Para o consumidor cauteloso VPN hoje em dia, muita coisa depende de uma promessa de privacidade, feita, com muita frequência, por uma empresa sem provas.
Políticas de não registro de logs, algoritmos de criptografia modernos, recusa em armazenar informações confidenciais do cliente e propriedade total dos servidores são apenas algumas das características que contribuem para uma segurança robusta. VPN No entanto, são as mesmas características que muitas vezes são impossíveis de serem confirmadas por qualquer cliente individual .
É por isso que é tão importante para VPN Os fornecedores podem participar de uma auditoria de terceiros, que permite que especialistas externos em segurança revisem o software e o hardware que uma empresa desenvolveu e implementou para operar seus serviços. VPN serviço. Assim como uma inspeção residencial que expõe sinais de danos, um VPN Uma auditoria independente expõe as vulnerabilidades de segurança que podem estar presentes em uma das tecnologias de privacidade mais importantes da atualidade.
Portanto, temos orgulho de ter participado da nossa primeira auditoria independente da infraestrutura que agora alimenta tanto Malwarebytes Privacy VPN quanto o AzireVPN — os dois VPN produtos que operamos e mantemos. Essa estrutura dupla é resultado da nossa aquisição da AzireVPN no final de 2024. Ambos os produtos utilizam o mesmo software e hardware de servidor para fornecer aos clientes VPN Conexões e serviços de criptografia.
A auditoria de Malwarebytes Privacy VPN Software encontrado:
- 2 problemas classificados como “Críticos”
- 0 problemas classificados como “Alto”
- 2 problemas classificados como “Médio”
- 2 problemas classificados como “Baixo”
A auditoria determinou a gravidade do problema — de Crítica a Baixa — atribuindo pontuações técnicas que estavam de acordo com a Avaliação Comum de Vulnerabilidades. Standard (CVSS). Este sistema, utilizado em toda a indústria, é empregado por pesquisadores de segurança do mundo todo para medir a gravidade das vulnerabilidades descobertas em softwares, hardwares e firmwares . Quanto maior o número, mais grave a vulnerabilidade.
De acordo com o relatório final:
“De modo geral, os sistemas apresentam um alto nível de segurança e estão bem posicionados para proteger a privacidade dos usuários, parecendo estar em um bom nível de segurança quando comparados a sistemas de tamanho e complexidade semelhantes. Durante nossa avaliação, não observamos indícios de registro de atividades dos usuários, e o acesso aos sistemas é rigidamente controlado, sem que haja exposição de acessos remotos, locais ou via SSH desnecessários. Embora tenham sido identificadas vulnerabilidades, a maioria já foi corrigida, incluindo uma falha crítica, e os itens restantes estão em processo de resolução.”
Conforme constatado pelos auditores, nossos engenheiros já corrigiram uma vulnerabilidade “crítica”, duas vulnerabilidades “médias” e uma vulnerabilidade “baixa”. Nossa equipe também está trabalhando ativamente para corrigir uma vulnerabilidade crítica remanescente e uma vulnerabilidade baixa remanescente na pilha de software.
As questões
O X41 D-Sec detectou dois problemas críticos.
A primeira questão crítica, que recebeu uma pontuação CVSS de 9,4, diz respeito à configuração inicial e à operação dos servidores que Malwarebytes usos para o seu VPN .
Ao conectar um novo servidor à rede, Malwarebytes O comando instrui o servidor a baixar e instalar o que é chamado de "imagem Debian". Trata-se simplesmente de um arquivo para download que instala o sistema operacional Debian em um componente físico de hardware. É um processo que se repete inúmeras vezes no mundo da computação todos os dias para permitir a implantação rápida, confiável e distribuída de máquinas em uma rede.
Os pesquisadores descobriram que, embora a imagem do Debian tenha sido baixada de um URL seguro, um pequeno fragmento de dados verificados — chamado de checksum — não teve sua assinatura validada usando a chave de assinatura do CD do Debian.
As assinaturas são fundamentais no mundo do software, pois comprovam que um programa baixado para um dispositivo é realmente o programa publicado pelo seu desenvolvedor. Sem uma verificação adequada da assinatura, um invasor poderia distribuir uma versão modificada de um programa e ainda assim fazer com que o computador acreditasse que se tratava de uma versão legítima.
Reconhecemos a gravidade dessa vulnerabilidade e já implementamos uma correção.
A segunda questão crítica, que recebeu uma pontuação CVSS de 9,3, também diz respeito ao comportamento de Malwarebytes ' VPN servidores ao inicializar.
Para entrar online, Malwarebytes ' VPN Os servidores utilizam o Ambiente de Execução Pré-inicialização (PXE) para Linux, que permite a entrega e instalação de arquivos de inicialização através de uma rede — em vez de inicializar a partir de arquivos locais. Os pesquisadores de segurança alertaram que esse processo “carece de qualquer forma de assinatura criptográfica — portanto, um ataque 'Homem no Meio' pode levar à execução do código do invasor no sistema do cliente”.
Um ataque desse tipo exigiria acesso físico significativo aos servidores em nossos data centers. No entanto, compreendemos a importância dessa vulnerabilidade e estamos trabalhando para resolvê-la.
As outras quatro vulnerabilidades revelaram a possibilidade de ataques de repetição, uso indevido de retransmissão de porta, tráfego observável e um oráculo de preenchimento que pode ser explorado com persistência suficiente. Três dessas vulnerabilidades — relacionadas a ataques de repetição, tráfego observável e o oráculo de preenchimento — já foram corrigidas, e nossa equipe também está trabalhando na correção da última vulnerabilidade.
Transparente e privado
Existe um mito por aí de que manter a privacidade online significa ter algo a esconder. Para um VPN provedor como Malwarebytes Na realidade, é o oposto: ajudamos as pessoas a manterem sua privacidade online, mostrando-lhes onde podemos melhorar.
Nem todas as empresas realizam auditorias por terceiros, e nem todas estariam dispostas a compartilhar os resultados dessas auditorias. De fato, 77% das VPNs Android apresentaram falhas significativas em relação à transparência e à responsabilidade — um fato raramente divulgado pelas próprias VPNs.
Mas o que mais importa nesse esforço, e para nós, não é o ego. O que mais importa é a sua privacidade. Com esses resultados, esperamos que você possa tomar uma decisão melhor e mais informada sobre em quem confiar seu tráfego e suas atividades na internet.
Malwarebytes Agradecemos à empresa de testes de penetração X41 D-Sec pela realização da auditoria, bem como aos pesquisadores de segurança envolvidos: Djamal Touazi, JM, Markus Vervier, Robert Femmer e Eric Sesterhenn.
Você pode ler a auditoria completa abaixo.
Navegue como se ninguém estivesse olhando.
Malwarebytes Privacy VPN Criptografa sua conexão e nunca registra o que você faz, então a próxima história que você ler não precisa parecer pessoal. Experimente grátis →
