Mozilla VPN ਕਲਾਇੰਟ ਆਡਿਟ ਨਤੀਜੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੇ ਗਏ ਹਨ

ਮੋਜ਼ੀਲਾ ਨੇ ਮੋਜ਼ੀਲਾ VPN ਸੇਵਾ ਨਾਲ ਜੁੜਨ ਲਈ ਕਲਾਇੰਟ ਸੌਫਟਵੇਅਰ ਦੇ ਇੱਕ ਸੁਤੰਤਰ ਆਡਿਟ ਦੇ ਪੂਰਾ ਹੋਣ ਦਾ ਐਲਾਨ ਕੀਤਾ। ਆਡਿਟ ਵਿੱਚ Qt ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲਿਖੇ ਗਏ ਇੱਕ ਸਟੈਂਡਅਲੋਨ ਕਲਾਇੰਟ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਸ਼ਾਮਲ ਸੀ ਅਤੇ ਇਸ ਲਈ ਸਪਲਾਈ ਕੀਤਾ ਗਿਆ ਸੀ Linux, macOS, Windows, Android ਅਤੇ iOS। ਮੋਜ਼ੀਲਾ VPN 30 ਤੋਂ ਵੱਧ ਦੇਸ਼ਾਂ ਵਿੱਚ ਸਥਿਤ ਸਵੀਡਿਸ਼ VPN ਪ੍ਰਦਾਤਾ Mullvad ਦੇ 400 ਤੋਂ ਵੱਧ ਸਰਵਰਾਂ 'ਤੇ ਕੰਮ ਕਰਦਾ ਹੈ। ਨਾਲ ਜੁੜ ਰਿਹਾ ਹੈ VPN- ਸੇਵਾ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੀਤੀ ਜਾਂਦੀ ਹੈ WireGuard.

ਆਡਿਟ Cure53 ਦੁਆਰਾ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਨੇ ਇੱਕ ਸਮੇਂ NTPsec, SecureDrop, Cryptocat, F-Droid ਅਤੇ Dovecot ਪ੍ਰੋਜੈਕਟਾਂ ਦਾ ਆਡਿਟ ਕੀਤਾ ਸੀ। ਆਡਿਟ ਨੇ ਸਰੋਤ ਕੋਡਾਂ ਦੀ ਤਸਦੀਕ ਨੂੰ ਕਵਰ ਕੀਤਾ ਅਤੇ ਸੰਭਾਵਿਤ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਟੈਸਟ ਸ਼ਾਮਲ ਕੀਤੇ (ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ ਨਾਲ ਸਬੰਧਤ ਮੁੱਦਿਆਂ 'ਤੇ ਵਿਚਾਰ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ)। ਆਡਿਟ ਦੌਰਾਨ, 16 ਸੁਰੱਖਿਆ ਮੁੱਦਿਆਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ 8 ਸਿਫ਼ਾਰਸ਼ਾਂ ਸਨ, 5 ਨੂੰ ਘੱਟ ਪੱਧਰ ਦਾ ਖ਼ਤਰਾ ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਦੋ ਨੂੰ ਇੱਕ ਮੱਧਮ ਪੱਧਰ ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਇੱਕ ਨੂੰ ਉੱਚ ਪੱਧਰ ਦਾ ਖ਼ਤਰਾ ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਸੀ।

