Abo
  • Services:
Anzeige
Bei vielen VPN-Anbietern lässt sich die Routing-Tabelle manipulieren, ohne dass die Software es bemerkt.
Bei vielen VPN-Anbietern lässt sich die Routing-Tabelle manipulieren, ohne dass die Software es bemerkt. (Bild: Vasile Perta, Marco Barbera, Gareth Tyson, Hamed Haddadi, Alessandro Mei)

Security: Viele VPN-Dienste sind unsicher

Bei vielen VPN-Anbietern lässt sich die Routing-Tabelle manipulieren, ohne dass die Software es bemerkt.
Bei vielen VPN-Anbietern lässt sich die Routing-Tabelle manipulieren, ohne dass die Software es bemerkt. (Bild: Vasile Perta, Marco Barbera, Gareth Tyson, Hamed Haddadi, Alessandro Mei)

Mangelnde IPv6-Umsetzung und Anfälligkeit für DNS-Angriffe führen zu unsicheren VPN-Verbindungen, besonders dort, wo sie für Sicherheit sorgen sollen - in offenen WLAN-Netzen.

Anzeige

Viele populäre und teils kostenlose VPN-Dienste sichern ihre Kunden nur unzureichend ab. Besonders bei der sicheren Implementierung von IPv6 hinken die Anbieter hinterher. Das führt dazu, dass Nutzer unbemerkt nicht über den VPN-Tunnel surfen. Zu diesem Schluss kommen Forscher an den Universitäten in Rom und in London. Sie haben 14 kommerzielle VPN-Dienste untersucht und auch Mängel bei der Handhabung von DNS-Abfragen entdeckt. Die entdeckten Lücken können dazu führen, dass Nutzer nicht nur identifiziert werden können, sondern schlimmstenfalls auch, dass der Datenverkehr mitgeschnitten werden kann. Und zwar genau dort, wo VPNs eigentlich für mehr Sicherheit sorgen sollten: in öffentlichen WLANs.

Dass die Nutzung von IPv6 sich immer weiter verbreitet, hat die Mehrzahl der 14 untersuchten VPN-Dienste wohl noch nicht bemerkt. Denn während die VPN-Clients ordnungsgemäß die Routing-Tabellen der Betriebssysteme so anpassen, dass IPv4-Verbindungen stets über den VPN-Tunnel laufen, versäumten fast alle Anbieter, die Tabellen für IPv6 anzupassen. Baut der Browser eine Verbindung über IPv6 zu einer angesurften Webseite auf, laufen die Daten über das öffentliche Netz statt über den VPN-Tunnel. Die Forscher bezeichnen das als IPv6-Leck.

IPv6 als Leck

Aktuelle Anwendungen und auch Betriebssysteme wie Windows, OS X oder Linux priorisieren längst IPv6-Verbindungen über das veraltete IPv4. Getestet haben die Forscher unter aktuellen Windows-, OS-X- und Ubuntu-Versionen sowie auf mobilen Geräten mit iOS 7 und Android. Sie nutzten dabei die Dual-Stack-Technik, mit der IPv6-Verbindungen parallel IPv4-Verbindungen aufgebaut werden. Diese Verbindungsart soll den Forschern zufolge besonders anfällig für derartige Angriffe sein und erlaubt das Mitscheiden von Daten. Betroffen sind VPN-Anbieter wie Hide My Ass, ExpressVPN, StrongVPN oder PureVPN. Insgesamt nur vier der 14 geprüften Anbieter waren von der Schwachstelle nicht betroffen.

Die Gefahr für VPN-Nutzer erhöht sich, wenn Webseiten durch den Referrer-Header fremde Inhalte einbetten. Durch das IPv6-Leck kann dann die eigentliche IP-Adresse preisgegeben werden, die durch die VPN-Verbindung eigentlich verschleiert werden sollte. Im schlimmsten Fall können Unbefugte durch den Referrer die Webseite erkennen, die der Nutzer angesurft hat. Ihnen sei es sogar gelungen, den Browser-Verlauf auszulesen, schreiben die Forscher. Von den etwa 1.000 populären Webseiten, die die Forscher untersucht haben, könnte bei 92 Prozent ein IPv6-Leck passieren. Besonders anfällig seien mobile Geräte mit Android, da dort vielfach eingebettete Werbung für solche Lecks anfällig sei.

Angriffe per DNS

Zudem machen die Forscher auf ein weiteres Problem aufmerksam: Lecks, die über DNS-Anfragen entstehen können. Gelingt es einem Angreifer, seinen eigenen DNS-Server dazwischenzuschalten, kann er nicht nur nachvollziehen, wohin das Opfer surft, sondern auch Daten aus dem VPN-Tunnel ausleiten und mitschneiden.

Besonders betroffen ist dabei laut den Forschern das Betriebssystem Windows, denn dort können standardmäßig keine globalen DNS-Einstellungen gesetzt werden. Diese werden dem jeweiligen Netzwerkgerät zugeordnet. Wenn die Antworten der DNS-Anfragen über ein virtuelles VPN-Gerät zu lange dauern, verwendet Windows ein anderes Netzwerkgerät. Dadurch können Anfragen außerhalb des VPN-Tunnels erfolgen.

