🥇মোজিলা ভিপিএন ক্লায়েন্ট অডিট ফলাফল প্রকাশিত

Mozilla VPN পরিষেবার সাথে সংযোগের জন্য ক্লায়েন্ট সফ্টওয়্যারগুলির একটি স্বাধীন অডিট সম্পূর্ণ করার ঘোষণা দিয়েছে৷ অডিটে Qt লাইব্রেরি ব্যবহার করে লেখা এবং Linux, macOS, Windows, Android এবং iOS-এর জন্য উপলব্ধ একটি স্বতন্ত্র ক্লায়েন্ট অ্যাপ্লিকেশনের বিশ্লেষণ অন্তর্ভুক্ত করা হয়েছে। Mozilla VPN 400 টিরও বেশি দেশে অবস্থিত সুইডিশ VPN প্রদানকারী Mullvad-এর 30 টিরও বেশি সার্ভার দ্বারা চালিত। ওয়্যারগার্ড প্রোটোকল ব্যবহার করে ভিপিএন পরিষেবার সাথে সংযোগ করা হয়।

নিরীক্ষাটি Cure53 দ্বারা পরিচালিত হয়েছিল, যা এক সময়ে NTPsec, SecureDrop, Cryptocat, F-Droid এবং Dovecot প্রকল্পগুলির নিরীক্ষা করেছিল। অডিট সোর্স কোডগুলির যাচাইকরণকে কভার করেছে এবং সম্ভাব্য দুর্বলতাগুলি সনাক্ত করার জন্য পরীক্ষাগুলি অন্তর্ভুক্ত করেছে (ক্রিপ্টোগ্রাফি সম্পর্কিত সমস্যাগুলি বিবেচনা করা হয়নি)। নিরীক্ষা চলাকালীন, 16টি নিরাপত্তা সমস্যা চিহ্নিত করা হয়েছিল, যার মধ্যে 8টি সুপারিশ ছিল, 5টি নিম্ন স্তরের বিপদ, দুটিকে মাঝারি স্তরের, এবং একটিকে উচ্চ স্তরের বিপদ নির্ধারণ করা হয়েছিল।

যাইহোক, একটি মাঝারি তীব্রতা স্তরের সাথে শুধুমাত্র একটি সমস্যা একটি দুর্বলতা হিসাবে শ্রেণীবদ্ধ করা হয়েছিল, কারণ এটিই একমাত্র শোষণযোগ্য। এই সমস্যাটি ভিপিএন টানেলের বাইরে এনক্রিপ্ট না করা সরাসরি HTTP অনুরোধের কারণে ক্যাপটিভ পোর্টাল সনাক্তকরণ কোডে ভিপিএন ব্যবহারের তথ্য ফাঁসের ফলে, আক্রমণকারী ট্রানজিট ট্রাফিক নিয়ন্ত্রণ করতে পারলে ব্যবহারকারীর প্রাথমিক আইপি ঠিকানা প্রকাশ করে। সেটিংসে ক্যাপটিভ পোর্টাল সনাক্তকরণ মোড অক্ষম করে সমস্যাটি সমাধান করা হয়৷

মাঝারি তীব্রতার দ্বিতীয় সমস্যাটি পোর্ট নম্বরে অ-সাংখ্যিক মানগুলির সঠিক পরিচ্ছন্নতার অভাবের সাথে যুক্ত, যা পোর্ট নম্বরটিকে একটি স্ট্রিং দিয়ে প্রতিস্থাপন করে OAuth প্রমাণীকরণ পরামিতিগুলির ফাঁসকে অনুমতি দেয়।[ইমেল সুরক্ষিত]", যার কারণে ট্যাগ ইনস্টল করা হবে[ইমেল সুরক্ষিত]/?code=..." alt=""> 127.0.0.1 এর পরিবর্তে example.com অ্যাক্সেস করা হচ্ছে।

তৃতীয় সমস্যা, বিপজ্জনক হিসাবে পতাকাঙ্কিত, প্রমাণীকরণ ছাড়াই যে কোনও স্থানীয় অ্যাপ্লিকেশনকে স্থানীয় হোস্টে আবদ্ধ ওয়েবসকেটের মাধ্যমে ভিপিএন ক্লায়েন্ট অ্যাক্সেস করার অনুমতি দেয়। একটি উদাহরণ হিসাবে, এটি দেখানো হয়েছে যে কীভাবে, একটি সক্রিয় VPN ক্লায়েন্টের সাথে, যেকোনো সাইট স্ক্রিন_ক্যাপচার ইভেন্ট তৈরি করে একটি স্ক্রিনশট তৈরি এবং পাঠানোর ব্যবস্থা করতে পারে। সমস্যাটিকে একটি দুর্বলতা হিসাবে শ্রেণীবদ্ধ করা হয়নি, যেহেতু WebSocket শুধুমাত্র অভ্যন্তরীণ পরীক্ষা বিল্ডে ব্যবহার করা হয়েছিল এবং এই যোগাযোগ চ্যানেলের ব্যবহার শুধুমাত্র একটি ব্রাউজার অ্যাড-অনের সাথে মিথস্ক্রিয়া সংগঠিত করার জন্য ভবিষ্যতের পরিকল্পনা করা হয়েছিল।

উত্স: opennet.ru

Mozilla VPN ক্লায়েন্ট অডিট ফলাফল প্রকাশিত হয়েছে

একটি মন্তব্য জুড়ুন উত্তর বাতিল