Уязвимости на VPN сигурността, открити в най-добрите VPN услуги (04.26.24)

Основната причина, поради която потребителите на интернет се абонират за VPN услуга, е да защитят своята поверителност и онлайн сигурност. VPN използват криптиран цифров тунел, през който връзката на потребителя преминава, като пази данните на потребителя далеч от любопитните погледи на злонамерени потребители на трети страни.

Но какво се случва, ако вашата VPN се компрометира?

Cisco Talos, водещ екип от изследователи на заплахи, наскоро разкри някои недостатъци в сигурността, открити в най-добрите VPN услуги днес, особено NordVPN и ProtonVPN. Talos е специализирана в откриването, анализирането и създаването на решения за защита срещу онлайн заплахи като тези VPN грешки.

Изследователите откриха, че тези недостатъци произтичат от уязвимости в дизайна както на NordVPN, така и на ProtonVPN клиенти, които позволяват на нападателите да изпълняват произволни кодове .

Недостатъци на сигурността на VPN

Тези уязвимости са идентифицирани като CVE-2018-3952 и CVE-2018-4010, които се оказват подобни на недостатъците, открити от VerSprite по-рано тази година. По-ранният недостатък в сигурността, открит от VerSprite, беше проследен като CVE-2018-10169 и въпреки че към двата клиента са приложени корекции за отстраняване на дупката в сигурността, той все още може да бъде използван по други начини. Всъщност Talos каза, че са успели да заобиколят тези корекции, приложени миналия април.

Как работи дефектът на VPN защитата

CVE-2018-10169 е недостатък на ескалацията на привилегии на Windows, причинен от същия дизайн проблеми както в NordVPN, така и в ProtonVPN.

Интерфейсът и на двата VPN клиента позволява на регистриран потребител да изпълнява двоични файлове, включително опции за конфигуриране на VPN, като например да изберете предпочитаното от вас местоположение на VPN сървър. Когато потребителят щракне върху „Свързване“, тази информация се препраща към услуга чрез конфигурационен файл OpenVPN. Уязвимостта се крие там - VerSprite успя да създаде различен конфигурационен файл на OpenVPN и да го изпрати до услугата, за да се зареди и изпълни.

Всеки може да създаде файла OpenVPN, включително тези със злонамерено намерение, и да подправя VPN услугата или откраднат вашите данни.

И двамата доставчици на VPN услуги са внедрили една и съща кръпка, предназначена да контролира съдържанието на файла OpenVPN. Cisco обаче посочи, че кодът съдържа малък недостатък в кодирането, който позволява на атакуващите да заобиколят корекцията.

Talos тества изправените версии на двата VPN клиента, по-специално ProtonVPN VPN версия 1.5.1 и NordVPN версия 6.14.28.0, и откри, че внедрените миналия април кръпки могат да бъдат заобиколени от нападателите.

грешки, които са резултат от тези уязвимости на VPN инструменти , могат да доведат до повишаване на привилегиите, както и до произволно изпълнение на команди. Грешката CVE-2018-3952 засяга NordVPN и нейните над един милион потребители по целия свят, докато CVE-2018-4010 засяга сравнително новия доставчик на VPN услуги, ProtonVPN.

VPN Fix Security

Тези недостатъци в сигурността намерени в топ VPN услуги са изпратили VPN компаниите да се борят за херметично решение. NordVPN внедри корекция миналия август, за да разреши проблема. Компанията използва XML модел за създаване на конфигурационни файлове на OpenVPN, които не могат да бъдат редактирани от влезли потребители.

ProtonVPN, от друга страна, току-що завърши със създаването на корекция този месец. ProtonVPN реши да премести конфигурационните файлове OpenVPN в инсталационната директория. По този начин стандартните потребители не могат лесно да модифицират файловете.

И двете VPN компании са посъветвали своите потребители да актуализират своите VPN клиенти възможно най-скоро, за да отстранят тези грешки и да избегнат потенциални заплахи.

Други Уязвимости на VPN инструменти

По-рано този януари Cisco пусна предупреждение за сигурност с висока спешност за потребители, използващи мрежови устройства за сигурност, конфигурирани с WebVPN. Този без клиентски доставчик на VPN услуги получи критичен рейтинг, най-високата аларма в рамките на системата за точкуване на обща уязвимост. Компанията VPN е била уязвима на уеб-базирана мрежова атака, което позволява на атакуващия да заобиколи защитата и да изпълнява команди и да получи пълен контрол над мрежовите устройства. По-късно Cisco издаде корекция, за да поправи тази уязвимост.

Също така, според проучване, проведено от High-Tech Bridge (HTB), девет от десет VPN услуги използват остарели или несигурни технологии за криптиране, като по този начин излагат потребителите на риск. Проучването също така установи, че повечето SSL VPN или използват ненадежден SSL сертификат, или използват уязвими 1024-битови ключове за своите RSA сертификати. Притеснително е също така да научите, че един от десет SSL VPN сървъра все още е уязвим за скандалната Heartbleed, грешка, която позволява на хакерите да извличат данни от паметта на несравними системи.

Това проучване просто показва, че уязвимостите съществуват и във VPN, които по ирония на съдбата са предназначени да ни предпазят от точно тези заплахи.

За да се гарантира вашата онлайн сигурност, е от решаващо значение да се използват надеждни и надеждни VPN услуги . Безплатните VPN услуги могат да ви предоставят основна поверителност, но не сте сигурни дали компанията следи вашите онлайн дейности или не. Безплатните VPN също са склонни към грешки и други проблеми със сигурността.

Най-добрата VPN би инвестирала в усъвършенствани и непроницаеми VPN технологии, за да осигури цялостна защита на своите потребители. Освен използването на силна технология за криптиране, трябва да разгледате и другите функции за сигурност на VPN, като опции за превключване на убийства, функции против изтичане, политики за регистриране, методи за маршрутизиране и други.

Инвестиране в професионална VPN услуга като Outbyte VPN е най-доброто решение, защото предлага 100% онлайн сигурност без проследяване. Outbyte VPN също използва технология за криптиране от военен клас, така че няма съмнение за нейната сигурност.

YouTube Video.: Уязвимости на VPN сигурността, открити в най-добрите VPN услуги

04, 2024