Mullvad VPN reforça segurança no iOS contra vazamentos
TL;DR
Implementação Técnica do Recurso "Forçar Todos os Apps" no iOS
A atualização mais recente do aplicativo para iOS introduz uma funcionalidade chamada "Forçar todos os apps" (Force all apps), projetada especificamente para mitigar ataques TunnelCrack e prevenir vazamentos de tráfego. Este recurso opera configurando a opção includeAllNetworks como verdadeira (true) dentro do framework NetworkExtension da Apple. Quando este sinalizador está ativo, o kill switch da VPN torna-se hermético, instruindo a pilha de rede do iOS a rotear cada byte de dados através do túnel criptografado. Caso o túnel não esteja ativo, todo o tráfego de saída é descartado para evitar a exposição do endereço IP real do usuário.
Esta implementação corrige vulnerabilidades antigas em que certos processos do sistema podiam contornar o túnel. Usuários do SquirrelVPN interessados em configurações de alta segurança similares devem notar que isso aproveita opções de configuração específicas do iOS para garantir que nenhum dado escape da proteção da VPN durante a operação padrão.
Limitações da Pilha de Rede e o Loop de Atualização
Um obstáculo técnico significativo no ecossistema iOS é a forma como o sistema gerencia atualizações automáticas quando o includeAllNetworks está habilitado. Historicamente, o SquirrelVPN e outros provedores observaram que as atualizações automáticas interrompem brevemente a conexão VPN. Quando a configuração "Forçar todos os apps" está ativa, cria-se um loop de atualização corrompido:
- A App Store tenta atualizar o aplicativo de VPN.
- O túnel VPN existente é encerrado para permitir a atualização.
- Como o includeAllNetworks está ativo, a pilha de rede do iOS bloqueia todo o tráfego, já que não existe um túnel.
- O gerenciador de downloads da App Store não consegue acessar a internet para baixar a atualização, fazendo com que o processo trave ou falhe.
Para resolver isso, o aplicativo agora utiliza redes em nível de usuário (userspace networking) para gerar tráfego TCP e ICMP internamente. Isso permite que o app funcione mesmo quando o processo do túnel não consegue vincular sockets ao dispositivo de túnel devido a limitações da pilha de rede da Apple.
Procedimentos de Atualização Manual e Vazamentos de Tráfego
Como não existe uma solução nativa para manter um túnel seguro durante a atualização do próprio binário da VPN, os usuários devem seguir protocolos específicos para evitar o bloqueio total da conectividade de rede. De acordo com o blog técnico, os usuários receberão uma notificação de nova versão antes que a App Store inicie uma atualização.
A instrução para os usuários é desconectar a VPN ou desativar o recurso "Forçar todos os apps" antes de prosseguir com a atualização. É explicitamente reconhecido que ocorrerá vazamento de tráfego durante essa breve janela. Esta intervenção manual é, atualmente, a única forma de evitar que o dispositivo entre em um estado de perda total de acesso à internet, o que exigiria uma reinicialização forçada (hard reboot). Para aqueles que buscam a melhor experiência de VPN com segurança avançada, essas concessões representam os limites atuais do framework NetworkExtension da Apple.
Ofuscação Avançada e Melhorias de Protocolo
Além do recurso "Forçar todos os apps", mudanças recentes no CHANGELOG.md do iOS revelam diversos avanços na ofuscação de tráfego e segurança de protocolos. O aplicativo agora suporta Ofuscação Leve de WireGuard (LWO) e a capacidade de ofuscar o tráfego do túnel WireGuard como protocolo QUIC. Esses métodos são essenciais para contornar a inspeção profunda de pacotes (DPI) utilizada por provedores de internet e governos restritivos.
Atualizações técnicas adicionais incluem:
- DAITA (Defesa contra Análise de Tráfego guiada por IA): Um recurso projetado para proteger contra ataques de análise de tráfego, agora atualizado para DAITA v2.
- Túneis Resistentes à Computação Quântica: A transição de Classic McEliece para HQC para trocas de chaves seguras pós-quânticas, o que reduz significativamente a carga da CPU e o tamanho da chave pública.
- Roteamento Multihop: A capacidade de rotear o tráfego por dois servidores (relays) antes de chegar ao destino, aumentando o anonimato.
Estes recursos, incluindo a ofuscação de WireGuard sobre Shadowsocks, oferecem um conjunto robusto de ferramentas para usuários que operam em ambientes de alta vigilância.
Para análises mais profundas sobre arquitetura de rede e o que há de mais moderno em protocolos de criptografia, explore os artigos especializados em squirrelvpn.com.
