Для внимательного пользователя VPN сегодня очень многое зависит от обещаний конфиденциальности, которые слишком часто дают компании, не предоставляя никаких доказательств.
Отсутствие журналов активности, современные алгоритмы шифрования, отказ от хранения конфиденциальной информации о клиентах и полное владение серверами — это лишь некоторые из факторов, способствующих созданию надежной системы. VPN Однако это те же самые характеристики, которые зачастую невозможно подтвердить отдельному клиенту .
Вот почему это так важно для VPN Поставщики услуг могут участвовать в стороннем аудите, что позволяет внешним экспертам по безопасности проверять программное и аппаратное обеспечение, разработанное и внедренное компанией для обеспечения своей работы. VPN сервис. Подобно осмотру дома, выявляющему признаки повреждений, VPN Аудит, проводимый третьей стороной, выявляет уязвимости в системе безопасности, которые могут скрываться в одном из важнейших элементов современных технологий защиты конфиденциальности.
Поэтому мы гордимся тем, что впервые приняли участие в независимом аудите инфраструктуры, которая теперь обеспечивает работу Malwarebytes Privacy VPN и AzireVPN — двух сервисов. VPN продукты, которые мы эксплуатируем и поддерживаем. Эта двойная структура является результатом приобретения AzireVPN в конце 2024 года . Оба продукта используют одно и то же серверное программное обеспечение и оборудование для предоставления клиентам VPN соединения и службы шифрования.
Аудит Malwarebytes Privacy VPN Программное обеспечение обнаружило:
- 2 проблемы с рейтингом «Критическая»
- 0 проблем с уровнем риска «Высокий»
- 2 проблемы, отмеченные как «Средняя»
- 2 проблемы с оценкой «Низкий»
В ходе аудита была определена степень серьезности проблемы — от критической до низкой — путем присвоения технических оценок, соответствующих системе оценки уязвимостей Common Vulnerability Scoring. Standard (CVSS). Эта общеотраслевая система используется исследователями безопасности по всему миру для оценки серьезности уязвимостей, обнаруженных в программном обеспечении, оборудовании и микропрограммах . Чем выше число, тем серьезнее уязвимость.
Согласно итоговому отчёту:
«В целом системы демонстрируют высокий уровень безопасности и обеспечивают надлежащую защиту конфиденциальности пользователей, при этом их уровень безопасности выглядит достаточно высоким по сравнению с системами аналогичного масштаба и сложности. В ходе нашей оценки мы не обнаружили признаков регистрации действий пользователей, а доступ к системам строго контролируется: не наблюдается никаких ненужных точек доступа — ни удаленных, ни локальных, ни через SSH. Хотя были выявлены уязвимости, большинство из них уже устранено, в том числе одна критическая проблема, а остальные вопросы находятся в процессе решения».
Как отметили аудиторы, наши инженеры уже устранили одну уязвимость «критической» степени, две уязвимости «средней» степени и одну уязвимость «низкой» степени. Наша команда также активно работает над устранением одной оставшейся уязвимости критической степени и одной оставшейся уязвимости низкой степени в программном стеке.
Проблемы
X41 D-Sec обнаружил две критические проблемы.
Первая критическая проблема, получившая оценку CVSS 9,4, касается первоначальной настройки и работы серверов. Malwarebytes для своих VPN .
При подключении нового сервера к сети, Malwarebytes Это дает указание серверу загрузить и установить так называемый «образ Debian». Это просто загружаемый файл, который устанавливает операционную систему Debian на физическое вычислительное устройство. Этот процесс повторяется бесчисленное количество раз в мире вычислительной техники каждый день, обеспечивая быстрое, надежное и распределенное развертывание машин в сети.
Исследователи обнаружили, что, хотя образ Debian был загружен с безопасного URL-адреса, подлинность небольшого фрагмента проверенных данных — так называемой контрольной суммы — не была подтверждена с помощью ключа подписи компакт-дисков Debian.
Подписи играют ключевую роль в мире программного обеспечения, поскольку они подтверждают, что программа, загруженная на устройство, действительно является той самой программой, которая была выпущена её разработчиком. Без надлежащей проверки подписи злоумышленник может распространить модифицированную версию программы и при этом заставить компьютер считать её подлинной.
Мы осознаем серьезность этой уязвимости и уже внедрили исправление.
Вторая критическая проблема, получившая оценку CVSS 9,3, также касается поведения Malwarebytes ' VPN серверы при загрузке.
Чтобы выйти в онлайн, Malwarebytes ' VPN Серверы используют среду выполнения предварительной загрузки (PXE) для Linux, которая позволяет доставлять и устанавливать загрузочные файлы по сети, в отличие от загрузки с локальных файлов. Исследователи безопасности предупредили, что этот процесс «не имеет никакой криптографической подписи, поэтому атака типа «человек посередине» может привести к выполнению кода злоумышленника в клиентской системе».
Для такой атаки потребовался бы непосредственный физический доступ к серверам в наших дата-центрах. Тем не менее, мы осознаем серьезность этой уязвимости и работаем над ее устранением.
Остальные четыре уязвимости свидетельствовали о возможности атак с повторным воспроизведением, злоупотребления ретрансляцией портов, отслеживания трафика, а также наличия «оракула заполнения», который при достаточном настойчивом подходе может быть использован злоумышленниками. Три из этих уязвимостей — касающиеся атак с повторным воспроизведением, отслеживания трафика и «оракула заполнения» — уже устранены, а наша команда также работает над исправлением последней уязвимости.
Прозрачная конфиденциальность
Существует миф о том, что сохранение конфиденциальности в интернете связано с желанием что-то скрыть. Для некоторых VPN поставщик, например Malwarebytes На самом деле все наоборот: мы помогаем людям сохранять конфиденциальность в интернете, показывая им, где мы можем улучшить ситуацию.
Не каждая компания проводит независимый аудит, и не каждая компания готова поделиться результатами такого аудита. Фактически, по сообщениям, 77% VPN-сервисов Android содержали существенные недостатки в отношении прозрачности и подотчетности — факт, который редко сообщается самими VPN-сервисами.
Но главное в этой работе — и для нас — это не самоутверждение. Главное — это ваша конфиденциальность. Мы надеемся, что эти результаты помогут вам принять более взвешенное и обоснованное решение о том, кому можно доверять свой интернет-трафик и действия в сети.
Malwarebytes Благодарим компанию X41 D-Sec, занимающуюся тестированием на проникновение, за проведение аудита, а также участвовавших в нем исследователей безопасности: Джамаля Туази, JM, Маркуса Вервье, Роберта Феммера и Эрика Сестерхенна.
Ниже вы можете ознакомиться с полным текстом аудиторского заключения.
Просматривайте, как будто никто не смотрит.
Malwarebytes Privacy VPN Шифрует ваше соединение и никогда не записывает ваши действия, поэтому следующая прочитанная вами история не будет казаться личной. Попробуйте бесплатно →
