Für den umsichtigen VPN Kunden hängt heutzutage so viel von einem Datenschutzversprechen ab, das allzu oft von einem Unternehmen ohne Beweise abgegeben wird.
Richtlinien zur Nichtprotokollierung, moderne Verschlüsselungsalgorithmen, die Weigerung, sensible Kundendaten zu speichern, und die vollständige Kontrolle über die Server sind nur einige der Merkmale, die zu einer starken Sicherheit beitragen. VPN Doch genau diese Merkmale lassen sich für einzelne Kunden oft nicht überprüfen .
Deshalb ist es so wichtig für VPN Anbieter müssen an einem externen Audit teilnehmen, das es externen Sicherheitsexperten ermöglicht, die Software und Hardware zu überprüfen, die ein Unternehmen für seinen Betrieb entwickelt und eingesetzt hat. VPN Service. Ähnlich wie eine Hausinspektion, die Schäden aufdeckt, ein VPN Eine Prüfung durch Dritte deckt Sicherheitslücken auf, die möglicherweise in einer der wichtigsten Datenschutztechnologien unserer Zeit vorhanden sind.
Wir sind daher stolz darauf, an unserem allerersten externen Audit der Infrastruktur teilgenommen zu haben, die nun sowohl Malwarebytes Privacy VPN als auch AzireVPN – die beiden – antreibt. VPN Produkte, die wir betreiben und warten. Diese duale Struktur ist das Ergebnis unserer Übernahme von AzireVPN Ende 2024. Beide Produkte nutzen dieselbe Server-Software und -Hardware, um Kunden Folgendes zu bieten: VPN Verbindungs- und Verschlüsselungsdienste.
Die Prüfung von Malwarebytes Privacy VPN Die Software von 's hat Folgendes gefunden:
- 2 als „kritisch“ eingestufte Probleme
- 0 als „Hoch“ eingestufte Probleme
- 2 Probleme, die als „mittel“ eingestuft wurden
- 2 Probleme mit der Einstufung „Gering“
Im Rahmen des Audits wurde der Schweregrad der Probleme – von kritisch bis niedrig – anhand technischer Bewertungen ermittelt, die mit dem Common Vulnerability Scoring (CVS) übereinstimmten. Standard (CVSS). Dieses branchenweite System wird von Sicherheitsforschern weltweit genutzt, um den Schweregrad von Schwachstellen in Software, Hardware und Firmware zu bewerten. Je höher der Wert, desto gravierender die Schwachstelle.
Dem Abschlussbericht zufolge:
„Insgesamt weisen die Systeme ein hohes Sicherheitsniveau auf und sind gut darauf ausgerichtet, die Privatsphäre der Nutzer zu schützen; im Vergleich zu Systemen ähnlicher Größe und Komplexität scheinen sie ein gutes Sicherheitsniveau zu bieten. Während unserer Bewertung konnten wir keine Anzeichen für die Protokollierung von Nutzeraktivitäten feststellen, und der Zugriff auf die Systeme wird streng kontrolliert, wobei keine unnötigen Fern-, lokalen oder SSH-Zugänge offenliegen. Zwar wurden Schwachstellen identifiziert, doch wurden die meisten davon bereits behoben, darunter auch ein kritischer Fehler; die verbleibenden Punkte befinden sich derzeit in der Behebung.“
Wie von den Prüfern bestätigt, haben unsere Ingenieure bereits eine „kritische“ Schwachstelle, zwei „mittlere“ Schwachstellen und eine „geringe“ Schwachstelle behoben. Unser Team arbeitet zudem aktiv daran, eine verbleibende kritische Schwachstelle und eine verbleibende geringe Schwachstelle im Software-Stack zu beheben.
Die Themen
X41 D-Sec hat zwei kritische Probleme festgestellt.
Das erste kritische Problem, das einen CVSS-Wert von 9,4 erhielt, betrifft die Ersteinrichtung und den Betrieb der Server, Malwarebytes Verwendungsmöglichkeiten für seine VPN Die
Beim Anschließen eines neuen Servers an das Netzwerk, Malwarebytes Der Server wird angewiesen, ein sogenanntes „Debian-Image“ herunterzuladen und zu installieren. Dabei handelt es sich um eine herunterladbare Datei, die das Debian-Betriebssystem auf einem physischen Computergerät installiert. Dieser Vorgang wird in der IT-Welt täglich unzählige Male wiederholt, um die schnelle, zuverlässige und verteilte Bereitstellung von Rechnern in einem Netzwerk zu ermöglichen.
