תוצאות ביקורת לקוח Mozilla VPN פורסמו

מוזילה הודיעה על השלמת ביקורת עצמאית של תוכנת לקוח לחיבור לשירות ה-VPN של Mozilla. הביקורת כללה ניתוח של יישום לקוח עצמאי שנכתב באמצעות ספריית Qt וזמין עבור לינוקס, macOS, Windows, Android ו-iOS. Mozilla VPN מופעל על ידי יותר מ-400 שרתים של ספקית ה-VPN השוודית Mullvad, הממוקמים ביותר מ-30 מדינות. החיבור לשירות ה-VPN מתבצע באמצעות פרוטוקול WireGuard.

הביקורת בוצעה על ידי Cure53, שבזמנו ביקרה את הפרויקטים NTPsec, SecureDrop, Cryptocat, F-Droid ו-Dovecot. הביקורת כיסתה את אימות קודי המקור וכללה בדיקות לזיהוי נקודות תורפה אפשריות (בעיות הקשורות להצפנה לא נשקלו). במהלך הביקורת אותרו 16 בעיות בטיחות, מהן 8 המלצות, ל-5 נקבעה רמת מסוכנות נמוכה, לשניים נקבעה רמה בינונית ולאחד נקבעה רמת סכנה גבוהה.

עם זאת, רק בעיה אחת ברמת חומרה בינונית סווגה כחולשה, מכיוון שהיא היחידה שניתן לנצל. בעיה זו גרמה לדליפה של מידע שימוש ב-VPN בקוד הזיהוי של הפורטל השבוי עקב בקשות HTTP ישירות לא מוצפנות שנשלחו מחוץ למנהרת ה-VPN, וחושפת את כתובת ה-IP הראשית של המשתמש אם התוקף יכול לשלוט בתעבורת המעבר. הבעיה נפתרת על ידי השבתת מצב זיהוי הפורטל השבוי בהגדרות.

הבעיה השנייה של חומרה בינונית קשורה לחוסר ניקוי נכון של ערכים לא מספריים במספר היציאה, מה שמאפשר דליפה של פרמטרי אימות OAuth על ידי החלפת מספר היציאה במחרוזת כמו "[מוגן בדוא"ל]", מה שיגרום להתקנת התג[מוגן בדוא"ל]/?code=..." alt=""> גישה אל example.com במקום 127.0.0.1.

הבעיה השלישית, שסומנה כמסוכנת, מאפשרת לכל אפליקציה מקומית ללא אימות לגשת ללקוח VPN דרך WebSocket המחובר ל-localhost. כדוגמה, מוצג כיצד, עם לקוח VPN פעיל, כל אתר יכול לארגן יצירה ושליחה של צילום מסך על ידי יצירת אירוע screen_capture. הבעיה אינה מסווגת כחולשה, מכיוון ש-WebSocket שימש רק בבניית בדיקות פנימיות והשימוש בערוץ תקשורת זה תוכנן רק בעתיד כדי לארגן אינטראקציה עם תוסף דפדפן.

מקור: OpenNet.ru