Investigadores de seguridad han descubierto una vulnerabilidad en el servicio VPN Mullvad que permite identificar usuarios mediante fingerprinting. El sistema asigna direcciones IP de salida de manera determinística basada en la clave WireGuard del usuario, reduciendo las combinaciones posibles de más de 8.2 billones a apenas 284 opciones fijas. Al analizar 3,650 claves públicas en 9 servidores, los investigadores encontraron que todas compartían solo 284 combinaciones de IPs predefinidas, lo que permite correlacionar identidades con más del 99% de precisión. Con aproximadamente 100,000 usuarios activos de Mullvad, esto significa que unos 340 usuarios comparten los mismos rangos de IP. El problema radica en el algoritmo RNG con seed estático que utiliza el cliente, escrito en Rust. Para protegerse, se recomienda no cambiar de servidor frecuentemente con la misma clave pública y forzar la rotación generando una nueva clave.
Investigadores descubren vulnerabilidad en Mullvad VPN que permite rastrear usuarios
