האם ניתן לפרוץ לשירותי VPN? מבט מעמיק

מה זה VPN?

רשת וירטואלית פרטית (VPN) מאפשרת ליצור תעלה וירטואלית מאובטחת דרך האינטרנט לרשת אחרת או למכשיר אחר. אם ניגשים לאינטרנט באמצעות התעלה הווירטואלית הזאת, קשה לכל אחד - כולל ספקית האינטרנט שלכם - לעקוב אחר פעילויות הגלישה שלכם.

שירותי VPN עוזרים להסוות את המיקום שלכם בכל מקום בעולם ולהשיג גישה לשירותים עם חסימות גיאוגרפיות. VPN מגן על החשאיות (המידע נשאר סודי) ועל השלמות (המידע נותר ללא שינוי) של הודעות שמועברות על גבי האינטרנט הציבורי.

קל למדי ליצור חיבור מאובטח כזה. המשתמש מתחבר קודם כל לאינטרנט דרך ספקית אינטרנט, ואז פותח חיבור VPN לשרת ה-VPN באמצעות תוכנת לקוח (שמותקנת באופן מקומי). שרת ה-VPN מאחזר את עמודי האינטרנט המבוקשים ומציג אותם למשתמש דרך התעלה המאובטחת; בכך הוא שומר על מידע המשתמש מוגן ופרטי על גבי האינטרנט.

איך הצפנת VPN עובדת?

פרוטוקול VPN הוא אוסף מוסכם של חוקים להעברת מידע והצפנתו. רוב ספקיות ה-VPN נותנות למשתמשים את האפשרות לבחור מתוך כמה פרוטוקולי VPN. כמה מהפרוטוקולים הנפוצים ביותר כוללים: פרוטוקול תיעול מנקודה לנקודה (PPTP), פרוטוקול תיעול משכבה שנייה (L2TP), אבטחת פרוטוקול אינטרנט (IPSec) ו-OpenVPN (SSL/TLS).

על מנת להבין לגמרי איך VPN מגן על הפרטיות, צריך לחפור מעט עמוק יותר במדע ההצפנה. VPN משתמש בטכנולוגיה שידועה בשם "הצפנה" כדי להפוך את המידע הקריא שלכם (טקסט פשוט) לבלתי קריא לחלוטין (טקסט מוצפן) על ידי כל אדם שמיירט אותו כשהוא עובר דרך האינטרנט. אלגוריתם, או צופן, מכתיב איך תהליכי ההצפנה והפענוח מתבצעים בתוך פרוטוקולי ה-VPN. פרוטוקולי VPN משתמשים באלגוריתמי ההצפנה האלה כדי להסתיר את המידע שלכם, על מנת לשמור על פעילות הגלישה שלכם פרטית וחשאית.

לכל אחד מפרוטוקולי ה-VPN האלה יש נקודות חוזק וחולשה בהתאם לאלגוריתם ההצפנה שהוא מיישם. יש ספקיות VPN שנותנות למשתמשים את האפשרות לבחור בין הצפנות שונות. האלגוריתם או הצופן יכול להתבסס על אחד משלושת הסיווגים הבאים: סימטרי, אסימטרי, ואלגוריתם גיבוב (Hashing).

הצפנה סימטרית משתמשת במפתח אחד כדי לנעול (להצפין) וכדי לפתוח (לפענח) מידע. הצפנה אסימטרית משתמשת בשני מפתחות, אחד לנעילה (הצפנה) והשני לפתיחה (פענוח) של מידע. הטבלה הבאה היא השוואה מסכמת בין הצפנה סימטרית לאסימטרית.

הצפנה אסימטרית היא הפתרון למגבלות הקיימות בהצפנה סימטרית (כפי שאפשר לראות בטבלה מעלה). ויטפילד דיפי ומרטין הלמן היו חלק מהקבוצה הראשונה ששמה לה למטרה להתמודד עם המגרעות האלה ולפתח אלגוריתם אסימטרי בשם דיפי-הלמן.

זה אלגוריתם הצפנה פופולרי ויסודי לפרוטוקולי VPN רבים, כולל HTTPS, SSH, IPSec ו-OpenVPN. האלגוריתם מאפשר לשני צדדים שמעולם לא נפגשו קודם לנהל משא ומתן על מפתח סודי, אפילו כשהתקשורת מתבצעת דרך ערוץ ציבורי ובלתי מאובטח כמו האינטרנט.

הצפנת גיבוב (Hashing) היא הצפנה חד סטרית (בלתי הפיכה) שמשמשת כדי להגן על שלמות המידע המשודר. רוב פרוטוקולי ה-VPN משתמשים באלגוריתמי גיבוב כדי לאשר את אמיתות ההודעות הנשלחות דרך ה-VPN. דוגמאות כוללות את MD5, SHA-1 ו-SHA-2. הן MD5 והן SHA-1 לא נחשבים יותר לבטוחים.

שירותי VPN עלולים להיפרץ, אבל קשה לעשות זאת. הסיכוי לפריצות ללא VPN גדול משמעותית מהסיכוי לפריצות אתו.

האם מישהו באמת יכול לפרוץ ל-VPN?

שירותי VPN הם עדיין אחד האמצעים היעילים ביותר לשמירה על פרטיות ברשת. אף על פי כן, חשוב לציין שאפשר לפרוץ כמעט לכל דבר, בייחוד אם אתם מטרה רווחית ואם ליריב שלכם יש מספיק זמן, ממון ומשאבים. החדשות הטובות הן שרוב המשתמשים לא עונים לקטגוריה "רווחיים" ועל כן לא סביר שיסמנו אותם כמטרה.

