乌克兰当局扣押的 Windscribe VPN 服务器未加密

隐私工具销售商 Windscribe 表示,它未能加密最近被乌克兰当局没收的公司 VPN 服务器,这一失误使当局有可能冒充 Windscribe 服务器并捕获和解密通过它们的流量。

这家总部位于加拿大安大略省的公司本月早些时候表示,作为对一年前发生的活动进行调查的一部分,在乌克兰托管的两台服务器被查封。运行OpenVPN虚拟专用网络软件的服务器还被配置为使用在 2018 年被弃用的设置,因为安全研究揭示了可能允许攻击者解密数据的漏洞。

“在这两台服务器的磁盘上有一个 OpenVPN 服务器证书及其私钥,”一位 Windscribe 代表在 7 月 8 日的帖子中写道。“虽然我们在高敏感地区有加密服务器,但有问题的服务器运行的是遗留堆栈并且没有加密。我们目前正在制定解决这个问题的计划。”

担保被否定

Windscribe 的承认强调了近年来 VPN 服务爆炸式增长所带来的风险,其中许多来自以前很少有人听说过的企业。人们使用 VPN 将所有互联网流量集中到一个加密隧道中,以防止连接到同一网络的人能够读取或篡改数据或检测通信双方的 IP 地址。VPN 服务然后解密流量并将其发送到其最终目的地。

由于未能遵循标准的行业惯例,Windscribe 在很大程度上否定了这些安全保证。虽然该公司试图通过列出攻击者必须满足才能成功的要求来淡化影响,但这些条件正是 VPN 旨在防止的条件。Windscribe 说,具体而言,条件和潜在后果是:

  • 攻击者可以控制您的网络并可以拦截所有通信(MITM 攻击的特权位置 )
  • 您使用的是旧版 DNS 解析器(旧版 DNS 流量未加密且受 MITM 约束)
  • 攻击者有能力操纵您未加密的 DNS 查询(用于选择我们其中一台服务器的 IP 地址的 DNS 条目)
  • 您 没有 使用我们的 Windscribe 应用程序(我们的应用程序通过 IP 而不是 DNS 条目连接)

如果上述所有条件都为真,则对用户的潜在影响 :

  • 攻击者将能够看到您的 VPN 隧道内未加密的流量
  • HTTPS 网络流量或加密消息服务等加密对话不会受到影响
  • 攻击者将能够看到流量的来源和目的地

重要的是要记住:

  • 大多数互联网流量在您的 VPN 隧道内加密 (HTTPS)
  • 由于 PFS(完美前向保密),即使拥有服务器的私钥,也不会对历史流量进行解密,因此没有历史流量处于危险之中
  • 我们的服务器支持的其他协议不受影响,只有 OpenVPN

晚了三年

除了缺乏加密外,该公司还使用数据压缩来提高网络性能。在拉斯维加斯举行的 2018 年黑帽安全会议上发表的研究报告披露了一种称为 Voracle 的攻击,该攻击使用压缩过程中留下的线索来解密受基于 OpenVPN 的 VPN 保护的数据。几个月后,OpenVPN弃用了该功能。

这家隐私工具制造商表示,它正在彻底改革其 VPN 产品,以提供更好的安全性。变化包括:

  • 停止使用其当前的 OpenVPN 证书颁发机构,转而采用“遵循行业最佳实践,包括使用中间证书颁发机构 (CA)”的新证书颁发机构
  • 将所有服务器转换为没有硬盘支持的内存服务器。这意味着机器包含或生成的任何数据都仅存在于 RAM 中,一旦机器关闭或重新启动就无法访问
  • 实现 Wireguard 的分叉版本作为主要 VPN 协议。
  • 部署“弹性身份验证后端”以允许 VPN 服务器运行,即使核心基础设施完全中断。
  • 启用新的应用程序功能,例如无需断开连接即可更改 IP 地址的能力、请求特定的静态 IP,以及“未存储在任何数据库中的多跳客户端 ROBERT 规则”。

在一封电子邮件中,Windscribe 董事 Yegor Sak 详细介绍了他的公司正在采取的步骤。它们包括:

  • 服务器功能所需的所有密钥不再永久存储在我们的任何服务器上,并在它们投入运行后仅存在于内存中
  • 所有服务器都有独一无二的短期证书和由我们的新 CA 生成的密钥,这些证书和密钥是轮换的
  • 每个服务器证书都有唯一标识的Common Name + SANs
  • 新的 OpenVPN 客户端配置使用唯一的通用名称强制执行服务器证书 X509 名称验证。

他对这次失误异常坦率,写道:

与此同时,我们不会为这种疏忽找借口。本应采取的安全措施却没有。在进行威胁评估后,我们认为我们文章中处理和描述的方式是最好的前进方式。它影响了尽可能少的用户,同时透明地解决了由缉获导致的不太可能的假设情况。没有用户数据曾经或面临风险(利用密钥的攻击向量要求攻击者完全控制受害者的网络,并满足上述文章中概述的几个先决条件)。概述的假设情况不再可利用,因为最终的 CA 日落过程已于上周 7 月 20 日完成。

目前尚不清楚该服务有多少活跃用户。然而,该公司的Android 应用程序列出了超过 500 万次安装,这表明用户群可能很大。

没收 Windscribe 服务器凸显了该公司未能遵循的基本 VPN 安全卫生的重要性。这反过来又强调了当人们依赖鲜为人知或未经测试的服务来保护他们的互联网使用免受窥探时所带来的风险。

以上信息为机翻内容,可能存在翻译错误,如果感兴趣,可以阅读原文(英语):arstechnica

已邀请:

白夜行 【熟练级】 - 我的世界里从来没有过太阳,因此而不畏黑夜。

赞同来自: Barry

https://playbeasts.com/article/162

fuckccp 【新手级】

果然vpn還是選擇ram server更安全

要回复问题请先登录注册