ExpressVPN removeu o recurso de túnel dividido da versão mais recente de seu software depois de descobrir que uma falha expôs os domínios que os usuários estavam visitando em servidores DNS configurados. De acordo com as informações, a falha da ExpressVPN vaza algumas solicitações de DNS há anos.
Falha da ExpressVPN
A falha foi introduzida nas versões 12.23.1 – 12.72.0 da ExpressVPN para Windows, publicadas entre 19 de maio de 2022 e 7 de fevereiro de 2024, e afetou apenas aqueles que usavam o recurso de túnel dividido. O recurso de tunelamento dividido permite que os usuários direcionem seletivamente parte do tráfego da Internet para dentro e para fora do túnel VPN, proporcionando flexibilidade para aqueles que precisam de acesso local e acesso remoto seguro simultaneamente.
Um bug nesse recurso fazia com que as solicitações de DNS dos usuários não fossem direcionadas para a infraestrutura da ExpressVPN, como deveriam, mas para o provedor de serviços de internet (ISP) do usuário. Normalmente, todas as solicitações de DNS são feitas através do servidor DNS sem log da ExpressVPN para evitar que ISPs e outras organizações rastreiem os domínios que um usuário visita.
No entanto, essa falha fazia com que algumas consultas DNS fossem enviadas ao servidor DNS configurado no computador, geralmente um servidor do ISP do usuário, permitindo que o servidor rastreasse os hábitos de navegação do usuário.
Vazamento de solicitação de DNS
Ter um vazamento de solicitação de DNS como o divulgado pela ExpressVPN significa que os usuários do Windows com túnel dividido ativo potencialmente expõem seu histórico de navegação a terceiros, quebrando uma promessa central dos produtos VPN.
Quando um usuário está conectado ao ExpressVPN, suas solicitações de DNS devem ser enviadas para um servidor ExpressVPN.
Mas o bug permitiu que algumas dessas solicitações fossem para um servidor de terceiros, que na maioria dos casos seria o provedor de serviços de Internet ou ISP do usuário.
Isso permite que o ISP veja quais domínios estão sendo visitados por aquele usuário, como google.com, embora o ISP ainda não consiga ver nenhuma página da web individual, pesquisas ou outro comportamento online.
Todo o conteúdo do tráfego online do usuário permanece criptografado e não pode ser visualizado pelo ISP ou por qualquer outro terceiro.
ExpressVPN
Notícias Relacionadas
Tecnologia móvel
Samsung destaca avanço nas mensagens RCS com suporte no iOS
O suporte a RCS chega ao iOS com o iOS 18.1, permitindo que usuários de Android e iPhone aproveitem uma experiência de mensagens aprimorada e sem necessidade de redes sociais.
Mercado elétrico
Xiaomi atinge R$ 7,14 bilhões em receita com veículos elétricos no 3º trimestre de 2024
Xiaomi fecha o 3º trimestre de 2024 com R$ 7,14 bilhões em receita com veículos elétricos, impulsionado pelo sucesso da série SU7, apesar do prejuízo operacional.
O problema foi descoberto e relatado ao fornecedor por Attila Tomaschek da CNET e ocorre apenas quando o modo de túnel dividido está ativo. De acordo com a empresa, o problema afetou apenas cerca de 1% de seus usuários do Windows, e a empresa só conseguiu replicar o bug no modo de tunelamento dividido “Permitir apenas que aplicativos selecionados usem a VPN”.
Os usuários das versões 12.23.1 a 12.72.0 da ExpressVPN no Windows devem atualizar seu cliente para a versão mais recente, 12.73.0. A versão mais recente remove o recurso de tunelamento dividido. No entanto, a ExpressVPN afirma que irá reintroduzi-la em uma versão futura quando o bug for corrigido.
