Voor de kritische VPN gebruiker van vandaag hangt er zoveel af van een privacybelofte, die helaas maar al te vaak wordt gedaan door een bedrijf zonder dat daar bewijs voor is.
Een strikt no-logs beleid, moderne encryptiealgoritmen, de weigering om gevoelige klantgegevens op te slaan en volledig eigendom van servers zijn slechts enkele kenmerken die bijdragen aan een sterke beveiliging. VPN Toch zijn dit dezelfde kenmerken die een individuele klant vaak niet kan bevestigen .
Daarom is het zo belangrijk dat VPN Aanbieders kunnen deelnemen aan een audit door een derde partij, waarbij externe beveiligingsexperts de software en hardware beoordelen die een bedrijf heeft ontwikkeld en geïmplementeerd voor de bedrijfsvoering. VPN dienst. Net zoals een woninginspectie die tekenen van schade aan het licht brengt, een VPN Een audit door een derde partij legt de beveiligingslekken bloot die mogelijk aanwezig zijn in een van de belangrijkste privacytechnologieën van dit moment.
We zijn er dan ook trots op dat we voor het eerst hebben deelgenomen aan een externe audit van de infrastructuur die nu zowel Malwarebytes Privacy VPN als AzireVPN aandrijft. VPN producten die wij beheren en onderhouden. Deze dubbele structuur is het resultaat van onze overname van AzireVPN eind 2024. Beide producten gebruiken dezelfde serversoftware en -hardware om klanten te voorzien van VPN verbindingen en versleutelingsdiensten.
De audit van Malwarebytes Privacy VPN De software van 's heeft het volgende gevonden:
- 2 problemen met de status „Kritiek“
- 0 problemen met de status „Hoog“
- 2 problemen met de status „Gemiddeld“
- 2 problemen met de status „Laag“
De audit bepaalde de ernst van de problemen – van kritiek tot laag – door technische scores toe te kennen die overeenkwamen met de Common Vulnerability Scoring-methode. Standard (CVSS). Dit branchebrede systeem wordt door beveiligingsonderzoekers wereldwijd gebruikt om de ernst te meten van kwetsbaarheden die zijn ontdekt in software, hardware en firmware . Hoe hoger het getal, hoe ernstiger de kwetsbaarheid.
Volgens het eindrapport:
“Over het algemeen bieden de systemen een hoog beveiligingsniveau en zijn ze goed toegerust om de privacy van gebruikers te waarborgen; in vergelijking met systemen van vergelijkbare omvang en complexiteit lijken ze een goed beveiligingsniveau te hebben. Tijdens onze beoordeling hebben we geen aanwijzingen gevonden dat gebruikersactiviteiten worden geregistreerd, en de toegang tot de systemen wordt streng gecontroleerd, waarbij geen onnodige toegang op afstand, lokaal of via SSH wordt geboden. Hoewel er kwetsbaarheden zijn vastgesteld, zijn de meeste daarvan al verholpen, waaronder één kritiek probleem, en worden de resterende punten momenteel opgelost.”
Zoals door de auditors is vastgesteld, hebben onze technici al één „kritieke“ kwetsbaarheid, twee „gemiddelde“ kwetsbaarheden en één „lage“ kwetsbaarheid verholpen. Ons team werkt ook actief aan het verhelpen van één resterende kritieke kwetsbaarheid en één resterende lage kwetsbaarheid in de softwarestack.
De kwesties
X41 D-Sec heeft twee kritieke problemen ontdekt.
Het eerste kritieke probleem, dat een CVSS-score van 9,4 kreeg, betreft de initiële installatie en werking van de servers die Malwarebytes toepassingen voor zijn VPN .
Bij het aansluiten van een nieuwe server op het netwerk, Malwarebytes Dit geeft de server de opdracht om een zogenaamde "Debian-image" te downloaden en te installeren. Dit is simpelweg een downloadbaar bestand dat het Debian-besturingssysteem installeert op een fysiek stuk computerhardware. Het is een proces dat dagelijks talloze keren wordt herhaald in de computerwereld om een snelle, betrouwbare en gedistribueerde implementatie van machines over een netwerk mogelijk te maken.
