В мобильной операционной системе компании обнаружилась уязвимость. Как оказалось, далеко не все активные в данный момент сетевые подключения начинают работать через VPN-туннель. На протяжении какого-то времени они являются незащищёнными.

Такую уязвимость нашли в версиях iOS 13.3.1 и более современных для планшетов iPad и смартфонов iPhone. Из-за неё шифрование трафика при помощи сервисов VPN может оказаться бесполезным. Некоторые сетевые подключения не применяют VPN и работают как обычно. Это может сделать доступной пользовательскую информацию, в том числе их IP-адреса.

Совместно с сервисом ProtonVPN специалисты обнаружили, что созданные после включения VPN-соединения работают посредством зашифрованного туннеля. Однако, если подключение уже было до активации VPN, оно так и остаётся незащищённым. В реальности необходимо, чтобы после включения VPN ранние соединения останавливались и подключались заново через зашифрованный туннель.

Шкала угроз CVSS оценивает данную уязвимость в 5,3 балла, что не так много. Причина в том, что значительная часть пострадавших соединений краткосрочные. Они выключаются, потом создаются заново, но уже в защищённом виде. Впрочем, некоторые соединения работают несколько минут и дольше. В это время их можно попытаться взломать, особенно если сами по себе они незашифрованные. В таком случае можно узнать IP-адрес (как показано на изображении), а с ним и местоположение человека.

Сервисы VPN никак не могут обойти этот баг самостоятельно. Система iOS не даёт им возможности самим закрыть уже существующие сетевые подключения и создать заново через туннель. Уязвимость пока остаётся незакрытой.

Однако, Apple уже признала наличие проблемы. В качестве временной меры она рекомендует работать с Always-on VPN, но для других сервисов VPN решения нет.

Своё решение предлагает ProtonVPN. Рекомендуется после активации VPN включить режим «В самолёте», который принудительно останавливает все сетевые подключения. Потом пользователь выключает режим «В самолёте» и устанавливает новые соединения, уже через VPN. Правда, стопроцентной гарантии успеха у такого метода нет.