Die VPN-Funktion in iOS und iPadOS arbeitet derzeit unzuverlässig. Zu diesem Schluss kommt das Sicherheitsunternehmen Proton Technologies aus der Schweiz, das selbst VPN-Verbindungen offeriert. In Tests habe sich ergeben, dass die Aktivierung eines Virtual Private Network nicht den vollständigen Datenverkehr verschlüsselt und manche Verbindungen unsicher über das Netzwerk laufen. Damit könnten IP-Adressen und Nutzerdaten an Internet-Provider oder Besitzer von WLAN-Hotspots abfließen, vor denen man den Datenverkehr eigentlich mittels VPN schützen wollte.
Verbindungen werden nicht terminiert
Der Bug besteht laut Proton Technologies bereits seit mindestens iOS 13.3.1. Die Bypass Vulnerability basiert auf der Tatsache, dass iOS mit Aktivierung des VPN nicht alle vorhandenen Verbindungen terminiert. Stattdessen werden manche davon beibehalten und es kommt dadurch auch nach der VPN-Zuschaltung zum ungeschützten Datenaustausch. Laut Proton Technologies sind keine nach VPN-Aktivierung neu aufgebauten Verbindungen betroffen, sondern nur die alten. Der Nutzer kann allerdings nicht feststellen, welche ungeschützt sind.
Zu den betroffenen Verbindungen gehören etwa Push-Benachrichtigungen, deren Prozesse auch nach der VPN-Aktivierung wie zuvor weiterlaufen – eine automatische Schließung erfolgt nicht. Entsprechend könnte jede App auf dem Gerät betroffen sein. VPN-Apps an sich können nichts gegen das Problem tun, da ihnen nicht erlaubt ist, sämtliche Netzverbindungen zurückzusetzen. Entsprechend müsste Apple selbst tätig werden.
Ein nicht immer zuverlässiger Workaround
Laut Proton Technologies wurde der Konzern informiert. Apple arbeite aktuell an einer Lösung. Bis dahin ist ein Workaround verfügbar. Das Schließen jeder einzelnen App samt Neustart ist womöglich nicht ausreichend, weil besagte Push-Benachrichtigungen nicht standardmäßig geschlossen werden.
Zudem lassen sich Systemprozesse nicht abschießen, da Apple diese gegenüber dem User abschottet. Stattdessen solle man sich mit einem VPN-Server verbinden und dann in den Flugmodus gehen und diesen sofort wieder deaktivieren. Damit werden vorhandene Verbindungen terminiert. Völlig verlässlich sei dies aber nicht, schreiben die Entdecker der Lücke.
Quelle: iOS-Bug unterbindet vollständiges VPN-Tunneling | heise online