VPN a rischio DNS leak su Android, secondo Mullvad

Per chi utilizza un servizio VPN (Virtual Private Network), l’obiettivo primario è quello di proteggere i dati trasferiti e tutelare la propria privacy. Il problema noto come DNS leak può minare alla base la sicurezza delle comunicazioni online, esponendo indicazioni come la posizione geografica dell’utente e i siti Web visitati.

Il DNS leak si verifica quando il dispositivo in uso, invece di utilizzare il server DNS del fornitore VPN, richiama il resolver DNS del provider di telecomunicazioni locale.

Con una nota tecnica pubblicata oggi, Mullvad – uno dei più famosi e apprezzati fornitori di servizi VPN – ha confermato che esiste un problema nel sistema operativo Android. La problematica in questione potrebbe portare a un problema di DNS leak durante l’uso della VPN.

La scoperta di potenziali DNS leak su Android, quando si usano servizi VPN

I tecnici dei laboratori Mullvad, dopo una serie di verifiche svolte internamente, hanno accertato che Android può far trapelare il traffico DNS e quindi favorire DNS leak essenzialmente in due circostanze:

1. Quando una VPN è attiva senza nessun server DNS configurato.
2. Per un breve periodo di tempo durante la fase di riconfigurazione della VPN, ad esempio quando il servizio si arresta o va in crash.

Il problema del DNS leak sembra essere limitato alle chiamate di sistema dirette alla funzione C getaddrinfo. Le app che utilizzano questo metodo per risolvere i nomi di dominio sono di fatto esposte. Non vi sarebbe invece alcun rischio per le applicazioni che si servono delle API Android come DnsResolver. Il browser Chrome è un esempio di app che può utilizzare direttamente getaddrinfo.

Il comportamento anomalo, aggiunge Mullvad, si presenta indipendentemente dal fatto che la VPN sia impostata su “Always-on” e che l’utente abbia scelto l’opzione “Blocca connessioni senza VPN” (il classico kill switch).

Mullvad: è Google che deve risolvere il problema

Secondo le valutazioni di Mullvad, non vi è alcuna necessità di ricorrere alle API di Android. Gli sviluppatori dovrebbero essere liberi di scegliere l’uso della funzione getaddrinfo, senza che questo abbia alcun impatto in termini di sicurezza e privacy.

Per Mullvad, insomma, il comportamento inatteso deve essere corretto a monte, da parte degli sviluppatori Google con una patch destinata proprio al sistema Android.

Mullvad ha già messo in atto alcune contromisure per scongiurare qualsiasi DNS leak ma si tratta di interventi temporanei (impostazione di un server DNS fittizio): la naturale soluzione dovrebbe infatti arrivare, come detto, da una correzione a livello di sistema.

Nel suo post, i tecnici forniscono anche le indicazioni sui passaggi da porre in campo per riprodurre il problema.