Proton Technologies, der udvikler en sikker e-mailservice og VPN, har annonceret klientprogrammerne ProtonVPN for , , og (konsol blev oprindeligt åbnet). Koden er tilgængelig under GPLv3-licensen. Samtidig er der offentliggjort rapporter om gennemførslen af en uafhængig revision af de nævnte applikationer. Under revisionen blev der ikke fundet problemer, der kunne føre til dekryptering af VPN-trafik eller hæve privilegier.
Koden er offentliggjort som en del af initiativet for at sikre projektets gennemsigtighed, så uafhængige eksperter kan verificere, at koden overholder de angivne specifikationer og kontrollere korrektheden af sikkerhedsrevisionen. Som en del af samarbejdet med Mozilla, som en betalt VPN-service, havde Mozillas ingeniører også adgang til andre teknologier fra ProtonVPN for revisionen. Det nævnes, at næste skridt vil være at åbne de øvrige applikationer i ProtonVPN.
Af tidligere hændelser med ProtonVPN kan nævnes i Windows-applikationen, der gjorde det muligt for brugeren at hæve sine privilegier i systemet til administrator (sårbarheden blev forårsaget af uhensigtsmæssig interaktion mellem den ikke-privilegerede GUI-klient og systemtjenesten).
Den kodeaudit, der afsluttedes for et par dage siden, afslørede (to af moderat alvor og to ubetydelige): opbevaring af sessionstokens og legitimationsoplysninger i proces hukommelsen, foruddefinerede VPN-servernøgler angivet i konfigurationsfilen (ikke brugt til autentificering), aktivering af debug-information og accept af forbindelser på alle netværksinterfacer.
I versionen til blev der ikke fundet sårbarheder. I versionen til iOS blev der fundet to ubetydelige (SSL-certifikatbinding er ikke anvendt, og der blokeres ikke for drift på enheder efter jailbreak). I versionen til Android blev der fundet fire ubetydelige problemer (aktivering af debug-meddelelser, manglende blokering af backup ved hjælp af ADB-værktøjet, kryptering af indstillinger med en foruddefineret nøgle, manglende SSL-certifikatbinding) og én sårbarhed af moderat alvor (ufuldstændig afslutning af sessionen, hvilket muliggør genbrug af sessionstokens).
Vi minder om, at Proton Technologies er grundlagt af flere forskere fra CERN (Den Europæiske Organisation for Nuklear Forskning) og registreret i Schweiz, som har strenge lovgivninger vedrørende beskyttelse af privatliv, der forhindrer efterretningsmyndigheder i at kontrollere oplysninger. ProtonVPN-projektet tilbyder et højt niveau af beskyttelse af kommunikationskanalen (data strømmes krypteret ved hjælp af AES-256, nøgleudveksling foretages på baggrund af 2048-bit RSA-nøgler og HMAC, autentificering bruger SHA-256, og der er beskyttelse mod angreb baseret på korrelation af datastreams), afviser logføring og fokuserer ikke på profit, men på at forbedre sikkerhed og privatliv på nettet (projektet finansieres af FONGIT-fonden, støttet af Europa-Kommissionen).
Kilde: opennet.ru
