Avas ProtonVPNi kliendi rakenduste kood.

Proton Technologies, mis arendab turvalist e-posti teenust ja VPN-i, teatas kuulutas välja allika koodeksid ProtonVPN kliendiprogrammi jaoks Windows, macOS, Android ja iOS (konsol Linux klient avatakse algselt). Kood on avatud GPLv3 litsentsi alusel. Samuti on avaldatud aruanded iseseisva auditi kohta nimetatud rakendustes. Auditi käigus ei leitud probleeme, mis võiksid viia VPN-i liikluse dekrüpteerimise või privileegide suurendamiseni.

Kood avati projekti läbipaistvuse tagamise algatuse raames, et iseseisvad eksperdid saaksid veenduda koodi vastavuses esitatud spetsifikatsioonidele ja kontrollida turvaauditi korrektsust. Koostöös Mozilla'ga, mille standardi C raamatukogu tasuline VPN-teenus, sai Mozilla inseneridele juurdepääs ka teistele tehnoloogiatele ProtonVPNis. Juhin tähelepanu, et järgmine samm on teiste ProtonVPN rakenduste avamine.

Eelnevatest juhtumitest ProtonVPN-is võib mainida tuvastamine haavatavuse Windowsi rakenduses avanenud võimalust, mis lubas kasutajal tõsta oma privileege süsteemis administraatoriks (haavatavus tekkis mitteprivileegitud GUI-klientide ja süsteemiteenuse vale koostöö tõttu).

Mõni päev tagasi lõppenud Windowsi rakenduse koodi audit tuvastas 4 haavatavust (kaks mõõduka ja kaks väikest ohtu): seanssikoodide ja kasutajateandmete hoidmine protsessi mälus, konfiguratsioonifailis eelnevalt määratud VPN-serveri võtmed (mida ei kasutata autentimiseks), silumise infoteabe lubamine ja ühenduste vastuvõtmine kõigil võrgu liidestel.

Versioonis macOS ei leitud haavatavusi. iOS-i versioonis leiti kaks väikest haavatavuse (SSL-sertifikaadi sidumist ei kasutata ja töö ebaõnnestub seadmetes peale jailbreak'i). Androidi versioonis leidnud tugevaid probleeme (silumise sõnumite lubamine, ADB tööriista abil tagasiteenuse blokeerimise puudumine, seadete krüpteerimine eelnevalt määratud võtmega, SSL-sertifikaadi sidumise puudumine) ja üks mõõduka ohu haavatavus (incomplete session closure, allowing session tokens to be reused).

Tuletana, et ettevõte Proton Technologies on asutatud mitmete teadlaste poolt CERN-is (Euroopa Tuumauuringute Organisatsioon) ja registreeritud Šveitsis, kus kehtivad ranged isikuandmete kaitse seadused, mis takistavad julgestusteenistustel teabe jälgimist. Projekt ProtonVPN tagab kõrge taseme sidekanali kaitsmisel (voog on krüpteeritud AES-256 abil, võtmevahetus toimub 2048-bitiste RSA-võtmete ja HMAC-i alusel, autentimiseks kasutatakse SHA-256, on olemas kaitse korrelatsiooni rünnakute vastu), loobub logide pidamisest ning keskendub mitte kasumi teenimisele, vaid veebis turvalisuse ja privaatsuse tõstmisele (projekti rahastab FONGIT fond, mille toetab Euroopa Komisjon).

Allikas: opennet.ru