Ang mga VPN Leaks Natagpuan sa 3 Mga pangunahing VPN sa labas ng … 3 na Nasubukan namin


  • Sinubukan namin ang 3 mga tanyag na VPN: Hotspot Shield, PureVPN, at Zenmate na may mga akreditadong mananaliksik upang malaman kung ang mga VPN ay maaaring tumagas data.

Habang inaasahan naming makahanap ng zero leaks, ikinalulungkot naming natagpuan iyon lahat ng mga ito ay tumagas sensitibong data.

Sa positibong panig, pagkatapos naming makipag-ugnay sa mga VPN vendor, nakita namin ang dalawa ay mabilis na tumugon at naglabas ng isang patch sa loob ng mga araw.

Narito ang isang buod ng aming mga natuklasan

  • Ang Hotspot Shield, PureVPN, at Zenmate VPN lahat ay nagdurusa mula sa mga leaks ng IP.
  • Pinapayagan ng mga leaks ang mga gobyerno, mga samahan ng pagalit, o mga indibidwal na makilala ang aktwal na IP address ng isang gumagamit, kahit na sa paggamit ng mga VPN.
  • Ang pagtulo ni Zenmate ay medyo menor de edad kumpara sa dalawang iba pang mga VPN.
  • Naniniwala kami na ang karamihan sa iba pang mga VPN ay nagdurusa mula sa mga katulad na isyu, kaya ang mabilis na pagtugon ng Hotspot Shield ay isang bagay na sa palagay natin ay nagkakahalaga ng papuri. Nadama namin na nakipagtulungan sila sa aming pangkat ng pananaliksik sa isang mabilis at malubhang paraan at pinangangalagaan nila ang kanilang mga gumagamit. Kinuha nila ang aming pananaliksik bilang tulong para sa pagpapabuti sa halip na pintas.
  • Dahil mas matagal para sa ZenMate at PureVPN na tumugon sa amin, ibinabahagi lamang namin ang impormasyon tungkol sa mga kahinaan na natagpuan at naka-patch sa HotSpot Shield. Pinapayuhan namin ang mga gumagamit ng PureVPN at Zenmate na mag-ingat sa mga leaks na maaaring harapin at suriin sa kanilang mga VPN provider para sa isang agarang pag-aayos.

Ang pangkat ng pananaliksik

Sinupahan ng VpnMentor ang isang koponan ng tatlong panlabas na etikal na hacker upang makahanap ng mga kahinaan sa tatlong random na tanyag na mga VPN.

Habang nais ng isang hacker na panatilihing pribado ang kanyang pagkakakilanlan, ang iba pang dalawa ay kilala bilang File Descriptor at Paulos Yibelo.

File Descriptor ay isang kagalang-galang, etikal na hacker na nagtatrabaho para sa Cure53, ang kumpanya na inupahan ng TunnelBear upang makilala at ayusin ang mga isyu sa kanilang mga aplikasyon ng VPN, at isa sa mga nangungunang kumpanya sa pagsasaliksik ng seguridad.

Paulos Yibelo, na pinamamahalaan din ang koponan, ay isang kagalang-galang na security security application. Natagpuan niya ang mga kahinaan sa mga tanyag na VPN at nai-publish ang mga ito sa nakaraan. Ang kanyang gawain ay nabanggit sa ZDNet, SlashDot, at iba pang mga mapagkukunan ng media.

* Bilang bahagi ng kasunduan sa aming pangkat ng pananaliksik, vpnMentor ay hindi direktang maimpluwensyahan ang pangkat ng pananaliksik o ang isinagawa na pananaliksik.

Mga Vulnerability ng Hotspot Shield

Ito ang mga teknikal na detalye ng mga kahinaan ng Hotspot Shield, na naayos ng lahat ng kumpanya:

Ang lahat ng mga isyu ay nauugnay sa mga script ng PAC at natagpuan sa Chrome plug-in. Ang mga mobile at desktop apps ay hindi apektado ng mga kahinaan na ito.

