Dla ostrożnego użytkownika VPN wiele zależy dziś od obietnicy prywatności, składanej zbyt często przez firmę bez żadnych dowodów.
Polityka braku logów, nowoczesne algorytmy szyfrowania, odmowa przechowywania poufnych informacji o klientach i pełna własność serwerów to tylko niektóre z funkcji, które przyczyniają się do silnej VPN . Są to jednak te same cechy, których często żaden indywidualny klient nie jest w stanie potwierdzić .
Dlatego jest to tak ważne VPN dostawców do udziału w audycie przeprowadzanym przez stronę trzecią, który umożliwia zewnętrznym ekspertom ds. bezpieczeństwa przeglądanie oprogramowania i sprzętu opracowanego i wdrożonego przez firmę w celu obsługi jej usług VPN usługa. Podobnie jak inspekcja domu, która ujawnia oznaki uszkodzeń, VPN Niezależny audyt ujawnia luki w zabezpieczeniach, które mogą występować w jednym z najważniejszych obecnie rozwiązań technologicznych służących ochronie prywatności.
Dlatego jesteśmy dumni, że mogliśmy wziąć udział w naszym pierwszym w historii audycie przeprowadzonym przez stronę trzecią dotyczącym infrastruktury, na której obecnie działają Malwarebytes Privacy VPN i AzireVPN — dwa VPN Produkty, które obsługujemy i utrzymujemy. Ta podwójna struktura jest wynikiem naszego zakupu AzireVPN pod koniec 2024 roku . Oba produkty korzystają z tego samego oprogramowania serwerowego i sprzętu, aby zapewnić klientom VPN połączenia i usługi szyfrowania.
Audyt Malwarebytes Privacy VPN Znaleziono oprogramowanie:
- 2 problemy oznaczone jako „krytyczne”
- 0 problemów oznaczonych jako „Wysokie”
- 2 zgłoszenia oznaczone jako „Średnie”
- 2 problemy oznaczone jako „Niskie”
W ramach audytu określono stopień powagi problemu – od krytycznego do niskiego – poprzez przypisanie punktów technicznych zgodnych z Common Vulnerability Scoring Standard (CVSS). Ten branżowy system jest używany przez badaczy bezpieczeństwa na całym świecie do pomiaru stopnia zagrożenia lukami w zabezpieczeniach wykrytymi w oprogramowaniu, sprzęcie i oprogramowaniu sprzętowym . Im wyższa wartość, tym poważniejsza luka.
Zgodnie z raportem końcowym:
„Ogólnie rzecz biorąc, systemy charakteryzują się wysokim poziomem bezpieczeństwa i są dobrze przygotowane do ochrony prywatności użytkowników; wydają się zapewniać dobry poziom bezpieczeństwa w porównaniu z systemami o podobnej wielkości i złożoności. Podczas naszej oceny nie stwierdziliśmy żadnych oznak rejestrowania aktywności użytkowników, a dostęp do systemów jest ściśle kontrolowany – nie ma żadnych niepotrzebnych, narażonych na zagrożenia punktów dostępu zdalnego, lokalnego ani SSH. Chociaż zidentyfikowano pewne luki w zabezpieczeniach, większość z nich została już usunięta, w tym jedna luka o krytycznym znaczeniu, a pozostałe kwestie są w trakcie rozwiązywania”.
Jak potwierdzili audytorzy, nasi inżynierowie usunęli już jedną lukę o poziomie zagrożenia „krytycznym”, dwie luki o poziomie „średnim” oraz jedną lukę o poziomie „niskim”. Nasz zespół aktywnie pracuje również nad usunięciem jednej pozostałej luki o poziomie krytycznym oraz jednej pozostałej luki o poziomie niskim w stosie oprogramowania.
Kwestie
W programie X41 D-Sec wykryto dwa poważne problemy.
Pierwszym krytycznym problemem, który otrzymał ocenę CVSS wynoszącą 9,4, jest początkowa konfiguracja i obsługa serwerów, które Malwarebytes wykorzystuje do tego VPN .
