De code van de client-applicaties voor ProtonVPN is gepubliceerd

Het bedrijf Proton Technologies, dat een beveiligde e-mailservice en VPN ontwikkelt, heeft aangekondigd heeft de opening aangekondigd van de bront teksten van de clientsoftware ProtonVPN voor Windows, macOS, Android en iOS (console Linux-client is oorspronkelijk geopend). De code is vrijgegeven onder de GPLv3-licentie. Tegelijkertijd zijn er rapporten gepubliceerd over een onafhankelijk audit van de genoemde applicaties. Er zijn geen problemen gevonden tijdens de audit die kunnen leiden tot decryptie van VPN-verkeer of het verhogen van privileges.

De code is geopend in het kader van een initiatief om de transparantie van het project te waarborgen, zodat onafhankelijke experts de mogelijkheid hebben om de code te controleren op overeenstemming met de opgegeven specificaties en om het beveiligingsaudit te verifiëren. In samenwerking met Mozilla, die ontwikkelt een betaalde VPN-dienst biedt, kregen de ingenieurs van Mozilla ook toegang tot andere technologieën van ProtonVPN voor de audit. Er wordt opgemerkt dat de volgende stap het openstellen van de overige applicaties van ProtonVPN zal zijn.

Van eerdere incidenten met ProtonVPN kan worden opgemerkt vier kwetsbaarheden (CVE-2019-14895, CVE-2019-14896, CVE-2019-14897, CVE-2019-14901) in de driver voor draadloze chips van Marvell, die kunnen leiden tot een bufferoverflow. Een aanval kan op afstand worden uitgevoerd door specifieke frames te verzenden bij verbinding met een draadloos toegangspunt van de aanvaller. De meest waarschijnlijke dreiging is een remote denial of service (kernelcrash), maar de mogelijkheid tot code-executie in het systeem kan ook niet worden uitgesloten. kwetsbaarheden in de Windows-applicatie, die de gebruiker in staat stelde om zijn privileges in het systeem tot administrator te verhogen (de kwetsbaarheid werd veroorzaakt door een onjuiste interactie tussen de niet-geprivilegieerde GUI-client en de systeemdienst).

De code-audit van de onlangs afgelopen Windows-app heeft het bestaan van 4 kwetsbaarheden (twee van gemiddelde ernst en twee minder ernstige) aan het licht gebracht: het opslaan van sessietokens en inloggegevens in het procesgeheugen, vooraf gedefinieerde VPN-server sleutels in het configuratiebestand (niet gebruikt voor authenticatie), het inschakelen van debug-informatie en het accepteren van verbindingen op alle netwerkinterfaces.

In de versie voor macOS zijn er geen kwetsbaarheden gevonden. In de iOS-versie zijn twee kleine kwetsbaarheden aangetroffen kwetsbaarheden (er is geen binding van het SSL-certificaat en het functioneren op apparaten na jailbreak wordt niet geblokkeerd). In de Android-versie zijn meer dan 1,2 miljoen hosts zijn gevonden die verzoeken via het AJP-protocol accepteren. vier kleine problemen aangetroffen (inschakelen van debugberichten, ontbreken van back-up blokkering met de ADB-tool, encryptie van instellingen met een vooraf gedefinieerde sleutel, ontbreken van binding van het SSL-certificaat) en één kwetsbaarheid van gemiddelde ernst (onvolledige beëindiging van de sessie, waardoor hergebruik van sessietokens mogelijk is).

Laten we herinneren dat het bedrijf Proton Technologies is opgericht door enkele onderzoekers van CERN (Europese organisatie voor nucleair onderzoek) en geregistreerd is in Zwitserland, dat strenge wetgeving heeft op het gebied van privacybescherming, waardoor inlichtingendiensten de informatie niet kunnen controleren. Het ProtonVPN-project biedt een hoog niveau van beveiliging van de verbinding (de stroom wordt versleuteld met AES-256, de sleuteluitwisseling gebeurt op basis van 2048-bits RSA-sleutels en HMAC, voor authenticatie wordt SHA-256 gebruikt, er is bescherming tegen aanvallen gebaseerd op correlatie van datastromen), het houdt geen logboeken bij en is gericht op het verbeteren van de veiligheid en privacy op het Web, niet op winst (het project wordt gefinancierd door de FONGIT-fonds, ondersteund door de Europese Commissie).

Bron: opennet.ru