ਹਾਲਾਂਕਿ, ਇੱਕ ਮੱਧਮ ਗੰਭੀਰਤਾ ਦੇ ਪੱਧਰ ਦੇ ਨਾਲ ਸਿਰਫ ਇੱਕ ਮੁੱਦੇ ਨੂੰ ਕਮਜ਼ੋਰੀ ਦੇ ਰੂਪ ਵਿੱਚ ਸ਼੍ਰੇਣੀਬੱਧ ਕੀਤਾ ਗਿਆ ਸੀ, ਕਿਉਂਕਿ ਇਹ ਕੇਵਲ ਇੱਕ ਹੀ ਸੀ ਜੋ ਸ਼ੋਸ਼ਣਯੋਗ ਸੀ। ਇਸ ਮੁੱਦੇ ਦੇ ਨਤੀਜੇ ਵਜੋਂ VPN ਸੁਰੰਗ ਦੇ ਬਾਹਰ ਭੇਜੀਆਂ ਗਈਆਂ ਅਣ-ਇਨਕ੍ਰਿਪਟਡ ਸਿੱਧੀਆਂ HTTP ਬੇਨਤੀਆਂ ਦੇ ਕਾਰਨ ਕੈਪਟਿਵ ਪੋਰਟਲ ਖੋਜ ਕੋਡ ਵਿੱਚ VPN ਵਰਤੋਂ ਜਾਣਕਾਰੀ ਦੇ ਲੀਕ ਹੋਣ ਦੇ ਨਤੀਜੇ ਵਜੋਂ, ਉਪਭੋਗਤਾ ਦੇ ਪ੍ਰਾਇਮਰੀ IP ਪਤੇ ਨੂੰ ਪ੍ਰਗਟ ਕਰਦਾ ਹੈ ਜੇਕਰ ਹਮਲਾਵਰ ਆਵਾਜਾਈ ਟ੍ਰੈਫਿਕ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰ ਸਕਦਾ ਹੈ। ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਕੈਪਟਿਵ ਪੋਰਟਲ ਖੋਜ ਮੋਡ ਨੂੰ ਅਯੋਗ ਕਰਕੇ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਦੂਜਾ ਮੱਧਮ-ਪੱਧਰ ਦਾ ਮੁੱਦਾ ਪੋਰਟ ਨੰਬਰ ਵਿੱਚ ਗੈਰ-ਸੰਖਿਆਤਮਕ ਮੁੱਲਾਂ ਦੀ ਸਹੀ ਸਫਾਈ ਦੀ ਘਾਟ ਨਾਲ ਸਬੰਧਤ ਹੈ, ਜੋ ਕਿ ਪੋਰਟ ਨੰਬਰ ਨੂੰ "1234@example.com" ਵਰਗੀ ਸਤਰ ਨਾਲ ਬਦਲ ਕੇ OAuth ਪ੍ਰਮਾਣੀਕਰਨ ਪੈਰਾਮੀਟਰਾਂ ਦੇ ਲੀਕ ਹੋਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਟੈਗ ਦੀ ਸਥਾਪਨਾ ਹੋਵੇਗੀ। , 127.0.0.1 ਦੀ ਬਜਾਏ example.com ਤੱਕ ਪਹੁੰਚ ਕਰਨਾ।

ਤੀਜਾ ਮੁੱਦਾ, ਖ਼ਤਰਨਾਕ ਵਜੋਂ ਫਲੈਗ ਕੀਤਾ ਗਿਆ ਹੈ, ਕਿਸੇ ਵੀ ਸਥਾਨਕ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਿਨਾਂ ਇੱਕ VPN ਕਲਾਇੰਟ ਨੂੰ ਇੱਕ ਵੈੱਬਸਾਕੇਟ ਦੁਆਰਾ ਲੋਕਲਹੋਸਟ ਨਾਲ ਜੋੜਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਇੱਕ ਉਦਾਹਰਨ ਦੇ ਤੌਰ 'ਤੇ, ਇਹ ਦਿਖਾਇਆ ਗਿਆ ਹੈ ਕਿ ਕਿਵੇਂ, ਇੱਕ ਸਰਗਰਮ VPN ਕਲਾਇੰਟ ਦੇ ਨਾਲ, ਕੋਈ ਵੀ ਸਾਈਟ ਸਕ੍ਰੀਨ_ਕੈਪਚਰ ਇਵੈਂਟ ਤਿਆਰ ਕਰਕੇ ਇੱਕ ਸਕ੍ਰੀਨਸ਼ੌਟ ਬਣਾਉਣ ਅਤੇ ਭੇਜਣ ਦਾ ਪ੍ਰਬੰਧ ਕਰ ਸਕਦੀ ਹੈ। ਸਮੱਸਿਆ ਨੂੰ ਕਮਜ਼ੋਰੀ ਦੇ ਤੌਰ 'ਤੇ ਵਰਗੀਕ੍ਰਿਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ, ਕਿਉਂਕਿ WebSocket ਦੀ ਵਰਤੋਂ ਸਿਰਫ ਅੰਦਰੂਨੀ ਟੈਸਟ ਬਿਲਡਾਂ ਵਿੱਚ ਕੀਤੀ ਗਈ ਸੀ ਅਤੇ ਇਸ ਸੰਚਾਰ ਚੈਨਲ ਦੀ ਵਰਤੋਂ ਸਿਰਫ ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਐਡ-ਆਨ ਨਾਲ ਗੱਲਬਾਤ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਭਵਿੱਖ ਵਿੱਚ ਯੋਜਨਾਬੱਧ ਕੀਤੀ ਗਈ ਸੀ।

ਸਰੋਤ: opennet.ru