Utafiti unasema IP za exit za Mullvad zilizoshirikiwa bado zinaweza kusaidia kutambulisha watumiaji
IP zinazozunguka za Mullvad zinaweza kuwa zisizo za siri kama zinavyoonekana
Utafiti mpya unaonyesha kuwa mfumo wa Mullvad VPN wa IP za exit zinazoshirikiwa, ulioundwa kupunguza madhara ya anwani za VPN zilizojaa watumiaji, bado unaweza kutumika kutambulisha watumiaji kwa njia ambazo zinaweza kuathiri faragha.
Mullvad ni tofauti miongoni mwa watoa huduma za VPN kwa kutoa IP nyingi za exit kwa kila seva. Hii ina maana kwamba watu wawili wanaounganisha kwenye seva ile ile mara nyingi wataonekana kwa tovuti chini ya anwani tofauti za umma za IP. Mpangilio huo ulikusudiwa kuepuka matatizo yanayotokana na kuweka watumiaji wengi nyuma ya IP moja, hasa kwenye huduma zinazoruhusu vikali au kufunga au kupunguza mwendo wa trafiki ya VPN.
Lakini utafiti unaonyesha kuwa IP ya exit inayotolewa si ile inayochaguliwa nasibu kila mtu anapounganisha. Badala yake, huchaguliwa kwa utaratibu kulingana na ufunguo wa WireGuard wa mtumiaji, ambao hubadilika kila siku 1 hadi 30 isipokuwa ikitumiwa mteja wa mtu wa tatu, ambapo inaweza isibadilike kamwe.
Ili kujaribu mfumo huo, mtafiti alibadilisha mara kwa mara ufunguo wa umma na kukusanya IP za exit kutoka seva tisa, akizalisha data kwa pubkeys 3,650 usiku mmoja. Hilo lilikuwa la kutosha kutafuta njia za anwani za exit za kila seva. Ingawa mchanganyiko unaowezekana kwa seva hizo ulifikia zaidi ya trilioni 8.2, matokeo yaliyobebwa yalijitokeza kuwa mchanganyiko 284 tu.
Mchoro huo ulikuwa wa kushangaza zaidi mtafiti alivyoibadilisha IP za exit kuwa nafasi ndani ya kikosi cha kila seva. Kati ya mchanganyiko 284, IP zilipangwa kwa uthabiti katika asilimia sawa ndani ya kikosi chao — katika mfano mmoja, asilimia ya 81. Hii inapendekeza kuwa Mullvad haiwachagi IP kwa nasibu, bali inachagua IP jirani kwa njia iliyoratibiwa across seva.
Seva mbili, cl-scl-wg-001 na za-jnb-wg-002, mara kwa mara zilishiriki fahirisi za IP sawa katika mchanganyiko yote yaliyoonekana. Mtafiti anasema zote zina ukubwa wa kikosi wa 11, kinachoashiria jenereta ya nambari nasibu inayotegemea mbegu kama mfumo unaowezekana, ambapo ufunguo wa umma au anwani ya tuneli hutumika kama mbegu na ukubwa wa kikosi kama kikomo.
Maana yake ni kwamba ingawa IP za exit za Mullvad zimegawanywa, zinaweza bado kuunda muundo thabiti unaoweza kutumika kutambua au kufuatilia watumiaji kwa muda.
Vyanzo: