Das Unternehmen Proton Technologies, das einen sicheren E-Mail-Dienst und VPN anbietet, kündigte die Veröffentlichung von Client-Anwendungen für ProtonVPN an , , und (Konsolen- wurde ursprünglich veröffentlicht). Der Code ist unter der GPLv3-Lizenz verfügbar. Gleichzeitig wurden Berichte über die Durchführung einer unabhängigen Prüfung der genannten Anwendungen veröffentlicht. Es wurden keine Probleme gefunden, die zu einer Entschlüsselung des VPN-Traffics oder zur Erhöhung von Berechtigungen führen könnten.
Der Code wurde im Rahmen einer Initiative zur Gewährleistung der Transparenz des Projekts offengelegt, damit unabhängige Experten die Konformität des Codes mit den angegebenen Spezifikationen überprüfen und die Richtigkeit der Sicherheitsprüfung überwachen können. Im Rahmen der Zusammenarbeit mit Mozilla, die kostenpflichtigen VPN-Dienst entwickelt, erhielten die Ingenieure von Mozilla auch Zugang zu anderen Technologien von ProtonVPN für die Prüfung. Es wird darauf hingewiesen, dass der nächste Schritt die Offenlegung der restlichen Anwendungen von ProtonVPN sein wird.
Aus den früheren Vorfällen mit ProtonVPN sind folgende Punkte zu erwähnen in der Windows-Anwendung, die es dem Benutzer ermöglichte, seine Privilegien im System auf Administrator zu erhöhen (die Schwachstelle wurde durch fehlerhafte Interaktionen zwischen dem nicht privilegierten GUI-Client und dem Systemdienst verursacht).
Der vor ein paar Tagen abgeschlossene Code-Audit der Windows-Anwendung hat (zwei mittlerer Gefährdung und zwei geringfügige): Speicherung von Sitzungs-Token und Anmeldedaten im Prozessspeicher, vordefinierte Schlüssel des VPN-Servers in der Konfigurationsdatei (nicht zur Authentifizierung verwendet), Aktivierung von Debug-Informationen und Akzeptanz von Verbindungen über alle Netzwerkschnittstellen.
In der Version für wurden keine Schwachstellen gefunden. In der iOS-Version wurden zwei geringfügige (keine Bindung des SSL-Zertifikats und keine Blockierung der Funktion auf Geräten nach dem Jailbreak) gefunden. In der Android-Version Vier geringfügige Probleme (Aktivierung von Debugging-Nachrichten, fehlende Sicherungssperren durch das ADB-Tool, Verschlüsselung von Einstellungen mit einem vordefinierten Schlüssel, fehlende Bindung des SSL-Zertifikats) sowie eine mittlere Sicherheitsanfälligkeit (unvollständige Beendigung der Sitzung, die eine Wiederverwendung von Sitzungstoken zulässt).
Zur Erinnerung: Das Unternehmen Proton Technologies wurde von mehreren Forschern der CERN (Europäische Organisation für Kernforschung) gegründet und ist in der Schweiz registriert, die strenge Datenschutzgesetze hat, die es den Geheimdiensten nicht erlauben, Informationen zu überwachen. Das Projekt ProtonVPN bietet ein hohes Maß an Sicherheit für die Kommunikationskanäle (der Datenstrom wird mit AES-256 verschlüsselt, der Schlüsselaustausch erfolgt mit 2048-Bit-RSA-Schlüsseln und HMAC, zur Authentifizierung wird SHA-256 verwendet, es gibt Schutz vor attacken basierend auf Datenstromkorrelationen), verzichtet auf die Protokollierung und ist nicht auf Gewinn ausgerichtet, sondern zielt darauf ab, die Sicherheit und Privatsphäre im Web zu erhöhen (das Projekt wird durch den FONGIT-Fonds finanziert, der von der Europäischen Kommission unterstützt wird).
Quelle: opennet.ru
