在2018年8月的黑帽简报中，研究人员Ahamed Nafeez透露了OpenVPN协议中的一个新漏洞。该漏洞名为Voracle，会影响使用压缩的所有TLS连接。
OpenVPN被广泛的领先消费者VPN服务使用。Nafeez能够利用他自己设置的OpenVPN连接，使用Firefox浏览网站，但他无法使用谷歌浏览器复制效果。
ExpressVNP主要使用OpenVPN和IPsec协议。在我们的例子中，Voracle通过使用TCP OpenVPN通过我们的应用程序建立的手动配置或连接来影响连接。虽然应用程序的UDP OpenVPN连接没有受到影响。
Voracle如何运作
压缩理论上通过用引用替换频繁模式来增加存储和带宽容量，类似于用emojis替换单词允许更多信息适合推文。但在日常使用中，使用VPN时的压缩效果不大。
通过将数据注入未加密的流中，攻击者可以通过观察加密流的长度变化来了解未加密和压缩的数据流中是否包含某些文本。
为了可靠地了解连接的内容，攻击者需要用户重复请求相同的内容，允许将攻击者的测试数据的轻微变化注入用户的流中。
这些数据可以通过跨域请求或cookie注入，然后攻击者可以通过控制网络交换机或路由器来观察流量。如果数据在进入VPN隧道之前已经过加密，则无法利用此漏洞。在任何情况下，攻击者都不能对HTTPS或PGP / OTR连接使用它。
解决方案：禁用压缩
为了缓解Voracle，ExpressVNP已禁用应用程序所做的所有连接上的压缩。用户无需更新其应用。
在我们可以安全地发布解决方案之前，手动配置文件需要更多测试。此时更改它们可能意味着破坏任何手动配置用户的连接，这可能会导致不必要的服务中断，因为相对狭窄的条件可以利用漏洞。
ExpressVNP认为漏洞利用严重但应用程序有限，因为攻击者不仅需要能够观察加密流量，还能够将数据注入未加密的数据流中。但是，当使用涉及敏感数据的任何站点或服务时，互联网用户应使用HTTPS进行端到端加密。