Beaucoup d’internautes utilisent des services VPN tels que HideMyAss (HMA!) ou PrivacyInternetAccess pour cacher leur véritable adresse IP et -notamment- télécharger des fichiers multimédias, en s’estimant ainsi à l’abri des ayants-droits. Grave erreur ! Les ingénieurs de Perfect Privacy – un autre service VPN – ont découvert une faille baptisée « Port Fail » chez un bon nombre de leurs concurrents, qui permet de dévoiler facilement l’adresse IP d’un utilisateur.
L’attaque repose sur un mécanisme classique : le « port forwarding » (ou translation de port). Il permet de rendre accessible depuis l’internet certains services que l’on héberge, sans pour autant révéler son adresse IP. Un utilisateur A peut par exemple définir un certain port sur le serveur de son VPN pour rediriger automatiquement le trafic entrant vers son serveur FTP. Le problème : si un utilisateur B de ce même serveur VPN veut accéder à ce service FTP, il ne pourra pas bénéficier en même temps d’une protection de son adresse. La fonctionnalité de proxy est dans ce cas court-circuitée : l’utilisateur A verra l’adresse IP de l’utilisateur B.
Exemple d’attaque
Comme le souligne le hacker David Davidson dans une note de blog, cette faille est très pratique pour un ayant-droit souhaiterait faire la chasse aux pirates. Il suffit qu’il se connecte sur des réseaux peer-to-peer et qu’il collecte les adresses IP des participants. Evidemment, il ne s’agit pas de leurs véritables adresses IP mais de celle de leurs serveurs VPN.
Ensuite, il identifie les services VPN correspondants et ouvre un compte pour pouvoir utiliser les mêmes serveurs. Il retourne dans les réseaux peer-to-peer et propose le téléchargement d’une œuvre multimédia après avoir activé le « port forwarding ». Il pourra alors siphonner les adresses IP de tous ceux qui s’y connecteront.
Perfect Privacy a testé neuf services VPN concurrents. Cinq d’entre étaient vulnérables et ont, depuis, colmaté la faille. Parmi eux : Private Internet Access, Ovpn.to et nVPN. Mais d’autres services VPN sont peut-être vulnérables. Si vous avez un doute sur votre fournisseur, contactez-le et posez lui la question.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
Source : TorrentFreak