De onderzoekers ontdekten dat, hoewel de Debian-image via een beveiligde URL was gedownload, de handtekening van een klein stukje geverifieerde data – de zogenaamde checksum – niet was gevalideerd met behulp van de Debian-cd-ondertekeningssleutel.
Handtekeningen zijn van cruciaal belang in de softwarewereld, omdat ze aantonen dat een programma dat op een apparaat is gedownload, daadwerkelijk het programma is dat door de ontwikkelaar is uitgebracht. Zonder een degelijke handtekeningcontrole zou een aanvaller een gewijzigde versie van een programma kunnen verspreiden en de computer toch laten geloven dat het om een legitiem programma gaat.
We zijn ons bewust van de ernst van dit beveiligingslek en hebben al een oplossing geïmplementeerd.
Het tweede kritieke punt, dat een CVSS-score van 9,3 kreeg, betreft eveneens het gedrag van Malwarebytes ' VPN servers bij het opstarten.
Om online te komen, Malwarebytes ' VPN Servers maken gebruik van de Preboot Execution Environment (PXE) voor Linux, waarmee opstartbestanden via een netwerk kunnen worden verzonden en geïnstalleerd – in tegenstelling tot opstarten vanaf lokale bestanden. De beveiligingsonderzoekers waarschuwden dat dit proces "geen enkele vorm van cryptografische handtekening bevat, waardoor een 'man-in-the-middle'-aanval ertoe kan leiden dat de code van een aanvaller op het clientsysteem wordt uitgevoerd."
Voor een dergelijke aanval zou fysieke toegang tot de servers in onze datacenters nodig zijn. Toch beseffen we het belang van deze kwetsbaarheid en werken we eraan om deze te verhelpen.
De overige vier kwetsbaarheden brachten het risico op replay-aanvallen, misbruik van poortrelays, waarneembaar verkeer en een padding-orakel aan het licht, dat bij voldoende volharding kan worden misbruikt. Drie van deze kwetsbaarheden – met betrekking tot replay-aanvallen, waarneembaar verkeer en het padding-orakel – zijn al verholpen, en ons team werkt momenteel ook aan een oplossing voor de laatste kwetsbaarheid.
Transparant en toch privé
Er bestaat een mythe dat online privacy betekent dat je iets te verbergen hebt. VPN aanbieder zoals Malwarebytes De realiteit is echter precies het tegenovergestelde: we helpen mensen hun online privacy te beschermen door ze te laten zien waar we verbeteringen kunnen aanbrengen.
Niet elk bedrijf laat een audit door een derde partij uitvoeren, en niet elk bedrijf is bereid de resultaten van zo'n audit te delen. Sterker nog, naar verluidt vertoonde 77% van de Android VPN's aanzienlijke tekortkomingen op het gebied van transparantie en verantwoording – een feit dat zelden door de VPN-aanbieders zelf wordt gecommuniceerd.
Maar wat bij dit streven – en voor ons – het belangrijkst is, is niet ons eigen ego. Het belangrijkste is uw privacy. We hopen dat u met deze resultaten een betere en beter onderbouwde beslissing kunt nemen over aan wie u uw internetverkeer en -activiteiten kunt toevertrouwen.
Malwarebytes Wij bedanken het penetratietestbedrijf X41 D-Sec voor het uitvoeren van de audit, evenals de betrokken beveiligingsonderzoekers: Djamal Touazi, JM, Markus Vervier, Robert Femmer en Eric Sesterhenn.
Hieronder kunt u het volledige auditrapport lezen.
Surf alsof niemand kijkt.
Malwarebytes Privacy VPN Versleutelt je verbinding en registreert nooit wat je doet, zodat het volgende verhaal dat je leest niet persoonlijk hoeft aan te voelen. Probeer het gratis →