פריצה לחיבור VPN דורשת פיצוח של ההצפנה על ידי ניצול נקודות תורפה ידועות או גניבת המפתח באמצעים מפוקפקים. מתקפות קריפטוגרפיות משמשות האקרים ומומחי הצפנה לשחזור טקסט פשוט מהגרסה המוצפנת שלו בלי המפתח. עם זאת, פיצוח הצפנה דורש כוח עיבוד רב ולוקח הרבה זמן, ולמעשה עשוי לקחת שנים רבות.

רוב מאמצי הפריצה בדרך כלל כוללים גניבה של המפתחות, שיטה קלה בהרבה מאשר פיצוח ההצפנה. זה מה שסוכנויות ריגול עושות לרוב כדי להתמודד עם אתגרים כאלה. ההצלחה שלהן בכך לא נשענת על מתמטיקה, אלא על שילוב של הונאה טכנית, עוצמה חישובית, רמאות, צווי בית משפט ושידול מאחורי הקלעים (דלתות אחוריות). המתמטיקה שעומדת בבסיס ההצפנה חזקה מאוד ומורכבת מבחינה חישובית.

נקודות תורפה ופרצות קיימות ב-VPN

גילויים קודמים של חושף השחיתויות האמריקאי אדוארד סנודן וחוקרי אבטחה חשפו שסוכנות הריגול של ארצות הברית (הסוכנות לביטחון לאומי, ה-NSA) הצליחה לפרוץ את ההצפנה מאחורי כמות עצומה של תעבורת אינטרנט, כולל שירותי VPN. מסמכי סנודן מראים שתשתית פענוח ה-VPN של ה-NSA כוללת יירוט תעבורה מוצפנת והעברת מידע למחשבים עוצמתיים, שמחזירים את המפתח.

גם חוקרי האבטחה אלכס הלדרמן ונדיה הנינגר הציגו מחקר משכנע שטוען שה-NSA אכן פיתחו יכולת לפענח כמות גדולה של תעבורת HTTPS, SSH ו-VPN במתקפה שידועה בשם Logjam על מימושים נפוצים של אלגוריתם דיפי-הלמן.

ההצלחה שלהם התבססה על ניצול של חולשה במימוש של אלגוריתם דיפי-הלמן. השורש לחולשה הזאת טמון בכך שתוכנת ההצפנה משתמשת במספר ראשוני סטנדרטי במימוש שלה. החוקרים העריכו שיידרשו בערך שנה וכמה מאות מיליוני דולרים כדי לבנות מחשב עוצמתי שיוכל לפצח מספר דיפי-הלמן ראשוני יחיד בגודל 1024 ביט (וזה בהחלט סכום שקיים בתקציב השנתי של ה-NSA).

לרוע המזל, מתברר שרק כמה מספרים ראשוניים (קטנים מ-1024 ביט) נמצאים בשימוש נפוץ באפליקציות הצפנה קיימות כמו VPN - מה שהופך את ההצפנה לקלה אפילו יותר לפריצה. לדברי ברוס שיינר, "המתמטיקה איתנה, אבל למתמטיקה אין סוכנות. לקוד יש סוכנות, והקוד התערער".

האם בכל זאת כדאי להשתמש ב-VPN?

לספקיות שירות, צוות המחקר ממליץ להשתמש במפתחות דיפי-הלמן של 2048 ביט ומעלה, והוא גם פרסם מדריך להכנסתם ל-TLS. כוח המשימה להנדסת האינטרנט (IETF) גם כן המליץ להשתמש בגרסאות פרוטוקולים עדכניות, שדורשות מספרים ראשוניים ארוכים יותר.

מרגלים אולי יכולים לפרוץ מספרים ראשוניים שנמצאים בשימוש נפוץ במפתחות דיפי-הלמן באורך של עד 1024 ביט (בערך 309 ספרות); מספרים ראשוניים במפתחות 2048 ביט יהיו בשבילם כאב ראש אמיתי, מה שאומר שהמרגלים לא יוכלו לפענח את המידע שמאובטח באמצעות המפתחות האלה עוד הרבה מאוד זמן.

למשתמשים, על אף שלסוכנויות ריגול אכן יש דרכים לנצל VPN ופרוטוקולי אבטחה אחרים, שהן משתמשות בהן כנגד תעבורה מוצפנת, בכל זאת תהיו הרבה יותר מוגנים איתם מאשר עם תקשורת בטקסט קריא. אמנם המחשב שלכם עלול לעמוד בסיכון, אבל זה יעלה לתוקפים זמן וכסף - כלומר, זה יקר להם. ככל שתהיו פחות גלויים, כך תהיו מוגנים יותר.

לדברי אדוארד סנודן, "הצפנה עובדת. מערכות צופן בעלות מימוש חזק הן מהדברים הבודדים שאפשר לסמוך עליהם". עד כמה שזה אפשרי, הימנעו משירותי VPN שמבוססים בעיקר על אלגוריתמי גיבוב מסוג MD5 ו-SHA-1 ופרוטוקולים מסוג PPTP או L2TP/IPSec. בחרו בשירותים שתומכים בגרסאות עדכניות של OpenVPN (שנחשב למאובטח ביותר) ו-SHA-2. אם אתם לא בטוחים באיזה אלגוריתם משתמש ה-VPN שלכם, בדקו את התיעוד שלו או צרו קשר עם שירות הלקוחות.

VPN הוא חברכם. בטחו בהצפנה, בטחו במתמטיקה מאחוריה. השתמשו בו כמה שיותר ועשו כמיטב יכולתכם כדי להבטיח שנקודת הקצה שלכם מאובטחת גם היא. ככה תוכלו להישאר מוגנים אפילו מול הפריצות של חיבורים מוצפנים.