VPN利用時にIPアドレスが漏洩する恐れのある脆弱性「Port Fail」とは?仕組みと対策を徹底解説

VPN(仮想プライベートネットワーク)は、オンラインでのプライバシー保護や匿名性の確保に役立つ強力なツールです。VPNは、暗号化されたトンネルを通じてインターネット接続を別のコンピューター(「エンドポイント」と呼ばれます)へ中継することで機能します。これにより、自分のコンピューターとエンドポイントの間に位置する第三者は、あなたが何をしているのかを覗き見ることができません。また、接続先のサーバーからは、あなたの通信があたかもエンドポイントから発信されているように見えます。要するに、VPNはIPアドレスを隠してくれるのです。

しかし、セキュリティ企業のPerfect Privacyが発見した脆弱性により、多くのVPNプロバイダーでこの重要な機能が脅かされています。このセキュリティ上の欠陥により、VPN使用中にもかかわらず匿名性が失われる可能性があるのです。以下でその仕組みを詳しく見ていきましょう。

脆弱性「Port Fail」の仕組み

では、「Port Fail」と名付けられたこの攻撃は、どのように行われるのでしょうか。まず、いくつかの条件が満たされる必要があります。

第一に、VPNプロバイダーと攻撃者の両方がポートフォワーディングを有効にしている必要があります。ポートフォワーディングとは、パケットがネットワークを通過する際にIPアドレスとポート番号を変換する技術です(NATについての詳細は関連記事をご覧ください)。なお、被害者側がポートフォワーディングを有効にしていなくても、攻撃は成立する点に注意が必要です。

さらに、攻撃者は標的としているVPNプロバイダーのアカウントを持っており、ユーザーが使用しているVPNエンドポイントのIPアドレスを把握している必要があります。これは、BitTorrentのスウォーム(同じトレントに接続しているすべてのピア)を監視したり、IRCチャンネルを監視したりすることで特定できます。

次に、攻撃者は被害者と同じVPNエンドポイントに接続し、被害者が攻撃者が管理する悪意のあるウェブページにアクセスするのを待ちます。このページは、正規サイトに埋め込まれた画像やiFrameとして設置されることが多く、被害者は気づかないうちにアクセスしてしまうことになります。こうして、標的となった人物の実際のIPアドレスを割り出すことが可能になるのです。

影響を受けたプロバイダー

この脆弱性は、業界大手を含む複数のVPNプロバイダーに影響を及ぼしました。影響を受けたのは、Ovpn.to、nVPN、そしてPrivate Internet Access(PIA)などです。幸い、これらの企業はすべて、脆弱性が公表される前に通知を受けており、情報が公開される前に修正を完了させています。TorrentFreakの取材に対し、Private Internet Accessは次のように述べています。

「当社はVPNサーバーレベルでファイアウォールルールを実装し、クライアントの実際のIPアドレスからの転送ポートへのアクセスをブロックしました。この修正は、最初の報告から12時間以内にすべてのサーバーに展開されました」

PIAはまた、責任ある形で脆弱性を開示したPerfect Privacyの努力を評価し、5,000ドルのバグ報奨金を支払いました。脆弱性開示の倫理については議論が続いていますが、脆弱性を一般に公開する前にまずベンダーへ通知する方が、ほぼ常に望ましい対応であることは間違いありません。

もちろん、世の中には何千ものVPNプロバイダーが存在します。一部の企業はすでに修正をリリースしていますが、依然として未対応のプロバイダーも少なくないでしょう。

なぜこの問題が重要なのか

人々がVPNを利用する理由はさまざまです。動画配信サービスの地域制限を回避するために使う人が多い一方、公共Wi-Fi環境での通信を保護するために使う人もいます。また、政府による検閲や監視を回避するため、あるいは著作権で保護された映画や音楽を違法にダウンロードするために使う人もいるでしょう。

後者のような目的でVPNを使っている人にとって、この脆弱性の発見は深刻な懸念材料となります。結局のところ、唯一確実な対策は「財布で投票する」こと――つまり、この脆弱性の修正が確認されたVPNプロバイダーを選んで契約することです。

個人的には、Private Internet Accessを強くおすすめします。市場全体をより詳しく比較したい方は、おすすめVPNサービスの特集記事も参考にしてください。無料のVPNサービスも存在しますが、セキュリティ面では有料サービスの方が安心できる傾向にあります。

安全にVPNを使うために

VPN使用時にプライバシーをさらに高めるために、できることがいくつかあります。まず、DNSリーク対策の設定を行いましょう。DNSリークが発生すると、せっかくの匿名性が完全に台無しになってしまう可能性があります。さらに、Canvasフィンガープリンティング攻撃への対策としてJavaScriptを無効にすることも検討しましょう。ただし、JavaScriptを無効化するとウェブサイトの表示や動作に支障が出る場合があり、無効化を推奨しない専門家も多い点には留意してください。

VPN使用時のプライバシー向上について、他におすすめの方法があれば、ぜひコメント欄で教えてください。