VPN client van Fortigate blijkt kwetsbaar voor aanvallen
Wanneer je een VPN client download voor een bepaalde VPN dienst, dan kun je eigenlijk niet anders dan er vanuit gaan dat die app zelf ook veilig is ontworpen en niet allerlei lekken of kwetsbaarheden bevat. Datzelfde geldt ook voor de meeste bedrijven die een speciale router aanschaffen die is ontwikkeld om je werknemers een veilige VPN-verbinding met het bedrijfsnetwerk aan te bieden, bijvoorbeeld om tijdens de huidige pandemie veilig thuis te kunnen werken. Een van die veel gebruikte apparaten, de FortiGate router van het bedrijf Fortinet, bleek deze week kinderlijk eenvoudig te kraken.
Man In The Middle aanval
Bij de Fortigate router blijkt dat volgens een recent onderzoek niet het geval te zijn. In de standaard configuratie blijkt het kinderlijk eenvoudig om verkeer te onderscheppen. Dat komt doordat de router van een zogenaamd self-signed certificate is voorzien dat niet goed wordt gecheckt. Er wordt alleen gecontroleerd of er een geldig certificaat is bij het opzetten van een verbinding, en niet dat dit ook echt het certificaat is dat aan de eigen organisatie is toebedeeld. Dat maakt het volgens onderzoekers Niv Hertz and Lior Tashimov veel te makkelijk voor aanvallers om verkeer te onderscheppen. Een zogenaamde Man In The Middle (MITM) aanval zou er kinderlijk eenvoudig van worden.
Zelf een certificaat installeren
Om de kwetsbaarheid te vermijden is het belangrijk dat er door de gebruiker zelf een certificaat wordt toegevoegd waarbij domeinverificatie plaatsvindt. Daar wordt volgens de onderzoekers in de instellingen melding gemaakt op een veel te vrijblijvende manier. Het zou zelfs optioneel lijken en aangezien de VPN-verbindingen ook prima werken zonder zo'n certificaat zouden de meeste gebruikers de deur wagenwijd open houden voor hackers. Van de 230.000 gevonden FortiGate apparaten bleken maar liefst 200.000 kwetsbaar te zijn voor een eenvoudige aanval van buitenaf.
Wanneer is je eigen VPN app veilig?
Alhoewel het hier niet direct gaat om VPN's die particulieren vaak gebruiken doet het wel de vraag opkomen of de clients die je daarvoor kunt gebruiken echt veilig zijn. Dat is als gewone gebruiker heel lastig te controleren, je moet er maar vanuit gaan dat het zo is. Onlangs kwam nog het bericht naar buiten dat er tal van malafide VPN apps in de Google Play Store stonden die schimmige acties uitvoerden, verkeer zelf onderschepten en privacygevoelige informatie doorverkochten. Zo blijft het dus goed opletten en ligt het voor de hand om altijd voor een wat grotere en betrouwbare VPN dienst te kiezen.