Mạng riêng ảo được xem là phương pháp lý tưởng và ngày càng được sử dụng phổ biến cho những người trải nghiệm Internet tránh khỏi bị nhòm ngó, tránh bị giám sát trên diện rộng hay sự hạn chế truy nhập từ vị trí địa lý.

Tuy nhiên, một nghiên cứu mới đây thực hiện đối với 14 nhà cung cấp dịch vụ VPN phổ biến nhất thì có đến 11 nhà cung cấp dịch vụ VPN đã để lộ thông tin người sử dụng do một điểm yếu là rò rỉ của IPv6 hay “IPv6 leakage”.

Phạm vi thông tin rò rỉ rất rộng, từ trang web mà người dùng truy nhập cho đến nội dung mà họ đã đưa lên mạng như những bình luận trên các diễn đàn. Tuy nhiên, tương tác với các trang web sử dụng mã hóa https cho giao dịch tài chính sẽ không bị rò rỉ.

Rò rỉ thông tin xuất hiện bởi vì các nhà cung cấp mạng đã tăng cường sử dụng phiên bản mới của giao thức Internet là IPv6 nhưng nhiều doanh nghiệp cung cấp dịch vụ VPN chỉ bảo vệ lưu lượng IPv4.

Các nhà nghiên cứu đã kiểm tra ý tưởng của họ bằng cách lựa chọn 14 nhà cung cấp dịch vụ VPN và kết nối đa dạng các chủng loại thiết bị đến một bộ phát Wi-Fi được thiết kế bắt chước như bọn tội phạm không gian mạng vẫn thường làm. Sau đó, các nhà nghiên cứu đã thực hiện hai loại hình tấn công không gian mạng để thu thập dữ liệu người dùng là giám sát thụ động (passive monitoring) và cướp tên miền DNS.

Nghiên cứu đồng thời cũng phân tích nhiều hình thức bảo mật được dùng cho điện thoại thông thông minh khi dùng VPN và phát hiện ra rằng sẽ an toàn hơn khi dùng iOS nhưng sẽ có nguy cơ bị rò rỉ thông tin khi sử dụng Android.

Tiến sỹ Gareth Tyson, một giảng viên Trường đại học QMUL (Anh) và là đồng tác giả nghiên cứu, cho biết “Hiện có rất nhiều lý do để nhiều người muốn dấu danh tính của họ khi trực tuyến nhưng điều đáng ngại là họ vẫn có nguy cơ bị rò rỉ thông tin cho dù họ đã sử dụng các dịch vụ được thiết kế để bảo vệ họ”.

Báo cáo này đã được trình bày tại Hội nghị chuyên đề về công nghệ nâng cao cho thông tin cá nhân đang diễn ra tại Philadelphia (Mỹ) từ ngày 30/6 đến 2/7 với tiêu đề “Rò rỉ thông tin cá nhân khi dùng IPv6 và lấy tên miền DNS”.