1. CVE-2018-7879: Mag-Hijack ng lahat ng trapiko

Nakita namin ang sumusunod na script ng PAC na ginamit sa extension ng Hotspot Shield Chome:

gumana ng FindProxyForURL (url, host) {
kung (url.indexOf (‘kumilos = afProxyServerPing’)! = -1) {
hayaan ang pares = url.match (/ act = afProxyServerPing&server = ([^&] +) /);
kung (pares && naka-parse [1]) bumalik ‘https’ + parisan ng [1] + ‘: 443; DIREAK; ‘;
}

Nakita nito kung ang kasalukuyang URL ay may gawaing query sa query na aksyon = afProxyServerPing, at kung ginagawa nito, ruta ang lahat ng trapiko sa proxy hostname na ibinigay ng parameter ng server.

Hostpot Sheild Proxy Hijack

Ito ay isang resulta ng pag-hijack ng proxy.

Habang naniniwala kami na ito ay para sa panloob na paggamit, nabigo itong patunayan kung ano ang ginagawa ng host na “tawag” na ito. Samakatuwid ang anumang mga URL na may mga nabanggit na mga parameter ay mapapasa ang trapiko sa tinukoy na proxy.

Ang problema sa ito ay ang isang nakakahamak na kaaway ay maaaring hilingin lamang sa isang biktima na bisitahin ang isang link sa mga parameter na iyon, at ang lahat ng trapiko ay pupunta sa proxy server ng isang umaatake. Mas malala kung ang koneksyon ay nasa HTTP.

2. Tumagas ang CVE-2018-7878 DNS

Nakita namin ang sumusunod na script ng PAC:

hayaan ang ip = dnsResolve (host);

Nangangahulugan ito na ang dnsResolve ay gagawa ng kahilingan sa DNS sa pamamagitan ng system DNS. Ito ay mahalagang pagtulo ng DNS, dahil ang proxy ay itinalaga lamang pagkatapos ng lahat ng mga kondisyong iyon.

Paano natin ito patunayan?

Ang isang simpleng tseke sa https://www.dnsleaktest.com/ ay nagpapakita ng iyong DNS server. Ipinapakita ng halimbawang ito ang pagtagas na nahanap namin sa HotSpot Shield.

Ang aming pagtagas na natagpuan namin sa HotSpot Shield sa extension ng Chrome

Pansinin, maaaring mabasa ng anumang site ang server ng DNS na ginagamit ng gumagamit (samakatuwid, pagtagas sa iyong bansa at iba pang mahahalagang impormasyon). Ang site na ito ay isang tool lamang upang matulungan kang suriin iyon.

3. Tumagas ang CVE-2018-7880 IP

Nakita namin ang sumusunod na script ng PAC:

hayaang maputiList = /localhost|accounts\.google|google\-analytics\.com|chrome\-signin|freegeoip\.net|event\.shelljacket|chrome\.google|box\.anchorfree|googleapis|127\.0 \ .0 \ .1 | hsselite | firebaseio | amazonaws \ .com | shelljacket \ .us | colorsand \ .us | ratehike \ .us | pixel \ .quantserve \ .com | googleusercontent \ .com | easylist \ -downloads \. adblockplus \ .org | hotspotshield | kumuha \ .betternet \ .co | betternet \ .co | suporta \ .hotspotshield \ .com | geo \ .mydati \ .com | control \ .kochava \ .com /; kung (isPlainHostName (host. ) || shExpMatch (host, ‘* .local’) || isInNet (ip, ’10 .0.0.0 ‘,’ 255.0.0.0 ‘) || isInNet (ip,’ 172.16.0.0 ‘,’ 255.240.0.0 ‘) | | isInNet (ip, ‘192.168.0.0’, ‘255.255.0.0’) || isInNet (ip, ‘173.37.0.0’, ‘255.255.0.0’) || isInNet (ip, ‘127.0.0.0’, ‘255.255. 255.0 ‘) ||! Url.match (/ ^ https? /) || whiteList.test (host) || url.indexOf (‘ type = a1fproxyspeedtest ‘)! = -1) bumalik’ DIRECT ‘;

Ang nahanap namin ay ang whitelist para sa DIRECT connection ay sobrang maluwag.

