Отворен код на клиентските приложения на ProtonVPN

Компанията Proton Technologies, развиваща защитен имейл сервиз и VPN, обяви обяви за откритие изходни текстове клиентските програми ProtonVPN за Windows, macOS, Android и iOS (конзолен Linux клиент е открит първоначално). Кодът е отворен под лиценз GPLv3. В същото време бяха публикувани отчети за независим одит на посочените приложения. Проблеми, които биха могли да доведат до разкриване на VPN трафик или повишаване на привилегиите, не бяха открити по време на одита.

Кодът е отворен в рамките на инициатива за осигуряване на прозрачност на проекта, за да могат независими експерти да се уверят, че кодът отговаря на заявените спецификации и да контролират коректността на провеждания одит на сигурността. В рамките на сътрудничество с Mozilla, която развива платен VPN сервиз, инженерите на Mozilla също получиха достъп до други технологии на ProtonVPN за одита. Подчертава се, че следващата стъпка ще бъде да се преминат в откритост и останалите приложения на ProtonVPN.

От предишни инциденти с ProtonVPN можем да отбележим откритие на уязвимости в приложението за Windows, което позволява на потребителя да повиши привилегиите си в системата до администраторски (уязвимостта беше причинена от некоректно взаимодействие между непривилегирования GUI клиент и системен сервис).

Наскоро завършилият одит на кода на приложението за Windows установи наличието на 4 уязвимости (две със средна степен на опасност и две незначителни): съхранение на сесионни токени и акаунтни данни в паметта на процеса, предварително зададени в конфигурационния файл ключове на VPN сървъра (не се използват за удостоверяване), включване на информация за отстраняване на грешки и приемане на връзки на всички мрежови интерфейси.

В версията за macOS не са открити уязвимости. В версията за iOS са намерени две незначителни уязвимости (не се използва привързването на SSL сертификат и не се блокира работата на устройствата след jailbreak). В версията за Android е намерена са идентифицирани четири незначителни проблеми (включване на отстраняващи съобщения, липса на блокиране на резервното копие чрез инструмента ADB, криптиране на настройките с предварително зададен ключ, липса на привързване на SSL сертификат) и една уязвимост със средна степен на опасност (непълно завършване на сесия, позволяващо повторно използване на сесионни токени).

Напомняме, че компанията Proton Technologies е основана от няколко изследователи от ЦЕРН (Европейска организация по ядрени изследвания) и е регистрирана в Швейцария, която има строги закони за защита на личния живот, които не позволяват на службите за сигурност да контролират информацията. Проектът ProtonVPN осигурява висок ниво на защита на комуникационния канал (трафикът се криптира с AES-256, обменът на ключове е на базата на 2048-битови RSA-ключове и HMAC, за удостоверяване се използва SHA-256, налична е защита от атаки, основани на корелация на данни), отказва се от водене на логове и е насочен не към печалба, а към повишаване на безопасността и личната неприкосновеност в интернет (проектът се финансира от фонда FONGIT, който се подкрепя от Европейската комисия).

Източник: opennet.ru