TunnelVisionとは攻撃手法の一つです。暗号化により保護されたVPNに接続中でも、その攻撃により通信がVPNトンネル外へと誘導されます。本記事では、TunnelVisionの仕組みやリスクになる理由をわかりやすく解説しています。主な対策には「キルスイッチ」があり、その設定や稼働しているか確認する方法をMillenVPN
で説明しています。
TunnelVision（トンネル・ビジョン）とは
インターネット接続の安全性を向上するはずのVPNを利用中、知らない間に肝心の機能が動作していない状態が「TunnelVision」により発生します。研究チームの公式説明には用語本来の意味は見当たりませんが、以下2つの解釈があります。
（1）VPNの目的から由来する意味
VPNトンネル（Tunnel）を迂回し、通信の内容を露出させる攻撃
（2）医学用語のTunnelVisionから由来する意味（日本語訳は視野狭窄）
物事の一部分しか見えなくなる心理的状態
これらにより、VPN接続しているから安全で安心と思い込む状態がTunnelVisionと言えるでしょう。
TunnelVisionが作動する仕組み
DHCPの操作によりTunnelVisionが動作します。
DHCPとは
情報端末がネットワークへ効率的に接続するための機能がDHCP（Dynamic Host Configuration Protocol）サーバーです。PCやスマートフォンなどの情報端末をネットワークに接続し認識してもらうためには、その端末に多くの情報を手動で指定する必要があります。例えばIPアドレスは、端末固有で唯一の情報を調べてから設定しなければなりません。DHCPによりこれらの指定を自動化することで、手間ひまを省き即座に正しくネットワーク接続ができます。
DHCPへの攻撃によりTunnelVisionを引き起こす
DHCPに備わっている「オプション121」という機能を悪用することで、TunnelVisionの状態を開始できます。オプション121とは、特定のサーバー宛ての通信のみ別ルーターを経由できるからです。情報端末がVPNに接続中でも、利用者が知らないうちにVPNを経由しない通信に切り替わります。これがTunnelVisionの状態です。
攻撃者がDHCPオプション121を開始する典型的な方法は、以下の3つあります。
（1）正規のDHCP（サーバー）を乗っ取る
（2）偽のDHCP（サーバー）を設置する
（3）偽のWi-Fiアクセスポイントを設置する
TunnelVisionの一般的な対策方法
空港やホテル、カフェなどで無料のWi-Fiを利用する場合
以下のような身近な情報セキュリティ対策を行いましょう。
- URLが「https://」で始まるサイトを利用しているか都度ブラウザで確認
- 金銭の損失につながるような個人情報の登録や送受信を行わない
- PCのOSでファイル共有をオフにする
- VPNソフトのバージョンを最新状態に保つ
企業独自のVPNを利用する場合
企業VPNの利用を遠隔地からだけでなく拠点内のネットワークからでも、万一DHCPの設定が悪用されると一部の通信がVPNを経由しない状況が起こる可能性があります。そのために以下のような対策が行われています。
- ネットワークを分離する
- DHCP Snooping（ネットワークスイッチがDHCPサーバーと情報端末との通信を監視や制御をする機能）
用途の公私を問わず、わかりやすい設定で比較的効果の上がる方法があります。それが「キルスイッチ」という機能を有効にすることです。次章にてVPN接続サービスの設定画面で解説します。
MillenVPNのキルスイッチでTunnelVision対策をする！
キルスイッチ（Kill Switch）とは
VPNで接続中に何らかの事情でVPN接続が切断された場合に、インターネット接続を遮断する機能です。この機能により、回線を行き交いしているデータや利用者が通常利用しているIPアドレスの漏えいを防ぐことができます。
MillenVPN公式サイトでは、以下ページの中ほどの「接続設定」で以下のような説明があります。
MillenVPNでキルスイッチを設定する方法
管理画面上にて1つのボタンを操作するだけで、簡単にオンとオフの切り換えが可能です。Windows版アプリをご利用の場合、操作方法は以下の通りです。
（a）管理画面を開き以下の図で歯車マーク（赤枠部分）をクリックする。
（b）開いた画面で（1）「接続」タブを選択後に、（2）キルスイッチを「オン」にする（下記の画像はオフの状態）
キルスイッチが稼働しているか確認する方法
VPN接続中と接続解除時にIPアドレスの変動やインターネット接続の有無で、キルスイッチが動作しているのかわかります。
キルスイッチをオフにしてVPNに接続する場合
（A）VPN接続中 → VPNのIPアドレス
・MillenVPN
の管理画面
・接続中のグローバルIPアドレス（外部から確認できる接続元の情報）
（B）VPN接続解除 → 接続元（利用者）のIPアドレスが露出
キルスイッチをオンにしてVPNに接続する場合
（A）VPN接続中 → VPNのIPアドレス（キルスイッチをオフにしている状態と同じ）
（B）VPN接続解除 → インターネット接続が遮断（下記はブラウザの画面）
まとめ
MillenVPN利用時は、TunnelVision対策のためにキルスイッチをオンにすることを推奨します。VPN切断解除時に、通常のIPアドレスでの接続によって発生する通信情報の漏えいリスクを軽減できるからです。
なおTunnelVision自体は通信経路を操作してVPNを迂回させる手法です。キルスイッチだけでは多くのリスクを完全に防ぐことができないことに注意が必要です。
コメント