L'azienda Proton Technologies, che sviluppa un servizio di posta elettronica sicuro e un VPN, ha annunciato i programmi client di ProtonVPN per , , e (client in console è stato aperto inizialmente). Il codice è aperto sotto licenza GPLv3. Sono stati pubblicati anche rapporti sull'audit indipendente delle applicazioni menzionate. Durante l'audit non sono stati trovati problemi che potrebbero portare alla decodifica del traffico VPN o a un aumento dei privilegi.
Il codice è stato aperto nell’ambito di un'iniziativa per garantire la trasparenza del progetto, affinché esperti indipendenti possano verificare la conformità del codice alle specifiche dichiarate e controllare la correttezza dell'audit di sicurezza. Nell'ambito della collaborazione con Mozilla, che è un servizio VPN a pagamento, gli ingegneri di Mozilla hanno avuto accesso anche ad altre tecnologie di ProtonVPN per l'audit. Si segnala che il prossimo passo sarà rendere aperte anche le altre applicazioni di ProtonVPN.
Tra i precedenti incidenti con ProtonVPN, si può sottolineare un'applicazione per Windows, che consentiva all'utente di elevare i propri privilegi di sistema fino ad amministratore (la vulnerabilità era causata da un'interazione non corretta tra il client GUI non privilegiato e il servizio di sistema).
L'audit di codice dell'applicazione per Windows, recentemente concluso, ha identificato la presenza di (due di gravità media e due minori): memorizzazione in token di sessione e credenziali in memoria del processo, chiavi del server VPN predefinite nel file di configurazione (non utilizzate per l'autenticazione), inclusione di informazioni di debug e accettazione delle connessioni su tutte le interfacce di rete.
Nella versione per non sono state rilevate vulnerabilità. Nella versione per iOS sono state trovate due vulnerabilità minori (non viene utilizzato il binding del certificato SSL e si consente l'operatività su dispositivi dopo jailbreak). Nella versione per Android sono state riscontrate quattro problematiche minori (inclusione di messaggi di debug, assenza di blocco del backup tramite l'utilizzo dell'utilità ADB, crittografia delle impostazioni con una chiave predefinita, assenza di binding del certificato SSL) e una vulnerabilità di gravità media (termine di sessione incompleto, che consente il riutilizzo dei token di sessione).
Ricordiamo che l'azienda Proton Technologies è stata fondata da alcuni ricercatori del CERN (Organizzazione europea per la ricerca nucleare) ed è registrata in Svizzera, che ha leggi rigorose sulla privacy che impediscono ai servizi segreti di controllare le informazioni. Il progetto ProtonVPN offre un elevato livello di protezione della connessione (il flusso è crittografato utilizzando AES-256, lo scambio di chiavi avviene tramite chiavi RSA a 2048 bit e HMAC, per l'autenticazione viene utilizzato SHA-256, è presente una protezione contro attacchi basati sulla correlazione dei dati), non mantiene registri e ha come obiettivo non il profitto, ma l'aumento della sicurezza e della privacy sul Web (il progetto è finanziato dal fondo FONGIT, sostenuto dalla Commissione europea).
Fonte: opennet.ru
