اكتشاف ثغرة أمنية تسمح بكشف هوية مستخدم الإنترنت والتحكم في تصفحه

كشفت شركة Perfect Privacy، المُتخصصة في مجال الحماية وتوفير شبكات افتراضية خاصّة VPN، عن ثغرة أمنية في شبكات VPN تسمح بالحصول على عنوان آي بي IP الخاص بالمُستخدم.
وقالت "الشركة" إن الثغرة الجديدة التي تُعرف ب"Port Fail" موجودة في جميع خوادم الشركات التي توفر إمكانية إعادة تحويل المنفذ Port Forwarding، دون استخدام طبقة من الحماية.
ويُمكن للمُخترق خداع أي مُستخدم يعتمد على نفس خدمة الشبكة الافتراضية الخاصّة وتحويل اتصاله إلى منفذ جديد، والحصول على عنوان جهازه الإلكتروني IP الحقيقي؛ ومن ثم يفشل عمل VPN التي تُستخدم أساساً لإخفاء هوية المُستخدم وفقاً ل"البوابة العربية للأخبار التقنية".
واستعرضت "الشركة" خطوات استغلال الثغرة، حيث يحتاج المُخترق بدايةً لاستخدام نفس خدمة VPN التي يستخدمها الضحية، بعدها يجب الحصول على عنوانه الإلكتروني المُزيّف؛ وهذا يُمكن من خلال إجباره على زيارة صفحة برابط مُعيّن، أو متابعة اتصاله بأحد خادمي التورنت Torrent، أو أحد خوادم الدردشة مثل IRC. أخيراً، يتم تحويل منفذ الاتصال إلى منفذ مُزيّف يتحكم به المُخترق ليحصل على عنوان الضحية الحقيقي؛ ومن ثم كشف هوّيته بكل سهولة.
ويُمكن إغلاق الثغرة الأمنية من خلال استخدام أكثر من مستوى للعناوين الإلكترونية داخل خدمات VPN، أو من خلال تثبيت جدار ناري Firewall يمنع أي اتصال يتم عبر عنوان IP الحقيقي للمُستخدم.
وأجرت شركة Perfect Privacy تجاربها على تسعة مُزودات خدمة VPN شهيرة، ووجدت أن خمسة منها غير مُؤمّنة من هذه الثغرة، ويُمكن مُهاجمة مُستخدميها بكل سهولة.
وتُستخدم الشبكات الافتراضية الخاصّة VPN لإخفاء هوية المُستخدم الحقيقة، وتغيير عنوانه الإلكتروني من خلال تحويل اتصاله عبر مجموعة من الخوادم قبل الوصول إلى الموقع المطلوب؛ ومن ثم تُضيف طبقة حماية على اتصال المُستخدم.