Apple, VPN kullanırken kullanıcı verilerini sızdıran hatayı düzeltmedi
Bir rapora göre, yama uygulanmamış bir güvenlik açığı, iOS'taki VPN uygulamalarının tüm ağ trafiğini VPN tüneli üzerinden tam olarak yönlendirmemesine ve hassas kullanıcı verilerini sızdırmasına neden oluyor.
Apple, VPN kullanırken kullanıcı verilerini sızdıran hatayı düzeltmedi
Apple, bu haftanın başlarında, desteklenen tüm iPhone’larda iOS 15.6.1 güncellemesini yayınladı. Bu güncelleme, şirketin vahşi doğada bilgisayar korsanları tarafından istismar edildiğini bildiği iki sıfır gün güvenlik açığını düzeltir. İlk hata iOS’un çekirdeğini etkilerken ve bilgisayar korsanlarına hedeflenen iPhone’a tam erişim sağlayabilirken, ikinci güvenlik açığı, kullanıcı Safari’de kötü niyetli bir web sitesi açarsa bilgisayar korsanlarının hedeflenen cihazda herhangi bir kodu çalıştırmasını sağlayabilir. Apple her iki hatayı da düzeltmiş olsa da, neredeyse iki yıldır yamasız kalan başka bir hata daha var.
Güvenlik araştırmacısı Michael Horowitz bir blog gönderisinde, yama uygulanmamış bir güvenlik açığının iOS’taki VPN uygulamalarının tüm ağ trafiğini VPN tüneli üzerinden tam olarak yönlendirmemesine ve hassas kullanıcı verilerini sızdırmasına neden olduğunu iddia etti. Ayrıca bu güvenlik açığının yeni olmadığını söylüyor. Apple’a ilk kez 2020’de ProtonVPN tarafından açıklandı. Ancak Apple, şu ana kadar güvenlik açığını düzeltmedi.
Güvenlik araştırmacısı, ilk başta VPN uygulamalarının iyi çalıştığını söylüyor. “iOS cihazı yeni bir genel IP adresi ve yeni DNS sunucuları alıyor. Veriler VPN sunucusuna gönderilir. Ancak zamanla, iOS cihazından ayrılan verilerin ayrıntılı bir incelemesi, VPN tünelinin sızdırdığını gösterir. Veriler, iOS cihazını VPN tünelinin dışında bırakır” diye bir blog gönderisinde yazdı.
Bu klasik/eski bir DNS sızıntısı değil, bir veri sızıntısıdır. Bunu, birden fazla VPN sağlayıcısından birden fazla VPN türü ve yazılım kullanarak onayladım ”diye ekledi.
Deneyimsizler için, kullanıcılar bir VPN bağlantısına geçtiklerinde bir ‘tünel’ kurulur ve VPN bağlantılı cihazdan gelen ve giden tüm verilerin VPN’den geçmesi gerekir. Ancak, Apple’ın mobil işletim sisteminde hataya sahip olmak, verilerin bir kısmı bu tünelin dışına sızdırılıyor.
‘VPN atlama güvenlik açığı’ olarak adlandırılan bu hatayı ilk keşfeden Proton VPN, bu hatanın, etkilenen bağlantılar şifrelenmemişse, kullanıcıların verilerinin açığa çıkmasına neden olabileceğini söylüyor. “Daha yaygın sorun IP sızıntılarıdır. Saldırgan, kullanıcıların IP adresini ve bağlandıkları sunucuların IP adresini görebilir. Ek olarak, bağlandığınız sunucu, VPN sunucusununki yerine gerçek IP adresinizi görebilecek, ” diye yazdı şirket blog gönderisinde.
Endişe verici olan şey, Apple’ın mobil işletim sisteminin en son sürümü olan iOS 15.6’da bile güvenlik açığının yamalanmamış olmasıdır.
Araştırmacı, Apple’a bu hatayı bildirdiğini ve şirketin henüz konuyla ilgili yanıt vermediğini söylüyor.
