけません。

テストをした 20 件の VPN のうち、6 社の VPN プロバイダは、証明書のピン留め（ピンニング）を使用していませんでした。証明書のピン留めとは、アプリケーションが信頼する特定のサーバ証明書のみが、安全な接続を保証する仕組みです。これにより、悪意のある証明書が接続に影響を与えることを防ぎます。しかし、証明書のピン留めについて発見された最近の脆弱性を利用すれば、攻撃者がすでにクライアントにアクセスしている場合には、たとえ証明書がピン留めされていても安全ではありません。つまりもし攻撃者がユーザのデバイスにアクセスできる場合、すでに VPN のセキュリティを迂回していることになります。筆者は、VPN プロバイダが更新に証明書のピン留めを使用しなければならないとは考えていませんし、VPNpro もそれに同意しています。しかし、もしサードパーティ製の証明書がユーザのコンピュータにインストールされている場合、その証明書の所有者は、TorGuard、CyberGhost、Hotspot Shield、Hide Me、脆弱な PrivateVPN や Betternet からの接続などを傍受することができます。

Jan 氏は、信頼できる証明書を使わずに、PrivateVPN と Betternet の管理者接続を傍受することに成功しただけでなく、両方のクライアントについて、サーバから悪意のある更新プログラムをダウンロードさせることに成功しました。テストの方法については詳しく述べられていませんが、HTTPS リクエストを HTTP にリダイレクトする、あるいは DNS リクエストを、偽の悪意のあるサーバにリダイレクトすることができたのかもしれません。ダウンロード後、Betternet は悪意のあるアップデートをインストールする前にユーザに確認を求めます。PrivateVPN の場合はユーザに確認を求めず、偽物の、悪意のあるアップデートを自動的にインストールします。この脆弱性により、攻撃者が VPN 更新のための通信にアクセスし、マルウェアを追加してくる可能性があります。どちらの VPN でも、被害者のコンピュータは、VPN ソフトウェアをインストールしていない場合よりも、インストールしている場合の方が脆弱性は高くなります。

PrivateVPN と Betternet は、アップデートのソースを適切にチェックするようにして、この脆弱性を修正しました。これらの VPN を使用している場合は、最新のアップデートを、信頼できる接続でダウンロードしてあることを確認してください。また、VPN を利用しても、インターネットへの接続が自動的に安全になるわけではありません。クライアントソフトウェアやサーバの脆弱性が、ユーザに大混乱をもたらす可能性もあります。サーバの接続は常にチェックし、安全な接続に失敗した場合は一旦離れ、再び正常に動作するようになったら戻ってくるようにしましょう。