今日の慎重なVPNユーザーにとって、プライバシー保護の約束は非常に重要だが、その約束は往々にして、何の証拠も示さずに企業によってなされている。
ログなしポリシー、最新の暗号化アルゴリズム、機密性の高い顧客情報の保存拒否、サーバーの完全所有権などは、強力なセキュリティに貢献する機能のほんの一部です。 VPNしかし、それらは多くの場合、個々の顧客が確認することが不可能な機能でもある。
だからこそ、 VPN プロバイダーは第三者監査に参加する必要があり、これにより外部のセキュリティ専門家が、企業が開発および展開したソフトウェアとハードウェアをレビューすることができます。 VPN サービス。損傷の兆候を明らかにする住宅検査のように、 VPN 第三者機関による監査は、今日の最も重要なプライバシー技術の一つに潜む可能性のあるセキュリティ上の脆弱性を明らかにする。
そこで、 Malwarebytes Privacy VPNとAzireVPNの両方を支えるインフラストラクチャに対する、当社初の第三者監査に参加できたことを誇りに思います。 VPN 当社が運営・保守する製品。この二重構造は、 2024年末にAzireVPNを買収した結果です。両製品とも同じサーバーソフトウェアとハードウェアを使用して、お客様にVPN 接続および暗号化サービス。
監査Malwarebytes Privacy VPNのソフトウェアが発見しました：
- 「重大」と分類された2件の問題
- 「高」と分類された課題は0件です
- 「中」と分類された2件の問題
- 「低」と分類された2件の問題
監査では、共通脆弱性評価基準に準拠した技術スコアを割り当てることにより、問題の深刻度を「重大」から「低」まで判定しました。 Standard （CVSS）。この業界標準システムは、世界中のセキュリティ研究者がソフトウェア、ハードウェア、ファームウェアで発見された脆弱性の深刻度を測定するために使用しています。数値が高いほど、脆弱性の深刻度が高いことを示します。
最終報告書によると：
「全体として、これらのシステムは高いセキュリティレベルを示しており、ユーザーのプライバシー保護を十分に支援できる体制が整っています。同規模・同程度の複雑さを持つシステムと比較しても、良好なセキュリティレベルにあると見受けられます。評価の過程において、ユーザーアクティビティのログ記録が行われている兆候は確認されませんでした。また、システムへのアクセスは厳格に管理されており、不必要なリモートアクセス、ローカルアクセス、SSHアクセスが公開されていることはありませんでした。脆弱性はいくつか特定されましたが、重大な問題1件を含め、そのほとんどはすでに修正済みであり、残りの項目についても現在解決に向けて対応が進められています。」
監査担当者からも認められている通り、当社のエンジニアはすでに「重大」な脆弱性1件、「中」の脆弱性2件、「軽微」な脆弱性1件を修正済みです。また、当社のチームは、ソフトウェアスタックに残っている「重大」な脆弱性1件と「軽微」な脆弱性1件の修正にも積極的に取り組んでいます。
課題
X41 D-Secは2つの重大な問題を発見しました。
最初の重大な問題は、CVSSスコアが9.4で、サーバーの初期設定と運用に関するもので、 Malwarebytes 用途VPN 。
新しいサーバーをネットワークに接続すると、 Malwarebytes サーバーに「Debianイメージ」と呼ばれるものをダウンロードしてインストールするように指示します。これは、物理的なコンピュータハードウェアにDebianオペレーティングシステムをインストールするためのダウンロード可能なファイルです。このプロセスは、ネットワーク全体にマシンを迅速かつ確実に分散展開するために、コンピュータ業界で毎日無数に繰り返されています。
研究者らは、Debianのイメージは安全なURLからダウンロードされていたものの、チェックサムと呼ばれる検証用データの一部について、Debian CD署名鍵を用いた署名の検証が行われていなかったことを突き止めた。
ソフトウェアの世界において、デジタル署名は極めて重要です。なぜなら、デジタル署名によって、デバイスにダウンロードされたプログラムが、開発者が公開した本来のプログラムであることを証明できるからです。適切な署名検証が行われない場合、攻撃者は改変されたプログラムを配布しても、コンピュータを欺いてそれが正規のものだと信じ込ませることができてしまいます。
弊社はこの脆弱性の深刻さを認識しており、すでに修正を施しております。
2つ目の重要な問題はCVSSスコア9.3を獲得しており、これも動作に関するものです。 Malwarebytes ' VPN サーバー起動時。
オンラインにするには、 Malwarebytes ' VPN サーバーはLinuxのプレブート実行環境（PXE）を利用しており、ローカルファイルからの起動とは異なり、ネットワーク経由でブートファイルを配信・インストールできる。セキュリティ研究者らは、このプロセスには「暗号署名が一切含まれていないため、中間者攻撃によって攻撃者のコードがクライアントシステム上で実行される可能性がある」と警告した。
このような攻撃を行うには、当社のデータセンター内のサーバーに物理的にアクセスできる必要があります。とはいえ、当社はこの脆弱性の重要性を認識しており、その対策に取り組んでいます。
残りの4つの問題については、リプレイ攻撃、ポートリレーの悪用、トラフィックの観測可能性、および十分な執念があれば悪用され得るパディングオラクルといったリスクが明らかになりました。そのうち、リプレイ攻撃、トラフィックの観測可能性、およびパディングオラクルに関する3つの問題はすでに修正済みであり、残りの1つの問題についても、当チームが修正に取り組んでいます。
透明性のあるプライバシー
オンラインでプライバシーを守ることは、何か隠したいことがあるということだという誤解が広まっている。 VPN プロバイダーのようなMalwarebytesしかし、現実はその逆です。私たちは、改善すべき点をお客様に示すことで、オンライン上でのプライバシー保護を支援しています。
すべての企業が第三者機関による監査を実施しているわけではなく、また、すべての企業がその監査結果を公開する意思があるわけでもありません。実際、報告によると、 Android VPNの77%には透明性と説明責任に関して重大な欠陥があり、この事実はVPN事業者自身によってほとんど伝えられていません。
しかし、この取り組みにおいて、そして私たちにとって最も重要なのは、自己満足ではありません。最も重要なのは、皆様のプライバシーです。これらの結果を通じて、皆様がインターネット上の通信や活動について、誰を信頼すべきか、より的確な判断を下せるようになることを願っています。
Malwarebytes ペネトレーションテスト会社X41 D-Secによる監査、および監査に携わったセキュリティ研究者のDjamal Touazi、JM、Markus Vervier、Robert Femmer、Eric Sesterhennに感謝いたします。
監査報告書の全文は以下からご覧いただけます。
誰にも見られていないかのように、自由に閲覧してください。
Malwarebytes Privacy VPN 接続を暗号化し、あなたの行動を一切記録しないので、次に読む記事が個人的なものだと感じられることはありません。無料でお試しください →
