Windows

La plataforma donde la tabla de enrutamiento es el campo de batalla

Windows enruta el tráfico mediante una tabla que cualquier atacante local puede intentar manipular, lo que es precisamente lo que hizo TunnelVision con una respuesta DHCP manipulada, desviando el tráfico fuera de los túneles en configuraciones afectadas[1]. 67 proveedores ofrecen clientes para Windows aquí; el factor diferenciador no es la interfaz, sino el diseño del firewall subyacente.

Las fugas heredadas que nunca mueren

Windows arrastra dos décadas de funcionalidades hostiles a los túneles: túnel Teredo, 6to4 y rutas IPv6 que existían antes que cualquier cliente de VPN y que aún por defecto evaden las configuraciones de túnel solo IPv4[6]. Cada cliente serio bloquea o enruta IPv6; cada actualización de Windows vuelve a activar partes de esta pila. La capa del interruptor de corte debe cubrir ambas familias, y la prueba de fugas las comprueba explícitamente, porque un cliente que maneja perfectamente IPv4 pero olvida IPv6 es la solución parcial más común en Windows[4][5].

La diferencia en las respuestas

La respuesta de PIA a TunnelVision[2] y el análisis de Mullvad sobre TunnelCrack[3] son los dos puntos de referencia públicos: ambos explican la clase de ataque y nombran la capa de mitigación. Compárelos con proveedores cuya respuesta a un ataque local con CVE fue un artículo de soporte tipo FAQ. El interruptor de corte que importa en Windows opera a nivel de la Plataforma de Filtrado de Windows (WFP), la misma capa que atacan estas vulnerabilidades[4][5]. La comparación de proveedores incluye junto a sus notas para Windows la clase de evidencia que cada operador aporta.

La superficie de ataque a nivel de cliente, cuantificada

¿Por qué importa más el cliente en Windows que el protocolo? Porque el mercado de exploits lo demuestra: la lista de recompensas de Zerodium menciona específicamente a los clientes de VPN para Windows[5], y las clases de ataque (manipulación de enrutamiento, evasión a nivel de controlador) apuntan todas a la capa de privilegios del cliente, no a la criptografía del túnel. La base de código mínima de WireGuard reduce la superficie; la historia del controlador TAP de OpenVPN muestra la alternativa. La conclusión práctica: en Windows, prefiera clientes con evaluaciones de seguridad publicadas y una superficie de ataque pequeña, frente a suites llenas de funciones con ecosistemas de complementos. El hub de código abierto clasifica exactamente esta característica.

Lista de verificación específica para Windows

Cuatro elementos específicos de la plataforma, además de lo habitual: IPv6 y Teredo bloqueados o en túnel (las fugas heredadas cuestan mucho en morir[6]); reglas de firewall a nivel WFP, no un interruptor en la aplicación; WireGuard como protocolo predeterminado, con reserva TCP para redes hostiles; y la prueba de los cuatro momentos de la prueba de fugas tras cada actualización de Windows: las actualizaciones del sistema reinician las pilas de red de formas que silenciosamente rompen de nuevo las configuraciones del cliente. El aspecto de la cuenta no ha cambiado desde el hub sin KYC: la instalación desde Microsoft Store se vincula a su identidad, con independencia de que el túnel funcione correctamente. Una instalación por ID de desarrollador fuera de la tienda elimina ese único punto de anclaje de la cadena, a cambio de tener que verificar manualmente la notarización.