Företaget Proton Technologies, som utvecklar en säker e-posttjänst och VPN, har meddelat om klientprogram för ProtonVPN för , , och (konsolbaserad öppen från början). Koden är öppen under GPLv3-licens. Samtidigt publicerades rapporter om en oberoende revision av de angivna applikationerna. Under revisionen upptäcktes inga problem som kunde leda till dekryptering av VPN-trafik eller höjning av privilegier.
Koden har öppnats för att säkerställa projektets transparens så att oberoende experter kan verifiera att koden överensstämmer med de uttalade specifikationerna och kontrollera säkerhetsrevisionens korrekthet. Som en del av samarbetet med Mozilla, som är en betalbaserad VPN-tjänst, fick ingenjörer på Mozilla också tillgång till andra teknologier inom ProtonVPN för revisionen. Det noteras att nästa steg kommer att vara att även öppna de övriga applikationerna inom ProtonVPN.
Bland tidigare incidenter med ProtonVPN kan nämnas i applikationen för Windows, som tillät användaren att höja sina privilegier i systemet till administratör (sårbarheten orsakades av felaktig interaktion mellan den icke-privilegierade GUI-klienten och systemtjänsten).
Den nyligen avslutade koden för applikationen för Windows avslöjade (två av medelhög svårighetsgrad och två obetydliga): lagring av sessionstokens och autentiseringsuppgifter i processens minne, förbestämda VPN-servernycklar i konfigurationsfilen (inte använda för autentisering), aktivering av felsökningsinformation och mottagande av anslutningar på alla nätverksgränssnitt.
I versionen för upptäcktes inga sårbarheter. I versionen för iOS hittades två obetydliga (det finns ingen SSL-certifikatbindning och tjänsten blockeras inte på enheter efter jailbreak). I versionen för Android fyra obetydliga problem (aktivering av felsökningsmeddelanden, brist på blockering av säkerhetskopiering via ADB-verktyget, kryptering av inställningar med en förbestämd nyckel, brist på SSL-certifikatbindning) och en sårbarhet av medelhög svårighetsgrad (ofullständig sessionavslutning som möjliggör återanvändning av sessionstokens).
Vi påminner om att företaget Proton Technologies grundades av flera forskare från CERN (Europeiska organisationen för kärnforskning) och är registrerat i Schweiz, som har strikta lagar om skydd av privatlivet som hindrar underrättelsetjänster från att kontrollera information. Projektet ProtonVPN säkerställer en hög nivå av skydd för kommunikationskanalen (flödet krypteras med AES-256, nyckelutbytet baseras på 2048-bitars RSA-nycklar och HMAC, autentisering använder SHA-256 och det finns skydd mot attacker baserade på korrelation av datastreamar), avstår från att föra loggar och är inriktat på att öka säkerheten och privatlivet på nätet (projektet finansieras av FONGIT-stiftelsen, som stöds av Europakommissionen).
Källa: opennet.ru
