Společnost Proton Technologies, která vyvíjí zabezpečenou e-mailovou službu a VPN, oznamuje otevření klientských aplikací ProtonVPN pro , , a (konzolový byl původně otevřen). Kód je dostupný pod licencí GPLv3. Současně byly zveřejněny zprávy o provedeném nezávislém auditu uvedených aplikací. Při auditu nebyly nalezeny žádné problémy, které by mohly vést k dešifrování VPN provozu nebo zvýšení oprávnění.
Kód byl otevřen v rámci iniciativy na zajištění transparentnosti projektu, aby nezávislí odborníci mohli ověřit shodu kódu s deklarovanými specifikacemi a dohlédnout na správnost provedení bezpečnostního auditu. V rámci spolupráce s Mozillou, která je placený VPN servis, měli inženýři Mozilly také přístup k dalším technologiím ProtonVPN pro účely auditu. Je uvedeno, že dalším krokem bude převod zbývajících aplikací ProtonVPN do veřejné sféry.
Mezi dříve se vyskytujícími incidenty s ProtonVPN lze zmínit v aplikaci pro Windows, která umožnila uživateli zvýšit svá oprávnění v systému na úroveň správce (zranitelnost byla způsobena nesprávnou interakcí mezi nepriviligovaným GUI klientem a systémovou službou).
Nedávno dokončený audit kódu aplikace pro Windows odhalil přítomnost (dvě střední a dvě drobné): ukládání v sesionních tokenech a uživatelských údajích v procesní paměti, předem definované klíče VPN serveru v konfiguračním souboru (používají se k autentizaci), povolení ladících informací a příjem připojení na všech síťových rozhraních.
V verzi pro nebyly zranitelnosti nalezeny. V verzi pro iOS byly nalezeny dvě drobné (není použita vazba SSL certifikátu a nesmí být blokována činnost na zařízeních po jailbreaku). V verzi pro Android jsou čtyři drobné problémy (povolení ladicích zpráv, absence blokování zálohy pomocí nástroje ADB, šifrování nastavení předdefinovaným klíčem, absence vazby SSL certifikátu) a jedna zranitelnost střední úrovně (neúplné ukončení relace, které umožňuje opětovné použití sesionních tokenů).
Připomínáme, že společnost Proton Technologies byla založena několika badateli z CERN (Evropská organizace pro jaderný výzkum) a je registrována ve Švýcarsku, které má přísnou legislativu na ochranu soukromí, která neumožňuje bezpečnostním složkám kontrolovat informace. Projekt ProtonVPN zajišťuje vysokou úroveň ochrany komunikačního kanálu (tok je šifrován pomocí AES-256, výměna klíčů probíhá na základě 2048bitových RSA klíčů a HMAC, pro autentizaci se používá SHA-256, je zajištěna ochrana proti útokům založeným na korelaci datových toků), zcela odmítá uchovávání logů a není orientován na zisk, ale na zvyšování bezpečnosti a soukromí na webu (projekt je financován fondem FONGIT, který podporuje Evropská komise).
Zdroj: opennet.ru
