Android può rivelare il vero indirizzo IP anche con la VPN attiva: scoperto un nuovo metodo di bypass
Una funzione di rete presente in Android potrebbe permettere a una normale applicazione di far uscire alcuni pacchetti al di fuori del tunnel VPN, esponendo così il vero indirizzo IP pubblico del dispositivo. Il comportamento è particolarmente significativo perché può verificarsi anche quando sono attivate le protezioni VPN sempre attiva e Blocca connessioni senza VPN.
La scoperta è attribuita al ricercatore di sicurezza Armin Šupuk, che ha individuato il problema nel meccanismo utilizzato da Android per gestire determinati pacchetti NAT-T keepalive. Non si tratta di un sistema che consente a un’app di aggirare completamente la VPN e trasferire liberamente file o altri dati, ma può essere sufficiente per compromettere una delle proprietà fondamentali ricercate da chi utilizza una VPN: nascondere il proprio indirizzo IP reale.
L’aspetto più delicato è che un’applicazione non avrebbe bisogno di privilegi particolari per sfruttare il comportamento. Secondo i test descritti dal ricercatore, sarebbe sufficiente il normale permesso per accedere a Internet.
Come Android può far uscire pacchetti fuori dalla VPN
Android dispone di strumenti progettati specificamente per evitare fughe di traffico quando viene utilizzata una VPN.
L’opzione Always-on VPN permette di mantenere permanentemente attivo il servizio, mentre l’impostazione che blocca le connessioni prive di VPN dovrebbe impedire alle applicazioni di comunicare con Internet quando il traffico non può essere instradato attraverso il tunnel crittografato.
Il problema individuato riguarda però una particolare ottimizzazione utilizzata per mantenere attive alcune connessioni.
I dispositivi possono periodicamente inviare piccoli pacchetti chiamati keepalive, utilizzati per evitare che una connessione venga considerata inattiva e chiusa dagli apparati di rete.
Nel caso analizzato, Android può affidare la trasmissione dei pacchetti NAT-T keepalive direttamente all’hardware Wi-Fi. In questo modo il processore principale non deve risvegliarsi continuamente per generare il traffico, con potenziali vantaggi sul consumo energetico.
Secondo Šupuk, è proprio questo passaggio a creare il problema: l’attività viene consegnata al chipset di rete senza verificare preventivamente se l’applicazione che l’ha richiesta debba rispettare le regole di instradamento imposte dalla VPN.
Il risultato è che alcuni pacchetti possono raggiungere direttamente l’interfaccia di rete fisica, anziché essere inviati attraverso il tunnel VPN.
A un’app potrebbe bastare il normale permesso Internet
Dal punto di vista della sicurezza, uno degli elementi più interessanti riguarda i privilegi necessari.
La tecnica descritta non richiederebbe root, ADB o autorizzazioni di sistema particolarmente sensibili. Una normale applicazione dotata del comune permesso Android per utilizzare Internet potrebbe richiedere la generazione dei pacchetti keepalive.
Questo non significa, però, che l’app possa sfruttare il meccanismo come un canale Internet alternativo completamente libero.
Android controlla rigidamente la struttura e il contenuto dei pacchetti keepalive, impedendo di utilizzarli per trasmettere arbitrariamente documenti, messaggi o altri dati dell’utente.
Il rischio è più circoscritto, ma comunque rilevante per la privacy.
Leggi anche:
Il vero indirizzo IP pubblico potrebbe diventare visibile
Un’applicazione progettata appositamente potrebbe configurare i pacchetti affinché raggiungano un server controllato dall’attaccante.
Ricevendo la comunicazione direttamente dall’interfaccia fisica del telefono, quel server potrebbe osservare l’indirizzo IP pubblico utilizzato dal dispositivo invece di quello del server VPN.
I pacchetti potrebbero inoltre essere trasmessi periodicamente, secondo la descrizione fornita, all’incirca ogni 10 secondi. Oltre all’indirizzo IP, i relativi timestamp potrebbero quindi fornire informazioni sui periodi nei quali il dispositivo è connesso e attivo.
Non sarebbe una compromissione completa del contenuto del traffico protetto dalla VPN. Il problema consentirebbe piuttosto una fuga di metadati di rete, particolarmente importante per chi utilizza una VPN proprio con l’obiettivo di impedire alle applicazioni di conoscere o comunicare il proprio IP reale.
I test sono stati effettuati su Pixel, Samsung e Nothing
Il ricercatore avrebbe verificato il comportamento su dispositivi di produttori differenti.
Sul Google Pixel 8 Pro, Šupuk ha utilizzato un router sotto il proprio controllo per acquisire i pacchetti e verificare che il traffico venisse effettivamente trasmesso al di fuori del tunnel VPN.
Test condotti anche su smartphone Samsung e Nothing avrebbero mostrato che il meccanismo interessato poteva essere attivato. In questi ultimi casi, tuttavia, non sarebbe stata effettuata la stessa acquisizione dei pacchetti direttamente attraverso la rete wireless.
Questa distinzione è importante: i test sul Pixel forniscono una verifica più completa del comportamento osservato, mentre quelli sugli altri dispositivi indicano la presenza del meccanismo ma non necessariamente dimostrano ogni passaggio nello stesso modo.
Il problema potrebbe interessare molti dispositivi Android recenti
La vulnerabilità potenziale non sembra limitata a un singolo modello di smartphone.
Il meccanismo analizzato riguarda dispositivi con chipset Wi-Fi capaci di gestire in hardware i keepalive. Secondo le stime riportate, componenti compatibili con questa funzionalità sarebbero presenti in circa il 91% degli attuali dispositivi Android.
Una percentuale del genere non equivale però automaticamente a dire che il 91% degli smartphone Android sia sicuramente vulnerabile. La presenza di hardware compatibile rappresenta soltanto uno dei requisiti necessari e il comportamento effettivo può dipendere dall’implementazione del sistema, dal produttore e dalla versione software installata.
Il problema viene associato principalmente ad Android 12 e versioni successive, ampliando comunque il numero potenziale di dispositivi interessati.
La VPN continua a proteggere il traffico, ma emerge una falla importante
La scoperta non significa che le VPN su Android abbiano improvvisamente smesso di funzionare.
Il normale traffico delle applicazioni continua a essere instradato attraverso il tunnel quando il sistema opera correttamente e la tecnica descritta non permette di utilizzare i keepalive per inviare liberamente qualsiasi informazione.
Il punto critico riguarda invece la promessa offerta dalla modalità che blocca tutte le connessioni al di fuori della VPN. Se un’applicazione può comunque provocare l’invio di un pacchetto attraverso l’interfaccia fisica, quella garanzia non risulta assoluta nelle condizioni individuate dal ricercatore.
Per gli utenti che utilizzano una VPN semplicemente per proteggere il traffico su reti Wi-Fi pubbliche, l’impatto può essere relativamente limitato. La questione assume invece maggiore importanza per chi considera la segretezza dell’indirizzo IP reale un requisito essenziale di privacy o sicurezza.
Una correzione efficace dovrebbe intervenire sul modo in cui Android autorizza l’offload dei keepalive, assicurandosi che anche il traffico gestito direttamente dall’hardware rispetti le stesse regole imposte al resto delle connessioni.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.