A Proton Technologies, amely biztonságos levelező szolgáltatást és VPN-t fejleszt, bejelentette a ProtonVPN kliensprogramjának , , és (parancssori a forráskód megnyitását). A kód a GPLv3 licenc alatt nyitott. Ezzel egyidejűleg független audit jelentések is megjelentek az említett alkalmazásokról. Az audit során nem találtak olyan problémákat, amelyek a VPN-forgalom dekódolásához vagy jogosultságok emeléséhez vezethettek volna.
A kód megnyitása a projekt átláthatóságának biztosítása érdekében történt, hogy független szakértők ellenőrizhessék a kód megfelelőségét a megadott specifikációknak és ellenőrizhessék a biztonsági audit helyességét. A Mozillával való együttműködés keretében, amely a fizetős VPN szolgáltatást, a Mozilla mérnökei számára szintén biztosították az egyéb ProtonVPN technológiákhoz való hozzáférést az audit idejére. Jelzik, hogy a következő lépés a ProtonVPN többi alkalmazásának nyílt forráskódúvá tétele lesz.
A ProtonVPN-nel korábban történt események közül említhető a Windows alkalmazás, amely lehetővé tette a felhasználó számára, hogy rendszergazdai jogosultságot szerezzen a rendszerben (a sebezhetőség a nem jogosult GUI kliens és a rendszer szerviz közötti helytelen interakciónak volt köszönhető).
A nemrégiben befejezett Windows alkalmazás kód auditja (kettő közepes, kettő pedig kisebb súlyú): a munkafolyamatban lévő szession tokének és hitelesítési adatok tárolása, a VPN szerver kulcsai előre meghatározva a konfigurációs fájlban (amelyek nem használatosak az azonosításhoz), a hibakeresési információk bekapcsolása és a kapcsolatok fogadása minden hálózati interfészen.
Az iOS verzióban nem találtak sebezhetőségeket. Az iOS verzióban két kisebb sebezhetőséget találtak (nem használja az SSL tanúsítvány kötést, és nem blokkolja az eszközök működését jailbreak után). Az Android verzióban négy kisebb probléma található (hibakeresési üzenetek bekapcsolása, az ADB eszközzel történő biztonsági mentés blokkolásának hiánya, a beállítások titkosítása előre meghatározott kulccsal, az SSL tanúsítvány kötés hiánya) és egy közepes súlyosságú sebezhetőség (a munkamenet nem teljes lezárása, ami lehetővé teszi a szession tokenek újrahasználatát).
Emlékeztetjük, hogy a Proton Technologies cég több CERN (Európai Nukleáris Kutatási Szervezet) kutató alapította, és Svájcban van bejegyezve, amely szigorú adatvédelmi törvényeiről ismert, amelyek megakadályozzák a titkosszolgálatok információk ellenőrzését. A ProtonVPN projekt magas szintű védelmet biztosít a kommunikációs csatorna számára (az adatfolyam AES-256 titkosítással van védve, a kulcsok cseréje 2048 bites RSA kulcsok és HMAC alapja, az azonosításhoz SHA-256-ot használnak, valamint védelmet nyújt az adatfolyamok korrelációs támadásaival szemben), nem vezet naplófájlokat, és nem a nyereségre fókuszál, hanem a webes biztonság és adatvédelem javítására (a projektet a FONGIT alap támogatta, amelyet az Európai Bizottság támogat).
Forrás: opennet.ru
