Кодот за апликација на клиентот ProtonVPN е отворен

Proton Technologies, која развива безбедна услуга за е-пошта и VPN, објави за отворањето изворен код Клиентски програми за ProtonVPN за Windows, MacOS, Андроид и iOS (конзолна Линукс клиент отворен првично). Кодот е отворен под лиценцата GPLv3. Во исто време беа објавени извештаи за независна ревизија на овие апликации. При ревизијата не беа пронајдени никакви проблеми што би можеле да доведат до дешифрирање на сообраќајот на VPN или до зголемување на привилегиите.

Кодот е со отворен код како дел од иницијативата за транспарентност на проектот, така што независните експерти можат да потврдат дали кодот ги исполнува наведените спецификации и да потврдат дека безбедносните ревизии се спроведуваат правилно. Како дел од соработката со Mozilla, која развива платена VPN услуга, инженерите на Mozilla имаа пристап и до други технологии на ProtonVPN за ревизорски цели. Забележано е дека следниот чекор ќе биде префрлање на другите апликации на ProtonVPN во отворената категорија.

Претходните инциденти со ProtonVPN вклучуваат: идентификација ранливости во апликација за Windows која му дозволуваше на корисникот да ги подигне своите системски привилегии на администратор (ранливоста беше предизвикана од неправилна интеракција помеѓу непривилегиран GUI клиент и системска услуга).

Ревизијата на кодот на апликацијата за Windows која беше завршена пред неколку дена откри присуство на 4 ранливости (два средни и два помали): складирање на токени за сесии и ингеренции во процесната меморија, клучеви на серверот VPN предефинирани во конфигурациската датотека (не се користат за автентикација), овозможувајќи информации за дебагирање и прифаќање врски на сите мрежни интерфејси.

Во верзијата за MacOS не се идентификувани ранливости. Најдени се два помали проблеми во верзијата на iOS ранливости (Поврзувањето на SSL сертификатот не се користи и работата на уредите по џеилбрејк не е блокирана). Во верзијата на Android пронајден четири помали проблеми (овозможување пораки за отстранување грешки, не блокирање резервни копии со помош на алатката ADB, шифрирање на поставките со претходно дефиниран клуч, не прикачување на SSL сертификат) и една умерена ранливост (нецелосно завршување на сесијата, дозволувајќи повторна употреба на токени за сесија).

Да потсетиме, Proton Technologies е основана од неколку истражувачи од CERN (Европска организација за нуклеарни истражувања) и е регистрирана во Швајцарија, која има строги закони за приватност кои не дозволуваат разузнавачките агенции да контролираат информации. Проектот ProtonVPN обезбедува високо ниво на безбедност на комуникацискиот канал (протокот е шифриран со помош на AES-256, размената на клучеви се врши врз основа на 2048-битни клучеви RSA и HMAC, SHA-256 се користи за автентикација, има заштита од напади базирани за корелација на потоци на податоци), одбива да води дневници и е фокусиран не на остварување профит, туку на подобрување на безбедноста и приватноста на Интернет (проектот е финансиран од фондот FONGIT, поддржан од Европската комисија).

Извор: opennet.ru