Belgický odborník na kybernetickou bezpečnost známý pro odhalování zranitelností, jako je útok KRACK na WPA a WPA2, vyvinul novou metodu, která odhaluje znepokojivou hrozbu pro uživatele VPN. Jmenováno TunnelCrackTato metoda umožňuje citlivému provozu VPN uniknout z hranic ochranného tunelu, což představuje vážné riziko. Chyby zabezpečení v řešeních VPN primárně ovlivňují VPN pro iOS a macOS, s Windows být také náchylný. Je zajímavé, že aplikace Android VPN jsou relativně bezpečnější, ale přibližně čtvrtina z nich je stále zranitelná vůči TunnelCrack.
TunnelCrack využívá dvě hlavní zranitelnosti: útoky LocalNet a ServerIP. Tyto chyby zabezpečení přicházejí do hry, když se uživatel VPN připojí k nezabezpečené síti Wi-Fi. Škodliví poskytovatelé internetu však mohou také zneužít útok IP serveru. Manipulací se směrovací tabulkou cíle tyto útoky odkloní provoz oběti mimo zabezpečený tunel VPN, což útočníkům umožní zachytit a analyzovat odhalená data.
Ve scénáři útoku ServerIP je absence šifrování pro provoz VPN na IP adresu serveru VPN slabým článkem. Tento nedostatek šifrování je záměrný, což zabraňuje nutnosti opětovného šifrování datových paketů. Pomocí tohoto může útočník zfalšovat odpověď DNS pro server VPN a přimět oběť, aby přidala pravidlo směrování s falešnou IP adresou. To přesměruje provoz oběti mimo tunel a obchází jeho ochranu.
Aby uživatelé čelili útoku LocalNet, mohou deaktivovat místní síťový provoz. Ne všichni klienti VPN však tuto možnost nabízejí. I když tato strategie zvyšuje zabezpečení, může způsobit, že legitimní aktivity místní sítě, jako je tisk nebo streamování, budou nedostupné, když je VPN aktivní. Zmírnění útoku ServerIP vyžaduje jiný přístup: směrování založené na zásadách, které při rozhodování o směrování bere v úvahu faktory mimo cílovou IP adresu.
Bylo vynaloženo úsilí na proaktivní řešení těchto zranitelností. Poskytovatelé VPN byli předem upozorněni, což jim dalo čas na vývoj a vydání aktualizací. V čele jsou Mozilla VPN, Surfshark, Malwarebytes, Windscribe a Cloudflare's WARP, z nichž všechny vydaly opravy, které tyto zranitelnosti řeší. Pro uživatele aplikací VPN bez záplat se doporučuje zakázat přístup k místní síti a pokud je to možné, rozhodnout se pro webové stránky nabízené prostřednictvím zabezpečeného protokolu HTTPS. Společnost Cisco vydala doporučení, které potvrzuje zranitelnosti různých produktů VPN a jejich náchylnost k těmto zneužitím.