Das Unternehmen Proton Technologies, das einen sicheren E-Mail-Service und ein VPN entwickelt, ankündigt die Öffnung der Client-Programme ProtonVPN für , , und (Konsolen- wurde ursprünglich geöffnet). Der Code ist unter der GPLv3-Lizenz veröffentlicht. Gleichzeitig wurden Berichte über die Durchführung einer unabhängigen Prüfung der genannten Anwendungen veröffentlicht. Während der Prüfung wurden keine Probleme gefunden, die zu einer Entschlüsselung des VPN-Traffics oder zu einer Erhöhung der Berechtigungen führen könnten.
Der Code wurde im Rahmen einer Initiative zur Gewährleistung der Transparenz des Projekts geöffnet, damit unabhängige Experten die Übereinstimmung des Codes mit den angegebenen Spezifikationen überprüfen und die Korrektheit der Sicherheitsprüfung kontrollieren können. Im Rahmen der Zusammenarbeit mit Mozilla, die einen kostenpflichtigen VPN-Service anbietet, hatten die Ingenieure von Mozilla auch Zugang zu anderen Technologien von ProtonVPN. Es wird angemerkt, dass der nächste Schritt darin bestehen wird, auch die übrigen Anwendungen von ProtonVPN zu öffnen.
Von zuvor aufgetretenen Vorfällen mit ProtonVPN kann erwähnt werden, eine Schwachstelle in der Windows-Anwendung, die es dem Benutzer ermöglichte, seine Berechtigungen im System auf Administrator zu erhöhen (die Verwundbarkeit wurde durch eine fehlerhafte Interaktion zwischen dem nicht privilegierten GUI-Client und dem Systemdienst verursacht).
Die vor wenigen Tagen abgeschlossene Prüfung des Codes der Anwendung für Windows hat (zwei von mittlerem Risiko und zwei geringfügige) festgestellt: das Speichern von Sitzungstoken und Anmeldeinformationen im Arbeitsspeicher des Prozesses, vordefinierte Schlüssel des VPN-Servers in der Konfigurationsdatei (werden nicht für die Authentifizierung verwendet), die Aktivierung von Debug-Informationen und das Akzeptieren von Verbindungen über alle Netzwerkschnittstellen.
In der Version für wurden keine Schwachstellen festgestellt. In der iOS-Version wurden zwei geringfügige Schwachstellen gefunden (keine Bindung des SSL-Zertifikats und kein Blockieren des Betriebs auf Geräten nach dem Jailbreak). In der Android-Version wurden vier geringfügige Probleme festgestellt (Aktivierung von Debug-Nachrichten, keine Blockierung von Backups über das Tool ADB, Verschlüsselung der Einstellungen mit einem vordefinierten Schlüssel, keine Bindung des SSL-Zertifikats) und eine Schwachstelle von mittlerem Risiko (unvollständige Sitzungsschlussfolgerung, die eine Wiederverwendung von Sitzungstoken ermöglicht).
Wir erinnern daran, dass das Unternehmen Proton Technologies von mehreren Forschern des CERN (Europäische Organisation für Kernforschung) gegründet wurde und in der Schweiz registriert ist, die strenge Gesetze zum Datenschutz hat, die es Geheimdiensten nicht erlauben, Informationen zu kontrollieren. Das Projekt ProtonVPN bietet ein hohes Maß an Schutz des Kommunikationskanals (der Datenstrom wird mit AES-256 verschlüsselt, der Schlüsselaustausch erfolgt auf Basis von 2048-Bit-RSA-Schlüsseln und HMAC, zur Authentifizierung wird SHA-256 verwendet, und es gibt einen Schutz gegen Angriffe, die auf der Korrelation von Datenströmen basieren), verzichtet auf die Protokollierung und ist nicht auf Gewinn ausgerichtet, sondern auf die Erhöhung von Sicherheit und Datenschutz im Web (das Projekt wird von dem von der Europäischen Kommission unterstützten FONGIT-Fonds finanziert).
Quelle: opennet.ru