Podczas podłączania nowego serwera do sieci, Malwarebytes instruuje serwer, aby pobrał i zainstalował tzw. „obraz Debiana”. Jest to po prostu plik do pobrania, który instaluje system operacyjny Debian na fizycznym sprzęcie komputerowym. To proces powtarzany niezliczoną ilość razy w całym świecie komputerowym każdego dnia, aby umożliwić szybkie, niezawodne i rozproszone wdrażanie maszyn w sieci.
Naukowcy odkryli, że chociaż obraz systemu Debian został pobrany z bezpiecznego adresu URL, to podpis niewielkiego fragmentu zweryfikowanych danych – tzw. sumy kontrolnej – nie został zweryfikowany przy użyciu klucza podpisującego płyty CD Debiana.
W świecie oprogramowania podpisy mają kluczowe znaczenie, ponieważ potwierdzają, że program pobrany na urządzenie jest rzeczywiście tym samym programem, który został opublikowany przez jego twórcę. Bez odpowiedniej weryfikacji podpisu osoba atakująca mogłaby dostarczyć zmodyfikowaną wersję programu i mimo to przekonać komputer, że jest to wersja autentyczna.
Zdajemy sobie sprawę z powagi tej luki i wprowadziliśmy już odpowiednią poprawkę.
Drugim istotnym problemem, który otrzymał ocenę CVSS wynoszącą 9,3, jest również zachowanie Malwarebytes ' VPN serwerów podczas rozruchu.
Aby wejść do sieci, Malwarebytes ' VPN Serwery wykorzystują środowisko Preboot Execution Environment (PXE) dla systemu Linux, które umożliwia dostarczanie i instalację plików rozruchowych przez sieć – w przeciwieństwie do rozruchu z plików lokalnych. Badacze bezpieczeństwa ostrzegają, że proces ten „nie posiada żadnej formy podpisu kryptograficznego – dlatego atak typu „Man in the Middle” może doprowadzić do wykonania kodu atakującego w systemie klienckim”.
Taki atak wymagałby fizycznego dostępu do serwerów w naszych centrach danych. Niemniej jednak zdajemy sobie sprawę z powagi tej luki i pracujemy nad jej usunięciem.
Pozostałe cztery luki ujawniły możliwość przeprowadzenia ataków typu replay, nadużycia funkcji przekierowania portów, obserwowalności ruchu sieciowego oraz istnienia oracle'a wypełniającego, który przy wystarczającej wytrwałości może zostać wykorzystany. Trzy z tych luk – dotyczące ataków typu replay, obserwowalności ruchu sieciowego oraz oracle'a wypełniającego – zostały już usunięte, a nasz zespół pracuje obecnie nad rozwiązaniem ostatniej z nich.
Przejrzysta prywatność
Istnieje mit, że prywatność w sieci polega na tym, że masz coś do ukrycia. VPN dostawca jak Malwarebytes Rzeczywistość jest odwrotna: pomagamy ludziom zachować prywatność w sieci, pokazując im, gdzie możemy wprowadzić ulepszenia.
Nie każda firma poddaje się audytowi zewnętrznemu i nie każda byłaby skłonna udostępnić jego wyniki. W rzeczywistości, aż 77% VPN-ów Android zawierało istotne luki w zakresie przejrzystości i rozliczalności – fakt rzadko ujawniany przez same VPN-y.
Jednak w tych działaniach – i dla nas – najważniejsze nie jest ego. Najważniejsza jest Twoja prywatność. Mamy nadzieję, że dzięki tym wynikom będziesz mógł podjąć lepszą i bardziej świadomą decyzję dotyczącą tego, komu możesz powierzyć swój ruch internetowy i aktywność w sieci.
Malwarebytes składa podziękowania firmie zajmującej się testami penetracyjnymi X41 D-Sec za przeprowadzenie audytu oraz zaangażowanym w badanie badaczom ds. bezpieczeństwa: Djamalowi Touaziemu, JM, Markusowi Vervierowi, Robertowi Femmerowi i Ericowi Sesterhennowi.
Pełny raport z audytu można przeczytać poniżej.
Przeglądaj, jakby nikt nie patrzył.
Malwarebytes Privacy VPN Szyfruje Twoje połączenie i nigdy nie rejestruje Twoich działań, więc kolejna przeczytana historia nie musi być osobista. Wypróbuj za darmo →
