Открыт код клиентских приложений ProtonVPN

Компания Proton Technologies, развивающая защищённый почтовый сервис и VPN, объявила об открытии исходных текстов клиентских программ ProtonVPN для Windows, macOS, Android и iOS (консольный Linux-клиент открыт изначально). Код открыт под лицензией GPLv3. Одновременно опубликованы отчёты о проведении независимого аудита указанных приложений. Проблем, которые могут привести к расшифровке VPN-трафика или повышению привилегий, в ходе аудита не найдено.

Код открыт в рамках инициативы по обеспечению прозрачности проекта для того, чтобы независимые эксперты могли убедиться в соответствии кода заявленным спецификациям и проконтролировать корректность проведения аудита безопасности. В рамках сотрудничества с Mozilla, которая развивает платный VPN-сервис, для аудита инженерам Mozilla также был открыт доступ и к другим технологиям ProtonVPN. Отмечается, что следующим шагом станет перевод в разряд открытых и остальных приложений ProtonVPN.

Из ранее происходивших инцидентов с ProtonVPN можно отметить выявление уязвимости в приложении для Windows, позволявшей пользователю поднять свои привилегии в системе до администратора (уязвимость была вызвана некорректным взаимодействием между непривилегированным GUI-клиентом и системным сервисом).

Завершившийся несколько дней назад аудит кода приложения для Windows выявил наличие 4 уязвимостей (две средней степени опасности и две незначительные): хранение в сессионных токенов и учётных данных в памяти процесса, предопределённые в файле конфигурации ключи VPN-сервера (не используются для аутентификации), включение отладочной информации и приём соединений на всех сетевых интерфейсах.

В версии для macOS уязвимостей не выявлено. В версии для iOS найдены две незначительные уязвимости (не используется привязка SSL-сертификата и не блокируется работа на устройствах после jailbreak). В версии для Android найдено четыре незначительные проблемы (включение отладочных сообщений, отсутствие блокировки бэкапа при помощи утилиты ADB, шифрование настроек предопределённым ключом, отсутствие привязки SSL-сертификата) и одна уязвимость средней степени опасности (неполное завершение сеанса, допускающее повторное использование сессионных токенов).

Напомним, что компания Proton Technologies основана несколькими исследователями из ЦЕРН (Европейская организация по ядерным исследованиям) и зарегистрирована в Швейцарии, имеющей жёсткое законодательство в области защиты частной жизни, не позволяющее спецслужбам контролировать информацию. Проект ProtonVPN обеспечивает высокий уровень защиты канала связи (поток шифруется при помощи AES-256, обмен ключами осуществляется на основе 2048-битных RSA-ключей и HMAC, для аутентификации используется SHA-256, имеется защита от атак, основанных на корреляции потоков данных), отказывается от ведения логов и ориентирован не на получение прибыли, а на повышение безопасности и приватности в Web (проект финансируется фондом FONGIT, поддерживаемым Еврокомиссией).

Источник: opennet.ru