Un VPN peut être parfaitement chiffré et échouer malgré tout par la manière dont il route et résout le trafic. Les requêtes DNS qui s'échappent du tunnel révèlent l'activité de l'utilisateur au réseau local et au résolveur configuré, et permettent à un attaquant en position d'interception de rediriger des noms. Les routes qui ne couvrent pas toutes les destinations prévues (ou qu'un attaquant local peut outrepasser) envoient en clair un trafic censé être protégé. Et le split tunneling, où seule une partie du trafic passe par le VPN, relie délibérément le client entre le réseau interne et l'internet ouvert, ce qu'un attaquant présent sur le segment local du client exploite pour atteindre le réseau interne à travers le client. Ce sont des faiblesses de configuration et de politique, pas des ruptures cryptographiques.
Sous-sujets#
- Fuite DNS : requêtes qui s'échappent du tunnel.
- Fuite de routage : trafic qui contourne le tunnel par des failles de routage.
- Split tunneling : pont entre les réseaux côté client.