Spoločnosť Proton Technologies, ktorá vyvíja zabezpečenú e-mailovú službu a VPN, oznámi klientskych programov ProtonVPN pre , , a (konzolový bol pôvodne otvorený). Kód je sprístupnený pod licenciou GPLv3. Súčasne boli zverejnené správy o vykonaní nezávislého auditu uvedených aplikácií. Počas auditu sa nenašli žiadne problémy, ktoré by mohli viesť k dešifrovaniu VPN prevádzky alebo zvýšeniu privilégií.
Kód je otvorený v rámci iniciatívy na zabezpečenie transparentnosti projektu, aby nezávislí odborníci mohli overiť zhodu kódu s uvedenými špecifikáciami a skontrolovať správnosť vykonania auditu bezpečnosti. V rámci spolupráce s Mozilla, ktorá je platená VPN služba, mali audítori z Mozilla tiež prístup k iným technológiám ProtonVPN. Uvádza sa, že ďalším krokom bude sprístupnenie aj ostatných aplikácií ProtonVPN ako otvorených.
Z predchádzajúcich incidentov s ProtonVPN môžeme spomenúť zraniteľnosť v aplikácii pre Windows, ktorá umožnila používateľovi zvýšiť svoje privilégium v systéme na administrátora (zraniteľnosť bola spôsobená nesprávnou interakciou medzi neprivilegovaným GUI klientom a systémovou službou).
Audít kódu aplikácie pre Windows, ktorý sa skončil pred niekoľkými dňami, odhalil prítomnosť (dve strednej závažnosti a dve malé): ukladaním v reláciách tokenov a prihlasovacích údajoch v pamäti procesu, preddefinované v konfiguračnom súbore kľúče VPN servera (nepoužívajú sa na autentifikáciu), zapnutím ladenej informácie a prijímaním pripojení na všetkých sieťových rozhraniach.
Vo verzii pre neboli zraniteľnosti odhalené. Vo verzii pre iOS boli nájdené dve malé zraniteľnosti (nepoužíva sa viazanie SSL certifikátu a neblokuje sa činnosť na zariadeniach po jailbreaku). Vo verzii pre Android štyri malé problémy (zapnutie ladacích správ, absencia blokácie zálohy pomocou utilitky ADB, šifrovanie nastavení preddefinovaným kľúčom, absencia viazania SSL certifikátu) a jedna zraniteľnosť strednej závažnosti (neúplné ukončenie relácie, umožňujúce opätovné použitie reláčnych tokenov).
Pripomíname, že spoločnosť Proton Technologies bola založená niekoľkými výskumníkmi z CERN (Európska organizácia pre jadrový výskum) a registrovaná v Švajčiarsku, ktorý má prísne zákony na ochranu súkromia, čo bráni bezpečnostným službám v kontrole informácií. Projekt ProtonVPN zabezpečuje vysokú úroveň ochrany komunikačného kanála (prúd je šifrovaný pomocou AES-256, výmena kľúčov sa uskutočňuje na základe 2048-bitových RSA kľúčov a HMAC, na autentifikáciu sa používa SHA-256, je tu ochrana pred útokmi založenými na korelácii prúdov údajov), odmieta viesť protokoly a zameriava sa nie na zisk, ale na zvýšenie bezpečnosti a súkromia na webe (projekt je financovaný fondom FONGIT, podporovaným Európskou komisiou).
Zdroj: opennet.ru