Narito ang dalawang halimbawa na natagpuan namin:

  1. Ang anumang domain na may localhost ay makalalampas sa proxy, hal. localhost.foo.bar.com
  2. Anumang URL na may type = a1fproxyspeedtest ay makalalampas sa proxy

Paano natin ito patunayan?

Nagpunta kami sa site na ito gamit ang hindi ipinadala na bersyon ng Hotspot Shield, at ang aming aktwal na IP ay naitala.

Ang Hotspot Shield IP ay tumagas

Ang aming IP address ay ipinahayag noong sinubukan namin ito.

Nangangahulugan ito na kapag nakikita ang Hotspot Shield ang parameter a1fproxyspeedtest sa anumang URL, ruta ito lahat ng trapiko sa proxy hostname na ibinigay ng parameter ng server. Samakatuwid, kung ang isang hacker ay nagre-redirect sa isang taong gumagamit ng HSS sa https://example.com/?act=afProxyServerPing&server = mywebsite.com, ang website na iyon ay makakakuha ng isang hit mula sa aktwal na IP address ng gumagamit.

Natagpuan namin ang mga katulad na kahinaan sa Zenmate VPN at PureVPN. Habang na-update na ng Hotspot Shield ang kanilang serbisyo sa isang patch, inaasahan namin na ito ay mag-udyok sa iba pang mga VPN na gawin ang pareho.

Karagdagang pananaliksik sa ZenMate at PureVPN

Ang pagtulo ng webRTC ng ZenMate

Ang isang simpleng tseke ay natukoy na ang VM ng VM ay tumagas sa aming lokasyon.

Tumagas ang PureVPN

Ang pagbisita sa isang website gamit ang Firefox browser ay nagsiwalat ng aming IP address sa PureVPN.

Hindi namin susuriin ang detalye tungkol sa mga kahinaan ng PureVPN at ZenMate (mangyaring tingnan ang bawat tugon ng VPN sa ibaba). Habang hindi sila katulad ng mga kahinaan ng HotSpot Shield, pareho sila.

Mga tugon ng VPN

Hotspot Shield:

Matapos ayusin ang mga kahinaan, ang Hotspot Shield ay nakipag-ugnay sa vpnMentor sa mensaheng ito.

“Ang mga mananaliksik na upahan ng vpnMentor ay hindi nakakahanap ng mga kahinaan sa mga mobile o desktop na bersyon ng Hotspot Shield. Ang mga kahinaan na iniulat nila naroroon lamang sa libreng plugin ng Chrome. Ni ang mga gumagamit ng mobile o desktop ng Hotspot Shield app ay apektado ng mga kahinaan na ito. Pinahahalagahan namin at pinupuri ang inisyatiba ng vpnMentor upang mapagbuti ang seguridad ng mga aplikasyon ng VPN ng mga mamimili, at inaasahan na makitang mas maraming pananaliksik mula sa kanilang panig na kinasasangkutan ng mas maraming mga produkto ng VPN sa malapit na hinaharap. “

Zenmate:

“Nais kong bigyan ka ng higit pang background sa mga isyu sa seguridad na vpnMentor na natagpuan sa extension ng browser ng ZenMate. Pinahahalagahan namin ang gawain mula sa vpnMentor sa pagturo ng mga potensyal na problema dahil ang seguridad at privacy ng aming mga gumagamit ay napakahalaga sa amin at naglalagay kami ng maraming pagsisikap upang maprotektahan iyon. Sa katunayan, kami ay isa sa napakakaunting komersyal na kumpanya ng VPN na nagpapatakbo sa ilalim ng mahigpit na mga batas sa privacy ng Aleman at hindi sinusubaybayan, mag-log o nagbebenta ng data ng aming mga gumagamit, kumpara sa maraming iba pang mga kumpanya sa larangan na ito.