Manipulierte Routing-Tabellen

Aber auch unter Betriebssystemen, in denen globale DNS-Einstellungen gesetzt werden können, etwa unter OS X und Linux, lassen sich DNS-Angriffe ausführen. Bei Hide My Ass seien die Angriffe trivial, da dessen Client noch nicht einmal die DNS-Einstellungen ändere. Aber auch bei anderen Anbietern ließen sich die Routing-Tabellen leicht manipulieren, etwa, indem ein WLAN-Router so manipuliert werde, dass er die Vergabezeiten (Lease Times) des DHCP herabsetzt und die Gateway-Einstellungen manipuliert. Die oft eingesetzte OpenVPN-Software der meisten VPN-Anbieter bemerkt diese Manipulationen nicht und lässt sich einen neuen DNS-Server unterjubeln.

Zudem weisen die Forscher auf bereits bekannte Probleme in dem oftmals als Alternative angebotenen PPT-Protokoll hin. Hier sei eine Manipulation der DNS-Einträge besonders dann einfach, wenn die VPN-Anbieter keinen eigenen DNS-Server betrieben, sondern öffentliche verwendeten, etwa von Google oder OpenDNS.


eye home zur Startseite
Philip1975 11. Dez 2016

Die VPN-Anbieter haben sich weiter entwickelt. Einfach mal aktuelle Reviews anschauen...

plutoniumsulfat 03. Jul 2015

Jetzt fehlt dem Satz nur ein Wort ;)

stuempel 03. Jul 2015

Sind nicht beide Probleme völlig wurscht, indem man bei den Netzwerkverbindungen einfach...

bccc1 03. Jul 2015

Mit dem Gedanken hab ich schon gespielt, mich aber noch nicht eingelesen. Hast du dazu...

Moe479 03. Jul 2015

eher problematisch, denn: werden dir immer vollständige bzw. echte berichte der tests...



Anzeige

Stellenmarkt
  1. Gries Deco Company GmbH, Niedernberg
  2. telekom, Leinfelden-Echterdingen
  3. Der Präsident des Kammergerichts, Berlin
  4. Zühlke Engineering GmbH, Hannover, München, Eschborn (Frankfurt am Main)


Anzeige
Top-Angebote
  1. 135,75€ für Prime-Mitglieder (Vergleichspreis 150€)
  2. 116,00€ (Vergleichspreis 139€)
  3. 19,98€ (Vergleichspreis 30€)

Folgen Sie uns
       


  1. Deutschland-Chef der Telekom

    Bis 2018 flächendeckend Vectoring in Nordrhein-Westfalen

  2. Sipgate Satellite

    Deutsche Telekom blockiert mobile Nummer mit beliebiger SIM

  3. Rockstar Games

    "Normalerweise" keine Klagen gegen GTA-Modder

  4. Stromnetz

    Tennet warnt vor Trassen-Maut für bayerische Bauern

  5. Call of Duty

    Modern Warfare Remastered erscheint alleine lauffähig

  6. Gmail

    Google scannt Mails künftig nicht mehr für Werbung

  7. Die Woche im Video

    Ein Chef geht, die Quanten kommen und Nummer Fünf lebt

  8. Hasskommentare

    Koalition einigt sich auf Änderungen am Facebook-Gesetz

  9. Netzneutralität

    CCC lehnt StreamOn der Telekom ab

  10. Star Trek

    Sprachsteuerung IBM Watson in Bridge Crew verfügbar



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Risk: Kein normaler Mensch
Risk
Kein normaler Mensch

WD Black SSD im Test: Mehr Blau als Schwarz
WD Black SSD im Test
Mehr Blau als Schwarz
  1. NAND-Flash Toshiba legt sich beim Verkauf des Flashspeicher-Fab fest
  2. SSD WD Blue 3D ist sparsamer und kommt mit 2 TByte
  3. Western Digital Mini-SSD in externem Gehäuse schafft 512 MByte pro Sekunde

Amateur-Hörspiele: Drei Fragezeichen, TKKG - und jetzt komm' ich!
Amateur-Hörspiele
Drei Fragezeichen, TKKG - und jetzt komm' ich!
  1. Internet Lädt noch
  2. NetzDG EU-Kommission will Hate-Speech-Gesetz nicht stoppen
  3. Equal Rating Innovation Challenge Mozilla will indische Dörfer ins Netz holen

  1. Re: Autos, gibts das noch?

    Unix_Linux | 14:21

  2. Re: gegen Kostenerstattung abgeschaltet... Warum?

    ChMu | 14:20

  3. Re: Was ist SIPGate?

    Apfelbrot | 14:20

  4. Erinnert mich an Simquadrat

    Bradolan | 14:18

  5. Re: " flüssig laufendes, verbessertes Display"

    Peter Brülls | 14:18


  1. 12:01

  2. 10:37

  3. 13:30

  4. 12:14

  5. 11:43

  6. 10:51

  7. 09:01

  8. 17:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel