Mozilla VPN क्लायंट ऑडिट परिणाम प्रकाशित

Mozilla ने Mozilla VPN सेवेशी कनेक्ट करण्यासाठी क्लायंट सॉफ्टवेअरचे स्वतंत्र ऑडिट पूर्ण केल्याची घोषणा केली आहे. ऑडिटमध्ये Qt लायब्ररी वापरून लिहिलेल्या आणि Linux, macOS, Windows, Android आणि iOS साठी उपलब्ध असलेल्या स्टँड-अलोन क्लायंट ऍप्लिकेशनचे विश्लेषण समाविष्ट आहे. Mozilla VPN हे स्वीडिश VPN प्रदाता Mullvad च्या 400 पेक्षा जास्त सर्व्हरद्वारे समर्थित आहे, 30 पेक्षा जास्त देशांमध्ये स्थित आहे. व्हीपीएन सेवेशी कनेक्शन वायरगार्ड प्रोटोकॉल वापरून केले जाते.

Cure53 द्वारे ऑडिट केले गेले होते, ज्याने एका वेळी NTPsec, SecureDrop, Cryptocat, F-Droid आणि Dovecot प्रकल्पांचे ऑडिट केले होते. ऑडिटमध्ये स्त्रोत कोडची पडताळणी समाविष्ट आहे आणि संभाव्य भेद्यता ओळखण्यासाठी चाचण्या समाविष्ट केल्या आहेत (क्रिप्टोग्राफीशी संबंधित समस्यांचा विचार केला गेला नाही). ऑडिट दरम्यान, 16 सुरक्षा समस्या ओळखल्या गेल्या, त्यापैकी 8 शिफारसी होत्या, 5 धोक्याची निम्न पातळी नियुक्त केली गेली, दोन मध्यम पातळी नियुक्त केली गेली, आणि एक उच्च पातळी धोक्याची नियुक्त केली गेली.

तथापि, मध्यम तीव्रतेच्या पातळीसह केवळ एक समस्या असुरक्षितता म्हणून वर्गीकृत केली गेली होती, कारण ती एकमेव होती जी शोषण करण्यायोग्य होती. या समस्येमुळे VPN बोगद्याच्या बाहेर एनक्रिप्ट न केलेल्या डायरेक्ट HTTP विनंत्यांमुळे कॅप्टिव्ह पोर्टल डिटेक्शन कोडमधील VPN वापर माहिती लीक झाली, ज्यामुळे आक्रमणकर्ता ट्रांझिट ट्रॅफिक नियंत्रित करू शकत असल्यास वापरकर्त्याचा प्राथमिक IP पत्ता उघड करतो. सेटिंग्जमध्ये कॅप्टिव्ह पोर्टल डिटेक्शन मोड अक्षम करून समस्या सोडवली जाते.

मध्यम तीव्रतेची दुसरी समस्या पोर्ट नंबरमधील नॉन-न्यूमेरिक व्हॅल्यूजच्या योग्य साफसफाईच्या कमतरतेशी संबंधित आहे, ज्यामुळे पोर्ट नंबर सारख्या स्ट्रिंगसह बदलून OAuth प्रमाणीकरण पॅरामीटर्सची गळती होऊ शकते.[ईमेल संरक्षित]", जे <img src="http://127.0.0.1 टॅगच्या स्थापनेकडे नेईल:[ईमेल संरक्षित]/?code=..." alt=""> 127.0.0.1 ऐवजी example.com वर प्रवेश करत आहे.

तिसरा मुद्दा, धोकादायक म्हणून ध्वजांकित केला आहे, कोणत्याही स्थानिक अनुप्रयोगास प्रमाणीकरणाशिवाय VPN क्लायंटला WebSocket द्वारे लोकलहोस्टमध्ये प्रवेश करण्याची अनुमती देते. उदाहरण म्हणून, हे दर्शविले गेले आहे की, सक्रिय व्हीपीएन क्लायंटसह कोणतीही साइट स्क्रीन_कॅप्चर इव्हेंट व्युत्पन्न करून स्क्रीनशॉट तयार करणे आणि पाठविणे कसे आयोजित करू शकते. समस्या असुरक्षितता म्हणून वर्गीकृत केलेली नाही, कारण वेबसॉकेटचा वापर केवळ अंतर्गत चाचणी बिल्डमध्ये केला गेला होता आणि या संप्रेषण चॅनेलचा वापर ब्राउझर अॅड-ऑनसह परस्परसंवाद आयोजित करण्यासाठी भविष्यात नियोजित होता.

स्त्रोत: opennet.ru