Update OpenVPN 2.5.3. Deaktivierung von Opera VPN und VyprVPN in der RF.

Es wurde ein korrigiertes Release von OpenVPN 2.5.3 vorbereitet, einem Paket zur Erstellung von virtuellen privaten Netzwerken, das eine verschlüsselte Verbindung zwischen zwei Client-Rechnern ermöglicht oder den Betrieb eines zentralisierten VPN-Servers für die gleichzeitige Nutzung mehrerer Clients gewährleistet. Der Code von OpenVPN wird unter der GPLv2-Lizenz veröffentlicht, fertige Binärpakete werden für Debian, Ubuntu, CentOS, RHEL und Windows bereitgestellt.

In der neuen Version wurde eine Sicherheitsanfälligkeit (CVE-2021-3606) behoben, die nur in der Windows-Version auftritt. Diese Schwachstelle ermöglicht das Laden von OpenSSL-Konfigurationsdateien aus externen beschreibbaren Verzeichnissen, um die Verschlüsselungseinstellungen zu verändern. In der neuen Version ist das Laden von OpenSSL-Konfigurationsdateien vollständig deaktiviert.

Zu den nicht sicherheitsrelevanten Änderungen gehört die Einführung der Option „—auth-token-user“ (eine Entsprechung zu „—auth-token“, jedoch ohne die Anwendung von „—auth-user-pass“), eine Verbesserung des Build-Prozesses für Windows, eine verbesserte Unterstützung der mbedtls-Bibliothek und eine Aktualisierung der Urheberrechtshinweise im Code (kosmetische Änderungen).

Zusätzlich ist zu vermerken, dass das Unternehmen Opera seine VPN für russische Benutzer auf Anforderung des Roskomnadsor. Derzeit hat die Funktionalität des VPN in den Beta- und Entwickler-Versionen des Browsers aufgehört zu funktionieren. Roskomnadsor behauptet, dass die Beschränkungen notwendig sind, um "auf Bedrohungen des Umgehens von Beschränkungen des Zugangs zu Kinderpornografie, suizidalem, drogenbezogenem und anderem verbotenen Inhalt" zu reagieren. Neben Opera VPN wird auch der Dienst VyprVPN blockiert.

Zuvor hatte Roskomnadsor eine Warnung an 10 VPN-Dienste verschickt mit der Aufforderung zur "Anbindung an das staatliche Informationssystem (FGIS)" zur Sperrung des Zugangs zu in der RF verbotenen Ressourcen; Opera VPN und VyprVPN waren darunter. 9 von 10 Diensten ignorierten die Aufforderung oder lehnten die Zusammenarbeit mit Roskomnadsor ab (NordVPN, Hide My Ass!, Hola VPN, OpenVPN, VyprVPN, ExpressVPN, TorGuard, IPVanish, VPN Unlimited). Nur das Produkt Kaspersky Secure Connection erfüllte die Anforderungen.

Quelle: opennet.ru