Уязвимости безопасности VPN, обнаруженные в лучших VPN-сервисах (03.29.24)

Основная причина, по которой пользователи Интернета подписываются на услугу VPN, заключается в защите своей конфиденциальности и безопасности в Интернете. Виртуальные частные сети используют зашифрованный цифровой туннель, через который проходит пользовательское соединение, защищая данные пользователя от любопытных глаз злонамеренных сторонних пользователей.

Но что произойдет, если ваша VPN будет взломана?

Cisco Talos, передовая группа исследователей угроз, недавно обнаружила некоторые недостатки безопасности, обнаруженные сегодня в основных VPN-сервисах , особенно в NordVPN и ProtonVPN. Talos специализируется на обнаружении, анализе и создании решений для защиты от сетевых угроз, таких как эти ошибки VPN.

Исследователи обнаружили, что эти недостатки связаны с конструктивными уязвимостями клиентов NordVPN и ProtonVPN, которые позволяют злоумышленникам выполнять произвольные коды .

Недостатки безопасности VPN

Эти уязвимости были идентифицированы как CVE-2018-3952 и CVE-2018-4010, которые оказались аналогичными уязвимостям, обнаруженным VerSprite ранее в этом году. Более ранняя уязвимость безопасности, обнаруженная VerSprite, отслеживалась как CVE-2018-10169, и, хотя к обоим клиентам были применены исправления для исправления дыры в безопасности, ее все же можно использовать другими способами. Фактически, Talos сказал, что они смогли обойти эти исправления, которые были применены в апреле прошлого года.

Как работает недостаток безопасности VPN

CVE-2018-10169 был недостатком повышения привилегий Windows, вызванным тем же дизайном. проблемы как в NordVPN, так и в ProtonVPN.

Интерфейс обоих этих VPN-клиентов позволяет вошедшему в систему пользователю выполнять двоичные файлы, включая параметры конфигурации VPN, такие как выбор предпочитаемого местоположения VPN-сервера. Когда пользователь нажимает «Подключиться», эта информация перенаправляется службе через файл конфигурации OpenVPN. Уязвимость кроется именно в этом - VerSprite смог создать другой файл конфигурации OpenVPN и отправить его в службу для загрузки и выполнения.

Любой может создать файл OpenVPN, в том числе со злым умыслом, и вмешаться в него. службы VPN или украсть ваши данные.

Оба поставщика услуг VPN внедрили один и тот же патч, предназначенный для управления содержимым файла OpenVPN. Однако Cisco отметила, что код содержит небольшую ошибку, которая позволяет злоумышленникам обойти исправление.

Talos протестировал исправленные версии двух клиентов VPN, в частности ProtonVPN VPN версии 1.5.1 и NordVPN версии 6.14.28.0, и обнаружил, что злоумышленники могут обойти исправления, введенные в апреле прошлого года.

Ошибки, возникшие в результате этих уязвимостей инструментов VPN , могут привести к повышению привилегий, а также к произвольному выполнению команд. Ошибка CVE-2018-3952 затрагивает NordVPN и его более миллиона пользователей по всему миру, в то время как CVE-2018-4010 влияет на относительно нового поставщика услуг VPN, ProtonVPN.

Исправление безопасности VPN

Эти недостатки безопасности обнаруженные среди лучших VPN-сервисов , заставили VPN-компании искать надежное решение. В августе прошлого года NordVPN внедрил исправление для решения этой проблемы. Компания использовала модель XML для создания файлов конфигурации OpenVPN, которые не могут редактироваться зарегистрированными пользователями.

ProtonVPN, с другой стороны, только что завершил создание исправления в этом месяце. ProtonVPN решил переместить файлы конфигурации OpenVPN в каталог установки. Таким образом, обычные пользователи не могут легко изменить файлы.

Обе компании, использующие VPN, посоветовали своим пользователям как можно скорее обновить свои клиенты VPN, чтобы исправить эти ошибки и избежать потенциальных угроз.

Другое Уязвимости в инструментах VPN

Ранее в январе Cisco выпустила срочное оповещение о безопасности для пользователей, использующих устройства сетевой безопасности, настроенные с помощью WebVPN. Этому провайдеру бесклиентских VPN-услуг была присвоена критическая оценка - наивысшее предупреждение в Системе оценки общих уязвимостей. Компания VPN была уязвима для сетевых атак через Интернет, что позволило злоумышленнику обойти защиту и выполнить команды и получить полный контроль над сетевыми устройствами. Позднее Cisco выпустила патч для исправления этой уязвимости.

Кроме того, согласно исследованию, проведенному High-Tech Bridge (HTB), девять из десяти VPN-сервисов используют устаревшие или небезопасные технологии шифрования, что подвергает пользователей риску. Исследование также показало, что большинство SSL VPN либо используют ненадежный сертификат SSL, либо используют уязвимые 1024-битные ключи для своих сертификатов RSA. Также неприятно узнать, что один из десяти серверов SSL VPN по-прежнему уязвим для печально известной ошибки Heartbleed, которая позволяет хакерам извлекать данные из памяти не имеющих себе равных систем.

Это исследование просто показывает, что уязвимости также существуют в сетях VPN, которые, по иронии судьбы, были разработаны, чтобы защитить нас именно от этих угроз.

Для обеспечения безопасности в Интернете крайне важно использовать надежные и заслуживающие доверия службы VPN . Бесплатные службы VPN могут обеспечить вам базовую конфиденциальность, но вы не уверены, отслеживает ли компания ваши действия в Интернете или нет. Бесплатные VPN также подвержены ошибкам и другим проблемам с безопасностью.

Лучший VPN будет инвестировать в передовые и защищенные от взлома технологии VPN, чтобы обеспечить комплексную защиту своих пользователей. Помимо использования надежной технологии шифрования, вам необходимо обратить внимание на другие функции безопасности VPN, такие как параметры аварийного отключения, функции защиты от утечек, политики ведения журналов, методы маршрутизации и другие.

профессиональный VPN-сервис, такой как Outbyte VPN , является лучшим решением, поскольку он обеспечивает 100% онлайн-безопасность без отслеживания. Outbyte VPN также использует технологию шифрования военного уровня, поэтому в ее безопасности нет никаких сомнений.


YouTube видео: Уязвимости безопасности VPN, обнаруженные в лучших VPN-сервисах

03, 2024