मोज़िला वीपीएन क्लाइंट ऑडिट परिणाम प्रकाशित

मोज़िला ने मोज़िला वीपीएन सेवा से जुड़ने के लिए क्लाइंट सॉफ़्टवेयर का एक स्वतंत्र ऑडिट पूरा करने की घोषणा की है। ऑडिट में क्यूटी लाइब्रेरी का उपयोग करके लिखे गए और लिनक्स, मैकओएस, विंडोज, एंड्रॉइड और आईओएस के लिए उपलब्ध स्टैंड-अलोन क्लाइंट एप्लिकेशन का विश्लेषण शामिल था। मोज़िला वीपीएन स्वीडिश वीपीएन प्रदाता मुल्वाड के 400 से अधिक सर्वरों द्वारा संचालित है, जो 30 से अधिक देशों में स्थित हैं। वीपीएन सेवा से कनेक्शन वायरगार्ड प्रोटोकॉल का उपयोग करके किया जाता है।

ऑडिट Cure53 द्वारा किया गया था, जिसने एक समय में NTPsec, सिक्योरड्रॉप, क्रिप्टोकैट, F-Droid और Dovecot परियोजनाओं का ऑडिट किया था। ऑडिट में स्रोत कोड के सत्यापन को शामिल किया गया और संभावित कमजोरियों की पहचान करने के लिए परीक्षण शामिल किए गए (क्रिप्टोग्राफी से संबंधित मुद्दों पर विचार नहीं किया गया)। ऑडिट के दौरान, 16 सुरक्षा मुद्दों की पहचान की गई, जिनमें से 8 सिफारिशें थीं, 5 को निम्न स्तर का खतरा, दो को मध्यम स्तर का और एक को उच्च स्तर का खतरा सौंपा गया था।

हालाँकि, मध्यम गंभीरता स्तर वाले केवल एक मुद्दे को भेद्यता के रूप में वर्गीकृत किया गया था, क्योंकि यह एकमात्र ऐसा मुद्दा था जो शोषण योग्य था। इस समस्या के परिणामस्वरूप वीपीएन सुरंग के बाहर भेजे गए अनएन्क्रिप्टेड प्रत्यक्ष HTTP अनुरोधों के कारण कैप्टिव पोर्टल डिटेक्शन कोड में वीपीएन उपयोग की जानकारी का रिसाव हुआ, जिससे उपयोगकर्ता के प्राथमिक आईपी पते का पता चलता है, यदि हमलावर पारगमन यातायात को नियंत्रित कर सकता है। सेटिंग्स में कैप्टिव पोर्टल डिटेक्शन मोड को अक्षम करके समस्या का समाधान किया जाता है।

मध्यम गंभीरता की दूसरी समस्या पोर्ट नंबर में गैर-संख्यात्मक मानों की उचित सफाई की कमी से जुड़ी है, जो पोर्ट नंबर को "जैसे स्ट्रिंग के साथ बदलकर OAuth प्रमाणीकरण मापदंडों के रिसाव की अनुमति देता है"[ईमेल संरक्षित]", जिसके कारण टैग स्थापित हो जाएगा[ईमेल संरक्षित]/?code=..." alt=""> 127.0.0.1 के बजाय example.com तक पहुंचना।

तीसरा मुद्दा, जिसे खतरनाक के रूप में चिह्नित किया गया है, प्रमाणीकरण के बिना किसी भी स्थानीय एप्लिकेशन को लोकलहोस्ट से जुड़े वेबसॉकेट के माध्यम से वीपीएन क्लाइंट तक पहुंचने की अनुमति देता है। उदाहरण के तौर पर, यह दिखाया गया है कि कैसे, एक सक्रिय वीपीएन क्लाइंट के साथ, कोई भी साइट स्क्रीन_कैप्चर इवेंट उत्पन्न करके स्क्रीनशॉट के निर्माण और भेजने को व्यवस्थित कर सकती है। समस्या को भेद्यता के रूप में वर्गीकृत नहीं किया गया है, क्योंकि वेबसॉकेट का उपयोग केवल आंतरिक परीक्षण बिल्ड में किया गया था और इस संचार चैनल का उपयोग भविष्य में ब्राउज़र ऐड-ऑन के साथ इंटरैक्शन व्यवस्थित करने के लिए ही किया गया था।

स्रोत: opennet.ru