Сторонні VPN-сервіси на iPhone та iPad не можуть направляти весь мережевий трафік через захищений тунель. Після активації VPN уже наявні з’єднання продовжують передаватися повз нього. Дослідник Майкл Горовіц каже, що Apple знала про це протягом багатьох років.
Відсутність автоматичного розриву інтернет-з’єднання при активації VPN та перенаправлення всього трафіку через VPN є суттєвою проблемою безпеки. Адже користувач може думати, що його дані передаються по захищеному VPN-каналу, тоді як вони продовжують відправлятися звичайним каналом. Також цей баг на iPhone може унеможливлювати доступ до заблокованих сайтів.
Як правило, коли користувач підключається до VPN, операційна система закриває всі наявні підключення до інтернету, а потім повторно встановлює їх через тунель VPN.
Це не те, що Горовіц помітив у журналі свого маршрутизатора. Сеанси та з’єднання, встановлені до ввімкнення VPN, не припиняються, як можна було очікувати, і все ще можуть надсилати дані, оминаючи тунель VPN, поки він активний. Це залишає дані потенційно незашифрованими і відкритими для доступу сторонніх осіб.
Горовіц стверджує, що його висновки підтверджуються подібним звітом, опублікованим у березні 2020 року компанією з питань конфіденційності Proton. У її звіті говориться, що в iOS 13.3.1 було виявлено вразливість обходу VPN iOS, яка зберігалася протягом трьох наступних оновлень до iOS 13.
Згідно з Proton, компанія Apple пообіцяла додати функцію Kill Switch до майбутнього оновлення програмного забезпечення, яке дозволить розробникам блокувати всі існуючі підключення, якщо VPN-тунель раптово відключиться.
Однак додана функція, схоже, не вплинула на результати тестів Горовіца, які він провів в травні 2022 року на iPadOS 15.4.1 за допомогою VPN-клієнта Proton.
Нещодавно Горовіц продовжив свої тести з інстальованою iOS 15.5 і OpenVPN, що використовує протокол WireGuard, але його iPad продовжує надсилати запити поза VPN-тунелем до служб Apple і Amazon Web Services.
Як зазначає ArsTechnica, Proton пропонує обхідний шлях вирішення проблеми, який передбачає активацію VPN, а потім увімкнення та вимкнення режиму польоту, щоб примусово відновити весь мережевий трафік через тунель VPN.
Однак Proton визнає, що це не гарантовано спрацює. Горовіц стверджує, що режим у літаку сам по собі ненадійний і не слід покладатися на нього як на вирішення проблеми.
