മോസില്ല വിപിഎൻ ക്ലയന്റ് ഓഡിറ്റ് ഫലങ്ങൾ പ്രസിദ്ധീകരിച്ചു

മോസില്ല വിപിഎൻ സേവനവുമായി ബന്ധിപ്പിക്കുന്നതിന് ക്ലയന്റ് സോഫ്‌റ്റ്‌വെയറിന്റെ ഒരു സ്വതന്ത്ര ഓഡിറ്റ് പൂർത്തിയാക്കിയതായി മോസില്ല പ്രഖ്യാപിച്ചു. ക്യുടി ലൈബ്രറി ഉപയോഗിച്ച് എഴുതിയതും Linux, macOS, Windows, Android, iOS എന്നിവയ്‌ക്ക് ലഭ്യമായതുമായ ഒരു സ്റ്റാൻഡ്-എലോൺ ക്ലയന്റ് ആപ്ലിക്കേഷന്റെ വിശകലനം ഓഡിറ്റിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. 400-ലധികം രാജ്യങ്ങളിലായി സ്ഥിതി ചെയ്യുന്ന സ്വീഡിഷ് വിപിഎൻ ദാതാവായ മുൾവാഡിന്റെ 30-ലധികം സെർവറുകളാണ് മോസില്ല വിപിഎൻ നൽകുന്നത്. VPN സേവനത്തിലേക്കുള്ള കണക്ഷൻ WireGuard പ്രോട്ടോക്കോൾ ഉപയോഗിച്ചാണ് നിർമ്മിച്ചിരിക്കുന്നത്.

NTPsec, SecureDrop, Cryptocat, F-Droid, Dovecot പ്രോജക്ടുകൾ ഒരു കാലത്ത് ഓഡിറ്റ് ചെയ്ത Cure53 ആണ് ഓഡിറ്റ് നടത്തിയത്. ഓഡിറ്റ് സോഴ്‌സ് കോഡുകളുടെ പരിശോധനയും സാധ്യമായ കേടുപാടുകൾ തിരിച്ചറിയുന്നതിനുള്ള ടെസ്റ്റുകളും ഉൾപ്പെടുത്തിയിട്ടുണ്ട് (ക്രിപ്‌റ്റോഗ്രഫിയുമായി ബന്ധപ്പെട്ട പ്രശ്‌നങ്ങൾ പരിഗണിച്ചില്ല). ഓഡിറ്റിനിടെ, 16 സുരക്ഷാ പ്രശ്‌നങ്ങൾ കണ്ടെത്തി, അവയിൽ 8 ശുപാർശകൾ, 5 എണ്ണം കുറഞ്ഞ അപകടസാധ്യത, രണ്ടെണ്ണത്തിന് ഇടത്തരം, ഒരെണ്ണം ഉയർന്ന തലത്തിലുള്ള അപകടങ്ങൾ എന്നിവ നിശ്ചയിച്ചു.

എന്നിരുന്നാലും, ഇടത്തരം തീവ്രതയുള്ള ഒരു പ്രശ്‌നം മാത്രമേ ദുർബ്ബലതയായി വർഗ്ഗീകരിച്ചിട്ടുള്ളൂ, കാരണം അത് ചൂഷണം ചെയ്യാവുന്ന ഒരേയൊരു പ്രശ്‌നമായിരുന്നു. VPN ടണലിന് പുറത്ത് അയച്ച എൻക്രിപ്റ്റ് ചെയ്യാത്ത നേരിട്ടുള്ള HTTP അഭ്യർത്ഥനകൾ കാരണം ക്യാപ്‌റ്റീവ് പോർട്ടൽ ഡിറ്റക്ഷൻ കോഡിലെ VPN ഉപയോഗ വിവരങ്ങൾ ചോർന്നതിന് ഈ പ്രശ്‌നം കാരണമായി, ആക്രമണകാരിക്ക് ട്രാൻസിറ്റ് ട്രാഫിക് നിയന്ത്രിക്കാൻ കഴിയുമെങ്കിൽ ഉപയോക്താവിന്റെ പ്രാഥമിക IP വിലാസം വെളിപ്പെടുത്തുന്നു. ക്രമീകരണങ്ങളിൽ ക്യാപ്‌റ്റീവ് പോർട്ടൽ ഡിറ്റക്ഷൻ മോഡ് പ്രവർത്തനരഹിതമാക്കുന്നതിലൂടെ പ്രശ്നം പരിഹരിക്കപ്പെടും.

ഇടത്തരം തീവ്രതയുടെ രണ്ടാമത്തെ പ്രശ്നം പോർട്ട് നമ്പറിലെ നോൺ-നമ്പറിക് മൂല്യങ്ങൾ ശരിയായി വൃത്തിയാക്കാത്തതുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു, ഇത് പോർട്ട് നമ്പറിന് പകരം ഒരു സ്ട്രിംഗ് ഉപയോഗിച്ച് OAuth പ്രാമാണീകരണ പാരാമീറ്ററുകൾ ചോർത്താൻ അനുവദിക്കുന്നു.[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]", ഇത് ടാഗ് ഇൻസ്റ്റാൾ ചെയ്യാൻ ഇടയാക്കും[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]/?code=..." alt=""> 127.0.0.1 ന് പകരം example.com ആക്സസ് ചെയ്യുന്നു.

മൂന്നാമത്തെ ലക്കം, അപകടകരമെന്ന് ഫ്ലാഗുചെയ്‌തു, പ്രാമാണീകരണമില്ലാതെ ഏത് പ്രാദേശിക അപ്ലിക്കേഷനെയും ലോക്കൽ ഹോസ്റ്റിലേക്ക് ബന്ധിപ്പിച്ചിരിക്കുന്ന വെബ്‌സോക്കറ്റ് വഴി ഒരു VPN ക്ലയന്റ് ആക്‌സസ് ചെയ്യാൻ അനുവദിക്കുന്നു. ഒരു ഉദാഹരണമായി, ഒരു സജീവ VPN ക്ലയന്റ് ഉപയോഗിച്ച്, സ്‌ക്രീൻ_ക്യാപ്‌ചർ ഇവന്റ് സൃഷ്‌ടിച്ച് ഒരു സ്‌ക്രീൻഷോട്ട് സൃഷ്‌ടിക്കുന്നതും അയയ്‌ക്കുന്നതും ഏത് സൈറ്റിനും എങ്ങനെ സംഘടിപ്പിക്കാമെന്ന് കാണിക്കുന്നു. ഇന്റേണൽ ടെസ്റ്റ് ബിൽഡുകളിൽ മാത്രമേ വെബ്‌സോക്കറ്റ് ഉപയോഗിച്ചിട്ടുള്ളൂ എന്നതിനാൽ, ഈ കമ്മ്യൂണിക്കേഷൻ ചാനലിന്റെ ഉപയോഗം ഭാവിയിൽ ബ്രൗസർ ആഡ്-ഓണുമായുള്ള ഇടപെടൽ സംഘടിപ്പിക്കുന്നതിന് മാത്രമേ ആസൂത്രണം ചെയ്തിട്ടുള്ളൂ എന്നതിനാൽ, പ്രശ്‌നത്തെ ഒരു അപകടസാധ്യതയായി തരംതിരിച്ചിട്ടില്ല.

അവലംബം: opennet.ru