Ad agosto di quest’anno, un ricercatore specializzato in sicurezza ha riferito di falle nelle app VPN per iPhone e iPad e ora, lo stesso ricercatore, evidenzia ulteriori problematiche. Il primo problema è che l’apertura di app VPN dovrebbe chiudere tutte le connessioni esistenti ma questo non accade; il secondo è che molte app di Apple sembrano inviare dati all’infuori del tunnel VPN, inclusa l’app Salute e Wallet.
Quando si è collegati a internet, i dati vengono normalmente inviati prima all’ISP (il fornitore dei servizi internet) o all’operatore di telefonia mobile; questi inviano i dati a loro volta al server remoto. Questo significa che l’ISP può vedere chi siamo e a quali siti e servizi stiamo accedendo, un rischio sicurezza che si verifica anche quando si usano le reti Wi-Fi pubbliche.
Le connessioni VPN dovrebbero consentire di aumentare la sicurezza cifrando i dati, proteggendo le informazioni inviate agli ISP, agli operatori di telefonia e agli hotspot pubblici. Tutti questi possono ad ogni modo capire che stiamo usando una VPN.
Per comprendere il funzionamento le VPN vengono normalmente paragonate a una sorta di tunnel protetto, per indicare una connessione crittografata tra il computer o il dispositivo mobile e i server remoti. Poiché la connessione è crittografata, nessuno lungo il tunnel VPN dovrebbe essere in grado di intercettare, monitorare o alterare le nostre comunicazioni.
Il primo problema indicato da Michael Horowitz è che le app VPN non chiudono tutte le connessioni dati esistenti (non sicure). Di default quando si attiva una VPN il sistema dovrebbe chiudere tutte le connessioni non sicure, per poi riaprire i collegamenti esclusivamente tramite il tunnel crittografato. Ma il ricercatore ha dimostrato che iOS non consente alle app VPN di chiudere le connessioni non sicure.
Un secondo problema è stato individuato dal ricercatore Tommy Mysk, riferendo che molte app di serie offerte da Apple ignorano sempre e comunque il tunnelling e comunicano direttamente con i server Apple. Questo significa che ISP e potenziali malintenzionati potrebbero portare attacchi man-in-the-middle sfruttando hotspot Wi-Fi ad hoc.
Le app di iPhone che bypassano il tunnel VPN sono: Apple Store, Clips, Files, Dov’è, Salute, Mappe, Impostazioni e Wallet. Il ricercatore riferisce che i dati gestiti da queste app potrebbero includere informazioni estremamente riservate, che vanno dallo stato di salute dell’utente fino a dettagli relativi ai metodi di pagamento.
We confirm that iOS 16 does communicate with Apple services outside an active VPN tunnel. Worse, it leaks DNS requests. #Apple services that escape the VPN connection include Health, Maps, Wallet.
We used @ProtonVPN and #Wireshark. Details in the video:#CyberSecurity #Privacy pic.twitter.com/ReUmfa67ln— Mysk 🇨🇦🇩🇪 (@mysk_co) October 12, 2022
Mysk riferisce che il problema riguarda anche i dispositivi Android con i servizi Google (anche questi comunicano bypassando il tunnel creato da eventuali VPN), anche quando le opzioni “Sempre” e “Blocca connessioni senza VPN” sono attive nelle configurazioni VPN sui dispositivi Android.
Mysk ritiene che il comportamento di Apple e Google è probabilmente intenzionale, per impedire il redirect del traffico o problematiche di prestazioni. A suo dire basterebbe ad ogni modo integrare una funzionalità che tenga conto delle VPN chiedendo all’utente approvazioni specifiche, permettendo di mantenere in esecuzione questi servizi mentre il dispositivo o il profilo di lavoro sono attivi. Anche fuori dal tunnel VPN le comunicazioni tra iPhone e i server Apple sono protette con crittografia.
Sulla sicurezza di iOS si è recentemente espresso anche il tedesco Bundesamt für Sicherheit in der Informationstechnik (in italiano “Ufficio Federale per la Sicurezza Informatica”), confermando l’elevato livello di garanzie offerto dal sistema.
Per tutte le notizie sulla sicurezza informatica vi rimandiamo a questa sezione del nostro sito.
