Apple 至少两年未修复 iOS 中的 VPN 绕过漏洞，导致识别 IP 流量数据暴露，并且没有修复的迹象。
早在 2020 年初，安全邮件提供商 ProtonMail 就报告了Apple 的 iOS 13.3.1 版中的一个缺陷，该缺陷阻止了 VPN 对所有流量进行加密。问题是操作系统未能关闭现有连接。
这可能允许攻击者识别 VPN 用户的源 IP 地址。对于那些真正依靠隐藏这些数据来避免受到专制政权或寻求私人信息的人的关注的人来说，这不是一个小问题。
ProtonMail 当时表示，Apple 已经意识到了这个问题，并且 Cupertino 正在寻找缓解方案。Apple 为使用公司管理设备的企业用户提供了一种解决方法，即Always On VPN。但这不是消费者或其他拥有自我管理设备的人的选择。
ProtonMail 每隔几个月就会修改其 2020 年 3 月 25 日的帖子，以指出后续的 iOS 版本 13.4、13.5、13.6、13.7 和 14 都未修复该漏洞。该公司的最后一次更新日期为 2020 年 10 月 19 日。
修复泄漏，或不
今年早些时候，资深软件开发人员和顾问 Michael Horowitz 重新审视了这种情况，发现 iOS 上的 VPN 仍然容易受到攻击并泄露数据。
“iOS 上的 VPN 坏了，”他在 8 月 5 日更新到5 月 25 日的一篇题为“iOS 上的 VPN 是个骗局”的帖子中写道。“起初，它们似乎工作正常。iOS 设备获得了新的公共 IP 地址和新的 DNS 服务器。数据被发送到 VPN 服务器。”
“但是，随着时间的推移，对离开 iOS 设备的数据的详细检查表明 VPN 隧道泄漏。数据离开了 VPN 隧道之外的 iOS 设备。这不是经典/传统的 DNS 泄漏，而是数据泄漏。”
他的帖子包括演示数据泄漏的路由器日志数据。
然后十天前，霍洛维茨更新了他的帖子，确认 iOS 15.6——如果你不能昨天发布的 15.6.1 更新来修补两个零日漏洞，苹果最新的 iOS 版本——仍然容易受到攻击。
死一般的寂静
The Register要求 Apple 发表评论，该公司尚未做出回应，这并不完全是意料之中的。
苹果长期以来一直抵制与公众、媒体和安全社区接触，公开回应关切，并提供有关未决问题的状态更新，这使得此类问题恶化 – 直到公众的喧嚣变得如此响亮，以至于不容忽视. 正是这种碉堡心态的沟通政策让该公司能够为 iCloud 制定 CSAM 扫描计划，但一旦公众听到这个想法，该计划就会轰然倒下。
霍洛维茨在 5 月首次发布帖子时向 Apple 报告了有关 VPN 数据泄漏的电子邮件。7 月，他写道：“从那时起，我和公司之间就收到了许多电子邮件（是的，普通的未加密电子邮件——根本没有安全措施）。迄今为止，大约五周后，苹果几乎没有对此事发表任何声明。我。他们没有说他们是否试图重现这个问题。他们没有说他们是否同意这是一个错误。他们没有说任何关于修复的事情。
更重要的是，Horowitz 说 VPN 服务 Windscribe 的联合创始人 Yegor Sak 联系到他的公司，说他的公司知道数据泄露，并已向 Apple 提交了多份报告。
当安全公司 Sophos 在 2020 年 3 月注意到 ProtonMail 的帖子时，作者 John Dunn观察到，“至少苹果知道这个问题。” 两年半过去了，Apple 的意识似乎与无知无异。
转载请注明：VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » 两年过去了，Apple iOS VPN仍然泄露IP地址
