ExpressVPN премахна функцията за разделно тунелиране от последната версия на своя софтуер, след като установи, че грешка разкрива домейните, които потребителите посещават, на конфигурираните DNS сървъри.

Грешката е въведена във версиите на ExpressVPN за Windows 12.23.1 – 12.72.0, публикувани между 19 май 2022 г. и 7 февруари 2024 г., и засяга само тези, които използват функцията за разделяне на тунела.

Функцията за разделяне на тунела позволява на потребителите селективно да насочват част от интернет трафика към и извън VPN тунела, като осигурява гъвкавост на тези, които се нуждаят едновременно от локален достъп и от сигурен отдалечен достъп.

Грешка в тази функция доведе до това, че DNS заявките на потребителите не се насочваха към инфраструктурата на ExpressVPN, както би трябвало, а към доставчика на интернет услуги (ISP) на потребителя.

Обикновено всички DNS заявки се извършват през DNS сървъра на ExpressVPN без логове, за да се предотврати проследяването на домейните, които потребителят посещава, от страна на доставчиците на интернет услуги и други организации.

Тази грешка обаче води до това, че някои DNS заявки се изпращат до DNS сървъра, конфигуриран на компютъра, обикновено сървър на доставчика на интернет услуги на потребителя, което позволява на сървъра да проследява навиците на потребителя за сърфиране.

Изтичането на DNS заявки като разкритата от ExpressVPN означава, че потребителите на Windows с активен разделен тунел потенциално излагат историята си на сърфиране на трети страни, нарушавайки основното обещание на VPN продуктите.

„Когато даден потребител е свързан към ExpressVPN, неговите DNS заявки трябва да се изпращат към сървър на ExpressVPN“, се обяснява в съобщението на доставчика.

„Но грешката позволява някои от тези заявки да се изпращат вместо това към сървър на трета страна, който в повечето случаи е доставчикът на интернет услуги или интернет доставчикът на потребителя.“

„Това позволява на доставчика на интернет услуги да види какви домейни са посещавани от този потребител, например google.com, въпреки че доставчикът на интернет услуги все още не може да види отделни уебстраници, търсения или друго онлайн поведение.“

„Цялото съдържание на онлайн трафика на потребителя остава криптирано и не може да бъде видяно от доставчика на интернет услуги или от друга трета страна.“

Проблемът е открит и докладван на доставчика от Атила Томашек от CNET и се проявява само когато режимът за разделяне на тунелите е активен.

ExpressVPN твърди, че проблемът е засегнал само около 1 % от потребителите на Windows и компанията е могла да възпроизведе грешката само в режим на разделно тунелиране „Позволява само на избрани приложения да използват VPN“.

Потребителите на ExpressVPN с версии от 12.23.1 до 12.72.0 за Windows трябва да обновят своя клиент до най-новата версия – 12.73.0.

Последната версия премахва функцията за разделяне на тунелите. Въпреки това ExpressVPN заявява, че ще я въведе отново в бъдеща версия, когато грешката бъде отстранена.

Ако ъпгрейдът е невъзможен, деактивирането на разделянето на тунела би трябвало да е достатъчно, за да се предотврати изтичането на DNS заявки, тъй като грешката не може да бъде възпроизведена в друг режим.

Ако непременно трябва да използвате разделяне на тунела, ExpressVPN препоръчва да изтеглите и използвате версия 10, която не е засегната от грешката.