🥇Източникът на клиентските приложения на ProtonVPN е отворен

Компанията Proton Technologies, която развива сигурен пощенски сервис и VPN, обяви за отварянето на изходния код на клиентските програми ProtonVPN за Windows, macOS, Android и iOS (конзолен Linux-клиент е отворен първоначално). Кодът е отворен под лицензия GPLv3. В същото време са публикувани отчети за проведен независим аудит на посочените приложения. Проблеми, които могат да доведат до дешифриране на VPN-трафика или повишаване на привилегиите, не са открити по време наAUDIT.

Кодът е отворен в рамките на инициативата за осигуряване на прозрачност на проекта, за да могат независимите експерти да се уверят, че кодът отговаря на заявените спецификации и да контролират правилността на провеждането на аудита за сигурност. В рамките на сътрудничеството с Mozilla, която развива платен VPN-сервиз, инженерите от Mozilla също получиха достъп до други технологии на ProtonVPN за аудит. Отбелязва се, че следващата стъпка ще бъде преводът в открит достъп на останалите приложения на ProtonVPN.

От предишните инциденти с ProtonVPN може да се отбележи откритие уязвимост в приложението за Windows, която позволява на потребителя да повиши своите привилегии в системата до администратор (уязвимостта е причинена от неправилно взаимодействие между непривилегирования GUI-клиент и системния сервис).

Завършилият преди няколко дни аудит на кода на приложението за Windows установи наличието на 4 уязвимости (две с умерена степен на опасност и две незначителни): съхранение на сесионни токени и учетни данни в паметта на процеса, предварително зададени в конфигурационния файл ключове на VPN-сервера (не се използват за аутентификация), включване на отладъчна информация и приемане на връзки на всички мрежови интерфейси.

В версията за macOS не са установени уязвимости. В версията за iOS са открити две незначителни уязвимост (не се използва свързване на SSL-сертификата и не се блокира работата на устройства след jailbreaking). В версията за Android са намерени четири незначителни проблема (включване на отладъчни съобщения, липса на блокировка на резервното копие чрез утилитата ADB, шифроване на настройките с предварително зададен ключ, липса на свързване на SSL-сертификата) и една уязвимост с умерена степен на опасност (непълно приключване на сесията, допускаща повторно използване на сесионни токени).

Напомняме, че компанията Proton Technologies е основана от няколко изследователи от ЦЕРН (Европейската организация за ядрени изследвания) и е регистрирана в Швейцария, която има строги закони за защита на личния живот, недопускащи контрол на информацията от специални служби. Проектът ProtonVPN осигурява висок контрол на защитата на комуникационния канал (трафикът се шифрова с AES-256, обменът на ключове се извършва с 2048-битови RSA-ключове и HMAC, за удостоверяване се използва SHA-256, има защита срещу атаки, основани на корелация на данни), не води счетоводство на данните и е ориентиран не към печалба, а към повишаване на сигурността и личната неприкосновеност в интернет (проектът се финансира от фонда FONGIT, подкрепен от Европейската комисия).

Източник: opennet.ru

Отворен код на клиентските приложения ProtonVPN