Codul aplicațiilor client pentru ProtonVPN este deschis

Compania Proton Technologies, care dezvoltă un serviciu de email securizat și VPN, a anunțat a anunțat codului sursă lansarea programelor client ProtonVPN pentru Windows, macOS, Android și iOS (client console Linux a fost deschis inițial). Codul este disponibil sub licența GPLv3. De asemenea, au fost publicate rapoarte de audit independente pentru aplicațiile menționate. Nu au fost găsite probleme care ar putea conduce la decriptarea traficului VPN sau la creșterea privilegiilor în timpul auditului. Codul este deschis în cadrul inițiativei de transparență a proiectului pentru ca experți independenți să poată verifica conformitatea codului cu specificațiile declarate și să controleze corectitudinea auditului de securitate. În cadrul colaborării cu Mozilla, care

este un serviciu VPN plătit, inginerii Mozilla au avut acces și la alte tehnologii ale ProtonVPN pentru audit. Se menționează că următorul pas va fi deschiderea altor aplicații ProtonVPN. dezvoltă Printre incidentele anterioare cu ProtonVPN, se poate menționa

o vulnerabilitate în aplicația pentru Windows, care permitea utilizatorului să-și ridice privilegiile în sistem până la administrator (vulnerabilitatea a fost cauzată de interacțiunea incorectă între clientul GUI neprivilegiat și serviciul de sistem). amenințărilor legate de securitate în software-ul open-source, vulnerabilități Auditul codului aplicației pentru Windows, finalizat acum câteva zile, a identificat

4 vulnerabilități (două de gravitate medie și două minore): stocarea token-urilor de sesiune și a datelor de autentificare în memoria procesului, cheile serverului VPN predefinite în fișierul de configurare (care nu sunt utilizate pentru autentificare), activarea informațiilor de depanare și acceptarea conexiunilor pe toate interfețele de rețea. În versiunea pentru

nu au fost identificate vulnerabilități. În versiunea pentru iOS au fost găsite două vulnerabilități minore macOS (nu se utilizează legătura certificatului SSL și nu se blochează funcționarea pe dispozitivele după jailbreak). În versiunea pentru Android vulnerabilități au fost identificate patru probleme minore (activarea mesajelor de depanare, lipsa blocării backup-ului prin utilitarul ADB, criptarea setărilor cu o cheie predefinită, lipsa legăturii certificatului SSL) și o vulnerabilitate de gravitate medie (încheierea incompletă a sesiunii care permite reutilizarea token-urilor de sesiune). au fost găsite patru probleme minore (activarea mesajelor de diagnosticare, absența blocării backup-ului cu ajutorul utilitarului ADB, criptarea setărilor cu o cheie prestabilită, absența legăturii cu certificatul SSL) și o vulnerabilitate de severitate medie (încheiere incompletă a sesiunii, permițând reutilizarea token-urilor de sesiune).

Amintim că Proton Technologies a fost înființată de mai mulți cercetători de la CERN (Organizația Europeană pentru Cercetări Nucleare) și este înregistrată în elveția, care are o legislație strictă în domeniul protecției vieții private, împiedicând autoritățile să controleze informațiile. Proiectul ProtonVPN oferă un nivel ridicat de protecție a canalului de comunicare (fluxul este criptat folosind AES-256, schimbul de chei se efectuează pe baza cheilor RSA de 2048 biți și HMAC, autentificarea se face folosind SHA-256, există protecție împotriva atacurilor bazate pe corelația fluxurilor de date), renunță la păstrarea jurnalelor și nu este orientat spre profit, ci spre creșterea securității și intimității în web (proiectul este finanțat de fondul FONGIT, susținut de Comisia Europeană).

Sursa: opennet.ro