Código dos aplicativos clientes ProtonVPN aberto

A empresa Proton Technologies, que desenvolve um serviço de e-mail seguro e VPN, anunciou anunciou a abertura dos códigos-fonte dos programas clientes ProtonVPN para Windows, macOS, Android e iOS (cliente de console Linux aberto inicialmente). O código foi liberado sob a licença GPLv3. Relatórios sobre a realização de uma auditoria independente dos aplicativos mencionados também foram publicados. Durante a auditoria, não foram encontradas questões que poderiam levar à decriptação do tráfego VPN ou ao aumento de privilégios. O código foi aberto como parte de uma iniciativa para garantir a transparência do projeto, para que especialistas independentes possam verificar se o código está de acordo com as especificações declaradas e monitorar a correção da auditoria de segurança. Dentro da colaboração com a Mozilla, que

desenvolve um serviço VPN pago, também foi dado acesso aos engenheiros da Mozilla a outras tecnologias do ProtonVPN para auditoria. É destacado que o próximo passo será tornar públicos os demais aplicativos do ProtonVPN. Entre os incidentes anteriores com o ProtonVPN, pode-se destacar

a descoberta de uma vulnerabilidade no aplicativo para Windows, que permitia ao usuário elevar seus privilégios no sistema para administrador (a vulnerabilidade foi causada pela interação inadequada entre o cliente GUI sem privilégios e o serviço de sistema). A auditoria do código do aplicativo para Windows, concluída há alguns dias, identificou

4 vulnerabilidades (duas de gravidade média e duas menores): armazenamento de tokens de sessão e credenciais na memória do processo, chaves do servidor VPN predefinidas no arquivo de configuração (não usadas para autenticação), inclusão de informações de depuração e aceitação de conexões em todas as interfaces de rede. Na versão para

não foram encontradas vulnerabilidades. Na versão para iOS, foram encontradas duas menores macOS (não utiliza o vínculo do certificado SSL e não bloqueia a operação em dispositivos após jailbreak). Na versão para Android, no aplicativo para Windows, que permitia ao usuário elevar seus privilégios no sistema para administrador (a vulnerabilidade foi causada pela interação inadequada entre o cliente GUI sem privilégios e o serviço de sistema). foram identificados quatro problemas menores (inclusão de mensagens de depuração, falta de bloqueio de backup por meio da ferramenta ADB, criptografia de configurações com uma chave predefinida, ausência de vínculo do certificado SSL) e uma vulnerabilidade de gravidade média (encerramento incompleto da sessão, permitindo a reutilização de tokens de sessão). quatro problemas menores (inclusão de mensagens de depuração, falta de bloqueio de backup com a ferramenta ADB, criptografia de configurações com uma chave predefinida, ausência da vinculação do certificado SSL) e uma vulnerabilidade de gravidade média (finalização incompleta da sessão, permitindo a reutilização dos tokens de sessão).

Lembramos que a Proton Technologies foi fundada por vários pesquisadores do CERN (Organização Europeia para Pesquisa Nuclear) e está registrada na Suíça, que possui uma legislação rigorosa em matéria de proteção da privacidade, impedindo que serviços secretos controlem informações. O projeto ProtonVPN oferece um alto nível de proteção do canal de comunicação (o tráfego é criptografado com AES-256, a troca de chaves é baseada em chaves RSA de 2048 bits e HMAC, a autenticação utiliza SHA-256, e há proteção contra ataques baseados em correlação de fluxos de dados), não mantém registros e é orientado não para lucro, mas para aumentar a segurança e a privacidade na Web (o projeto é financiado pela fundação FONGIT, apoiada pela Comissão Europeia).

Fonte: opennet.ru