Nalalaman namin ang sitwasyong iyon mula nang ipakilala ng Google ang WebRTC sa browser ng Chrome at sa katotohanan na may mga posibleng implikasyon sa privacy ng WebRTC dahil sila ay generic sa bawat VPN at hindi lamang nakakaapekto sa mga gumagamit ng ZenMate. Bilang karagdagan, kami ay napaka-transparent at bukas sa pakikipag-usap sa na: Mayroon kaming isang artikulo ng suporta (https://zenguard.zendesk.com/hc/en-us/articles/201259661-How-can-I-protect-myself- mula sa-IP-leaks-sanhi-by-Flash-o-WebRTC-) na nagpapaliwanag sa isyung ito at sinabi rin sa gumagamit kung ano ang gagawin upang maiwasan ang mga leaks ng IP (halimbawa na mai-install ang extension ng WebRTC Leak Prevent). Bukod dito, binabanggit din namin na sa paglalarawan ng pagpapalawak sa Google Chrome Webstore.

Ang isa sa mga kadahilanan kung bakit nagpasya kaming hindi hadlangan na sa aming extension tulad ng ginagawa ng ilan sa aming mga kakumpitensya ay na mayroong ilang mga webservice out doon na umaasa sa WebRTC. Ang WebRTC ay isang kumplikadong bagay at pinapagana lamang ito nang hindi tinuturuan ang gumagamit sa mga posibleng pagbagsak sa kasamaang palad ay hindi isang pagpipilian para sa amin, dahil nagtatagumpay kaming magbigay ng pinakamahusay na karanasan sa gumagamit na posible sa aming mga produkto. Maraming mga serbisyo ang umaasa sa komunikasyon ng realtime ng P2P upang gumana nang maayos, hal. Ang Google Hangout ay titigil sa pagtatrabaho kung ang WebRTC ay hindi paganahin.

Upang malutas agad ang isyu na iyon para sa aming mga gumagamit ay iminumungkahi namin na mai-install ang extension ng WebRTC Network Limiter (https://chrome.google.com/webstore/detail/webrtc-network-limiter/npeicpdbkakmehahjeeohfdhnlpdklia?hl=de&) at piliin ang ika-4 na pagpipilian (tingnan ang nakalakip na larawan). Gayunpaman, naunawaan namin na maaaring hindi ito malinaw na malinaw at kasalukuyang nagtatrabaho sa isang nakatuong bagong produkto upang partikular na maprotektahan laban sa posibleng mga isyu sa pagkapribado sa WebRTC sa isang bagong paraan na madaling gamitin. Ang bagong produktong ito ay isusulong sa pamamagitan ng aming extension ng VPN tuwing ginagamit ang WebRTC at magkakaugnay sa aming alok ng VPN sa isang walang putol na paraan. “

PureVPN:

“Sa pagpapatuloy ng aming komunikasyon tungkol sa artikulo na kamakailan na nai-publish sa vpnMentor patungkol sa mga VPN na tumutulo sa mga IP ng mga gumagamit, na-update ko sa iyo ang aming paninindigan dito.

Ang browser ng Firefox, bilang default, ay may isang likas na limitasyon kung saan ginagawa nitong halos imposible upang makilala at makilala ang mga malayuang at lokal na host. Ang aming hangarin ay pahintulutan ang mga gumagamit ng kalayaan na ma-access ang lahat ng mga lokal na domain habang ginagamit ang aming extension.

Sigurado ako na ang mga pagsubok na iyong isinagawa ay hindi sa pinakabagong build, dahil na-patch ito.

Malinaw na ipinapakita ng tindahan ng Firefox na ang aming extension ay huling na-update noong Marso 07, 2018, at kasama sa pag-update na ito ang pag-aayos para sa nabanggit na isyu. “

Ano ang ibig sabihin nito sa isang gumagamit ng VPN?

Ang mga VPN ay hindi ligtas na maaaring isipin ng marami.

Ang katotohanan na natagpuan namin ang mga tagas sa lahat ng mga VPN na nasubukan namin ay nag-aalala.

Ang aming hulaan ay ang karamihan sa mga VPN ay may magkakatulad na pagtagas at dapat isaalang-alang ng mga gumagamit kapag gumagamit ng mga VPN. Kung gumagamit ka ng Hotspot Shield o PureVPN user siguraduhing na-update mo ang iyong app. Kung ikaw ay gumagamit ng Zenmate, tiyaking alam mo ang kahinaan (menor de edad) na kahinaan na aming ipinahiwatig at sundin ang mga tagubilin ni Zenmate.

Ibahagi ang mga resulta sa Facebook o tweet tungkol dito.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map