VPN (Rede Privada Virtual).

Uma VPN estabelece um túnel protegido criptograficamente entre dois pontos de extremidade, de modo que o tráfego que atravessa redes não confiáveis se mantenha confidencial, com integridade protegida e autenticado. As implementações diferem: o IPsec (RFC 4301) opera na camada 3 com troca de chaves IKEv2; as VPN SSL/TLS criam túneis sobre HTTPS para acesso sem cliente via browser; o OpenVPN usa um protocolo próprio baseado em TLS; e o WireGuard, presente na linha principal do kernel Linux desde a versão 5.6, usa primitivas modernas e fixas — Curve25519, ChaCha20-Poly1305, BLAKE2s — para uma base de código pequena e rápida.

Os concentradores de VPN são alvos de elevado valor porque ficam no perímetro e intermedeiam o acesso à rede interna. A CVE-2019-11510, uma leitura arbitrária de ficheiros pré-autenticação no Pulse Connect Secure (CVSS 10.0), permitiu que atacantes recolhessem credenciais em texto simples e foi usada para implantar o ransomware REvil/Sodinokibi contra hospitais e órgãos governamentais. A CVE-2018-13379, um path traversal no SSL-VPN do Fortinet FortiOS, expôs ficheiros de sessão contendo credenciais em texto claro; cerca de 50.000 credenciais de dispositivos foram divulgadas publicamente em novembro de 2020. Ambas continuaram a ser exploradas muito depois de os patches terem sido lançados.

Defesas: aplicar patches aos concentradores prontamente, impor MFA resistente a phishing no túnel, restringir o split-tunnel quando a política exigir inspeção completa e monitorizar os logs de sessão à procura de viagens impossíveis e reutilização de credenciais. Cada vez mais, as organizações substituem o acesso amplo de rede via VPN por gateways de aplicação de confiança zero (zero-trust) que concedem alcance por aplicação em vez de por rede.

flowchart LR
  C[Cliente / endpoint] -->|1. Autenticar + troca de chaves IKE/TLS| G[Gateway VPN]
  C -->|2. Túnel cifrado ESP/TLS pela internet| G
  G -->|3. Decifrar e encaminhar| R[Recursos internos]
  A[Espião] -. vê apenas texto cifrado .-> C