Update von OpenVPN 2.5.3. Deaktivierung von Opera VPN und VyprVPN in der RF

Die korrigierte Version von OpenVPN 2.5.3, einem Paket zur Erstellung virtueller privater Netzwerke, ermöglicht eine verschlüsselte Verbindung zwischen zwei Client-Maschinen oder die Einrichtung eines zentralisierten VPN-Servers, der mehrere Clients gleichzeitig bedienen kann. Der OpenVPN-Code wird unter der GPLv2-Lizenz verbreitet, fertige Binärpakete werden für Debian, Ubuntu, CentOS, RHEL und Windows bereitgestellt.

In der neuen Version wurde eine Schwachstelle (CVE-2021-3606) behoben, die nur in der Version für die Windows-Plattform auftritt. Die Schwachstelle ermöglicht das Laden von OpenSSL-Konfigurationsdateien aus schreibbaren externen Verzeichnissen zur Änderung der Verschlüsselungseinstellungen. In der neuen Version ist das Laden von OpenSSL-Konfigurationsdateien vollständig deaktiviert.

In Bezug auf nicht sicherheitsrelevante Änderungen wird die Hinzufügung der Option «—auth-token-user» (entspricht «—auth-token», jedoch ohne Anwendung von «—auth-user-pass»), die Verbesserung des Build-Prozesses für Windows, die Verbesserung der Unterstützung der mbedtls-Bibliothek sowie das Update der Urheberrechtsinformationen im Code (kosmetische Änderungen) festgestellt.

Zusätzlich kann hervorgehoben werden, dass das Unternehmen Opera seinen VPN auf Anweisung der Roskomnadzor für russische Nutzer deaktiviert hat. Momentan funktioniert die VPN-Funktionalität in der Beta- und Entwickler-Version des Browsers nicht mehr. Roskomnadzor behauptet, dass die Einschränkungen notwendig sind, um "auf Bedrohungen zu reagieren, die den Zugang zu Kinderpornografie, suizidalem, drogenbezogenem und anderem verbotenen Inhalt umgehen könnten". Neben dem Opera VPN ist auch der Dienst VyprVPN betroffen.

Zuvor hatte Roskomnadzor eine Warnung an 10 VPN-Dienste mit der Aufforderung zur "Anbindung an das staatliche Informationssystem (FGIS)" zur Blockierung des Zugangs zu in Russland verbotenen Ressourcen verschickt, darunter auch Opera VPN und VyprVPN. 9 von 10 Diensten ignorierten die Aufforderung oder weigerten sich, mit Roskomnadzor zusammenzuarbeiten (NordVPN, Hide My Ass!, Hola VPN, OpenVPN, VyprVPN, ExpressVPN, TorGuard, IPVanish, VPN Unlimited). Nur das Produkt Kaspersky Secure Connection erfüllte die Anforderungen.

Quelle: opennet.ru