Falha no iOS revela identidade do usuário mesmo com VPN ativada

Pesquisadores da Mysk revelaram uma vulnerabilidade no sistema operacional iOS que permite que aplicativos acessem endereços IP internos quando o dispositivo está conectado a uma VPN. Essa falha de segurança possibilita a criação de impressões digitais, permitindo que diferentes aplicativos “identifiquem” que estão rodando no mesmo dispositivo e na mesma sessão de navegação. Isso pode ser utilizado para montar perfis de usuários. O problema está relacionado ao funcionamento dos protocolos de rede no iOS.

Então, muitos provedores de VPN oferecem um endereço IP privado, estático e exclusivo para cada sessão ou dispositivo. Entretanto, como o iOS não restringe o acesso a esses dados, qualquer aplicativo instalado consegue ler esse endereço e usá-lo como um identificador para rastreamento. O Proton VPN se destaca como o único provedor que corrigiu essa questão.

A abordagem do Proton VPN é especialmente interessante. Em vez de atribuir endereços únicos, ele oferece a todos os usuários conectados via WireGuard o mesmo endereço IP interno local, 10.2.0.2. Isso significa que, para os aplicativos, todos os usuários aparecem da mesma maneira, eliminando a possibilidade de rastreamento individual. Os pesquisadores usaram sua ferramenta chamada Loupe para demonstrar essa descoberta.

Nos testes, foi possível observar que o aplicativo identificou uma impressão digital única ao utilizar o provedor concorrente Mullvad VPN, enquanto com o Proton VPN registrou apenas um valor genérico e sem utilidade. Entretanto, por se tratar de uma solução nova e experimental, ainda não é possível garantir que todos os provedores de VPN no mercado sejam vulneráveis.

Especialistas destacam a importância de que a Apple resolva essa falha no nível do sistema, já que é uma questão sistêmica. Até o momento, a empresa não respondeu aos alerta recebidos. Além disso, já existem outros problemas conhecidos com conexões VPN na plataforma, incluindo vazamentos do endereço IP real do dispositivo durante atualizações de aplicativos no iOS.