Per l'utente VPN attento di oggi, molto dipende da una promessa di privacy, fatta, troppo spesso, da un'azienda senza prove a supporto.
Le politiche di non registrazione dei dati, i moderni algoritmi di crittografia, il rifiuto di memorizzare informazioni sensibili dei clienti e la piena proprietà dei server sono solo alcune delle caratteristiche che contribuiscono a una solida VPN Eppure sono le stesse caratteristiche che spesso è impossibile per un singolo cliente verificare .
Ecco perché è così importante per VPN fornitori di partecipare a un audit di terze parti, che consente a esperti di sicurezza esterni di esaminare il software e l'hardware che un'azienda ha sviluppato e implementato per gestire la propria VPN servizio. Come un'ispezione della casa che rivela segni di danni, un VPN Un audit condotto da terze parti mette in luce le vulnerabilità di sicurezza che potrebbero risiedere in una delle tecnologie per la privacy più importanti oggi disponibili.
Siamo quindi orgogliosi di aver partecipato al nostro primo audit di terze parti per l'infrastruttura che ora alimenta sia Malwarebytes Privacy VPN che AzireVPN , i due VPN prodotti che gestiamo e manteniamo. Questa struttura duale è il risultato dell'acquisizione di AzireVPN alla fine del 2024. Entrambi i prodotti utilizzano lo stesso software e hardware server per fornire ai clienti VPN connessioni e servizi di crittografia.
La revisione contabile Malwarebytes Privacy VPN Il software ha rilevato:
- 2 problemi contrassegnati come «Critici»
- 0 problemi contrassegnati come «Elevato»
- 2 problemi contrassegnati come «Medio»
- 2 problemi contrassegnati come «Basso»
L'audit ha determinato la gravità del problema, da Critico a Basso, assegnando punteggi tecnici in linea con il Common Vulnerability Scoring. Standard (CVSS). Questo sistema, diffuso in tutto il settore, viene utilizzato dai ricercatori di sicurezza di tutto il mondo per misurare la gravità delle vulnerabilità scoperte in software, hardware e firmware . Più alto è il numero, più grave è la vulnerabilità.
Secondo il rapporto finale:
«Nel complesso, i sistemi dimostrano un elevato livello di sicurezza e sono ben strutturati per tutelare la privacy degli utenti, risultando a un buon livello di sicurezza rispetto a sistemi di dimensioni e complessità simili. Nel corso della nostra valutazione, non abbiamo riscontrato alcuna traccia di registrazione delle attività degli utenti e l'accesso ai sistemi è rigorosamente controllato, senza che siano esposti accessi remoti, locali o SSH non necessari. Sebbene siano state individuate alcune vulnerabilità, la maggior parte di esse è già stata risolta, compresa una criticità, mentre le restanti sono in fase di risoluzione.»
Come rilevato dai revisori, i nostri ingegneri hanno già risolto una vulnerabilità «critica», due vulnerabilità «medie» e una vulnerabilità «bassa». Il nostro team sta inoltre lavorando attivamente per risolvere l'ultima vulnerabilità critica e l'ultima vulnerabilità bassa presenti nello stack software.
Le questioni
X41 D-Sec ha individuato due problemi critici.
Il primo problema critico, che ha ricevuto un punteggio CVSS di 9,4, riguarda la configurazione iniziale e il funzionamento dei server che Malwarebytes usi per il suo VPN .
Quando si collega un nuovo server alla rete, Malwarebytes Il comando indica al server di scaricare e installare quella che viene chiamata "immagine Debian". Si tratta semplicemente di un file scaricabile che installa il sistema operativo Debian su un hardware fisico. È un processo che si ripete innumerevoli volte ogni giorno nel mondo dell'informatica per consentire la distribuzione rapida, affidabile e distribuita di macchine all'interno di una rete.
I ricercatori hanno scoperto che, sebbene l'immagine Debian fosse stata scaricata da un URL sicuro, la firma di un piccolo frammento di dati verificati — chiamato checksum — non era stata convalidata utilizzando la chiave di firma del CD Debian.
Le firme sono fondamentali nel mondo del software, poiché dimostrano che un programma scaricato su un dispositivo è effettivamente quello pubblicato dal suo sviluppatore. Senza un adeguato controllo delle firme, un hacker potrebbe distribuire una versione modificata di un programma e comunque indurre il computer a credere che sia legittima.
Siamo consapevoli della gravità di questa vulnerabilità e abbiamo già implementato una correzione.
La seconda questione critica, che ha ricevuto un punteggio CVSS di 9,3, riguarda anche il comportamento di Malwarebytes ' VPN server all'avvio.
Per connettersi, Malwarebytes ' VPN I server utilizzano il Preboot Execution Environment (PXE) per Linux, che consente la distribuzione e l'installazione di file di avvio attraverso una rete, anziché l'avvio da file locali. I ricercatori di sicurezza hanno avvertito che questo processo "è privo di qualsiasi forma di firma crittografica, pertanto un attacco 'Man-in-the-Middle' potrebbe portare all'esecuzione di codice malevolo sul sistema client".
Un attacco di questo tipo richiederebbe un accesso fisico diretto ai server nei nostri data center. Ciononostante, siamo consapevoli dell'importanza di questa vulnerabilità e stiamo lavorando per risolverla.
Le altre quattro vulnerabilità hanno evidenziato il rischio di attacchi di replay, l'uso improprio del port relay, la visibilità del traffico e un "padding oracle" che può essere sfruttato con sufficiente perseveranza. Tre di queste vulnerabilità — relative agli attacchi di replay, alla visibilità del traffico e al "padding oracle" — sono già state risolte, e il nostro team sta lavorando anche a una soluzione per l'ultima vulnerabilità.
Trasparentemente privato
C'è un mito in giro secondo cui mantenere la privacy online significa avere qualcosa da nascondere. Per un VPN fornitore come Malwarebytes La realtà è l'opposto: aiutiamo le persone a proteggere la propria privacy online mostrando loro dove possiamo migliorare.
Non tutte le aziende si affidano a verifiche esterne e non tutte sono disposte a condividerne i risultati. Infatti, secondo alcune fonti, il 77% delle VPN Android presentava gravi lacune in termini di trasparenza e responsabilità , un dato raramente comunicato dalle stesse VPN.
Ma ciò che conta di più in questo contesto, e per noi, non è l'ego. Ciò che conta di più è la tua privacy. Grazie a questi risultati, speriamo che tu possa prendere una decisione più consapevole e informata su chi affidare il tuo traffico Internet e la tua attività online.
Malwarebytes Ringraziamo la società di penetration testing X41 D-Sec per aver condotto l'audit, insieme ai ricercatori di sicurezza coinvolti: Djamal Touazi, JM, Markus Vervier, Robert Femmer ed Eric Sesterhenn.
Di seguito è possibile leggere la relazione di revisione completa.
Naviga come se nessuno ti guardasse.
Malwarebytes Privacy VPN Crittografa la tua connessione e non registra mai le tue attività, così la prossima storia che leggerai non ti sembrerà personale. Provalo gratis →