Die Forscher stellten fest, dass das Debian-Image zwar von einer sicheren URL heruntergeladen wurde, die Signatur eines kleinen Teils der verifizierten Daten – der sogenannten Prüfsumme – jedoch nicht mit dem Signaturschlüssel der Debian-CD validiert worden war.
Signaturen spielen in der Softwarewelt eine entscheidende Rolle, da sie nachweisen, dass ein auf ein Gerät heruntergeladenes Programm tatsächlich dasjenige ist, das vom Entwickler veröffentlicht wurde. Ohne eine ordnungsgemäße Signaturprüfung könnte ein Angreifer eine manipulierte Version eines Programms verbreiten und den Computer dennoch dazu bringen, diese für echt zu halten.
Wir sind uns der Schwere dieser Sicherheitslücke bewusst und haben bereits eine Korrektur vorgenommen.
Der zweite kritische Punkt, der einen CVSS-Wert von 9,3 erhielt, betrifft ebenfalls das Verhalten von Malwarebytes ' VPN Server beim Hochfahren.
Um online zu gehen, Malwarebytes ' VPN Server nutzen die Preboot Execution Environment (PXE) für Linux, die das Bereitstellen und Installieren von Bootdateien über ein Netzwerk ermöglicht – im Gegensatz zum Booten von lokalen Dateien. Sicherheitsforscher warnten jedoch, dass diesem Prozess „jegliche kryptografische Signatur fehlt, sodass ein Man-in-the-Middle-Angriff dazu führen kann, dass der Code eines Angreifers auf dem Client-System ausgeführt wird.“
Ein solcher Angriff würde einen erheblichen physischen Zugriff auf die Server in unseren Rechenzentren erfordern. Dennoch sind wir uns der Bedeutung dieser Sicherheitslücke bewusst und arbeiten daran, sie zu beheben.
Die übrigen vier Schwachstellen betrafen das Risiko von Replay-Angriffen, den Missbrauch von Port-Relays, beobachtbaren Datenverkehr sowie ein Padding-Orakel, das bei ausreichender Beharrlichkeit ausgenutzt werden kann. Drei dieser Schwachstellen – die Replay-Angriffe, den beobachtbaren Datenverkehr und das Padding-Orakel – wurden bereits behoben, und unser Team arbeitet derzeit an einer Lösung für die letzte Schwachstelle.
Transparent und privat
Es hält sich hartnäckig der Mythos, dass Online-Privatsphäre bedeutet, etwas zu verbergen zu haben. VPN Anbieter wie Malwarebytes Die Realität ist das Gegenteil: Wir helfen den Menschen, online ihre Privatsphäre zu wahren, indem wir ihnen zeigen, wo wir uns verbessern können.
Nicht jedes Unternehmen lässt externe Prüfer beauftragen, und nicht jedes ist bereit, die Ergebnisse solcher Prüfungen offenzulegen. Tatsächlich wiesen Berichten zufolge 77 % der Android VPNs erhebliche Mängel in Bezug auf Transparenz und Verantwortlichkeit auf – eine Tatsache, die von den VPN-Anbietern selbst selten kommuniziert wird.
Doch was bei diesen Bemühungen – und für uns – am wichtigsten ist, ist nicht unser Ego. Was am wichtigsten ist, ist Ihre Privatsphäre. Wir hoffen, dass Sie anhand dieser Ergebnisse eine bessere und fundiertere Entscheidung darüber treffen können, wem Sie Ihren Internetverkehr und Ihre Online-Aktivitäten anvertrauen können.
Malwarebytes Dank an das Penetrationstesting-Unternehmen X41 D-Sec für die Durchführung des Audits sowie an die beteiligten Sicherheitsforscher: Djamal Touazi, JM, Markus Vervier, Robert Femmer und Eric Sesterhenn.
Den vollständigen Prüfbericht können Sie unten lesen.
Stöbern Sie, als würde niemand zusehen.
Malwarebytes Privacy VPN Ihre Verbindung wird verschlüsselt und Ihre Aktivitäten werden niemals protokolliert, sodass sich die nächste Geschichte, die Sie lesen, nicht persönlich anfühlen muss. Kostenlos testen →
