「iOSでVPN利用時、一部の通信がVPNをバイパスする脆弱性」記事へのコメント

しかしVPN絡み続きますね

[Anonymous Coward]

利用者少なかったから放置気味だったんでしょうかね〜

Re:

[Anonymous Coward]

これは仕様の話だとおもいますけどね。
VPN接続開始で既存の接続を切って良いのかって話で、切らない挙動も多い(むしろそれが大多数では？)と思いますよ。
Appleはエンドユーザーに選択させる事で複雑化させるのを嫌うので有る程度は致し方なしかも。

VPN常時接続をもっと手軽にMDMなしで使えるようにさせてくれって方向で攻めるべきかと。

Re:

[Anonymous Coward]

そもそも、

1. 特に重要な情報をやりとりないので、普段はHTTPなどの平文接続で繋いでいる状態
2. よし、ここからは重要な情報を送るので通信を暗号化しよう、とVPNをONに

という状況がかなりニッチに思える。
で、TCPの仕様からして、そうやった場合に得られる結果は、

a. 1で繋いだ接続が切られた上、再接続以降はVPNを通して暗号化される
b. 1で繋いだ接続はそのまま。そのままなのでVPNも通らず暗号化もされない

のどっちかになるわけで、そんなニッチな使い方をするユーザの期待する動作はaじゃないかなぁ。

c. 1で繋いだ接続が維持された上で、それ以降のやりとりは暗号化され

Re:

[Anonymous Coward]

VPN本来の目的は安全な拠点間通信であって、暗号化はその手段に過ぎません。
VPNをプライバシー保護に応用しているようなユーザは(a)の動作を期待するでしょうが、VPN接続の度にファイルコピーやリモート接続が中断されるのでは企業ユーザが困ります。
OSの機能としては既存の接続はそのままにしておき、ユーザが必要に応じて切断するか、特権を付与されたアプリケーションが一括切断するのが筋でしょう。

Re:

[Anonymous Coward]

そもそもVPNってそんなコロコロ接続切断する為のものではないのでは？と。
接続切断が社内LANケーブル抜き差しなイメージ。

窓で社内LAN接続に使ってたけど、別ストーリーのような窓のトラブルの存在すら知らなかったし。

Re:

[Anonymous Coward]

VPNって言葉と私のイメージについて。間違っていたら優しく教えてほしい。

私のような老人がイメージするVPNはSSLVPNとかIPsecVPNとか呼ばれる。
Windowsだと設定するとネットワークアダプタに仮想NICがインストールされるようなもので、レイヤ2の対応であって
既存のコネクションもVPN先を向くべきだ。

今時のVPNは、中国からTwitterが見れたり日本から米国のNetflixが見れたりするようなものだと思う。
Windowsではインターネットオプションでプロキシ設定を変えるようなことで、レイヤ3での対応であって
Windowsでも既存のコネクションの向きは変わらないと思っている。
これは老人のVPNではないため、Windowsの脆弱性と呼ぶ人もいない。

Re:しかしVPN絡み続きますね

[Anonymous Coward]

老人のイメージするVPNも大抵はL3だよ。L2は特殊な用途でしか見かけない。
OS標準なら、仮想NICでなくダイアルアップ接続(rasとかppとかtap/tun)が追加される。
非標準だと仮想NICデバイスが追加されてL2っぽく見える事もあるけどね。
ただ、L2 VPNや仮想NICなVPNだとしても、現象としては一緒。
Wi-Fi接続中にLANケーブル差し込んだら、毎回Wi-Fiの接続での通信が切れて有線になってダウンロードとか作業をやり直した方が嬉しい？
LTEでIP電話中に自宅や会社の無線LANエリアに入ってWi-Fi接続したらIP電話切れた方が嬉しい？
大抵はちがうよね。
なので、新規は新しい経路が有効となっても、既存接続はそのままなのが多い。

結局は、ルーティングテーブルが書き換わった時に既存通信がどうなるかって話。
もっと言えば、有効なゲートウェイが複数あって、優先度が書き換わった時に既存接続をどうするのって話。
Appleが既存接続を強制断する事をアプリに許せば漏れなくVPN経由に出来るけど、今はそうなってないから漏れが起きますよ、気を付けましょうってだけ。