Recientemente, se ha descubierto una vulnerabilidad en ExpressVPN, uno de los proveedores de VPN más reconocidos, que pone de relieve la importancia crítica de una configuración segura de DNS y las prácticas recomendadas para asegurar la privacidad en línea frente a los proveedores de servicios de Internet (ISP).

ExpressVPN, conocido por su compromiso con la seguridad y la privacidad, se encontró con un fallo en su función de «división de túnel» en las versiones de Windows. Este error, persistente desde mayo de 2022 hasta febrero de 2024, provocaba la exposición de solicitudes DNS (Domain Name System) a servidores DNS externos, generalmente los configurados por el ISP del usuario. Dado que el DNS traduce los nombres de dominio en direcciones IP, este fallo permitía a los ISP rastrear los sitios web visitados por sus usuarios, contraviniendo el propósito de privacidad de una VPN.

El problema, descubierto por el experto en VPN Attila Tomaschek, permitía que algunas solicitudes DNS fueran dirigidas a servidores de terceros en lugar de a los servidores dedicados de ExpressVPN, lo que podría exponer información a los proveedores de servicios de Internet.

«Cuando un usuario está conectado a ExpressVPN, se supone que sus solicitudes DNS deben enviarse a un servidor de ExpressVPN. Pero el error permitió que algunas de esas solicitudes fueran en cambio a un servidor de terceros, que en la mayoría de los casos sería el proveedor de servicios de Internet o ISP del usuario. Esto permite que el ISP vea qué dominios está visitando ese usuario, como google.com, aunque el ISP aún no puede ver ninguna página web individual o búsquedas. Todos los contenidos del tráfico web del usuario permanecen cifrados e invisibles para el ISP o cualquier otro tercero» Comunicado ExpressVPN

La función de división de túnel permite a los usuarios seleccionar qué aplicaciones envían datos a través del túnel VPN y cuáles utilizan la conexión a internet normal. Aunque esta característica ofrece flexibilidad, la vulnerabilidad subraya la necesidad de una política de seguridad más estricta en la configuración de DNS dentro de las redes VPN. Por ello, se recomienda desactivar la función de división de túneles para prevenir la filtración de solicitudes DNS.

La compañía estima que menos del 1% de los usuarios en la plataforma de Windows se ven afectados y ha iniciado una investigación. Se aconseja instalar la última versión de ExpressVPN para Windows y asegurarse de tener la versión 12.73.0 instalada, que es la primera que han lanzado para solucionar este problema. De esta forma, ya no debería haber fugas de DNS si tienes habilitado el túnel dividido. Otra opción, si no se pude actualizar la aplicación, es deshabilitar la función de túnel dividido. Toda la conexión va a pasar a ser cifrada y no debería haber problemas de fuga de datos. Se aconseja, en última instancia, la instalación de la versión 10, aunque no lo sea la solución más óptima.

Recomendaciones para una Mejor Política de Seguridad en la Configuración de DNS:

1. Uso de DNS sobre HTTPS (DoH): Implementar DoH puede ayudar a cifrar las solicitudes DNS, impidiendo que los ISP vean y rastreen las solicitudes de sitios web.
   
2. Verificación de la Configuración de DNS: Los usuarios deben verificar regularmente que su tráfico DNS esté efectivamente siendo enrutado a través de su VPN, utilizando herramientas como «DNS Leak Test«.
   
3. Actualización y Configuración Cuidadosa de VPN: Mantener el software de VPN actualizado y revisar las configuraciones para asegurar que todas las solicitudes de DNS se enrutan a través del túnel VPN.
   
4. Uso de Servidores DNS de Confianza: Optar por servidores DNS conocidos por su compromiso con la privacidad, como Cloudflare (1.1.1.1) o Quad9 (9.9.9.9).

Cuidados y Alertas en la Relación de Seguridad con el ISP:

• Conciencia de la Política de Privacidad del ISP: Es crucial entender la política de privacidad de su ISP, especialmente en lo que respecta al manejo y almacenamiento de datos de navegación.
  
• Consideración de VPNs para Toda la Red: Para una capa adicional de seguridad, considerar la implementación de VPN a nivel de router para asegurar que todo el tráfico de la red doméstica o empresarial esté cifrado.
  
• Vigilancia contra Vulnerabilidades de VPN: Estar atento a las actualizaciones de seguridad y vulnerabilidades reportadas de su proveedor de VPN y actuar rápidamente para aplicar las correcciones necesarias.

El descubrimiento de esta vulnerabilidad en ExpressVPN sirve como un recordatorio crucial de la importancia de una configuración segura de DNS y una política de seguridad robusta. Proteger nuestra privacidad es una tarea continua que requiere vigilancia, conocimiento y la implementación de prácticas recomendadas de seguridad.

Más información:
Documentación oficial de ExpressVPN sobre la actualización y solución al fallo:
https://www.expressvpn.com/es/support/troubleshooting/split-tunneling-not-available-in-version-12-of-windows-app/
https://www.expressvpn.com/blog/windows-app-dns-requests/
https://www.expressvpn.com/es/dns-leak-test
Guía sobre DNS sobre HTTPS (DoH) y cómo implementarlo para una navegación más segura: https://www.expressvpn.com/es/support/troubleshooting/disable-dns-over-https
Otras noticias:
https://www.bleepingcomputer.com/news/security/expressvpn-bug-has-been-leaking-some-dns-requests-for-years/
https://www.redeszone.net/noticias/seguridad/expressvpn-problema-privacidad-fuga/