Взлом системы безопасности Windscribe VPN: Изъяты серверы и получен закрытый ключ

Читать статью далее......

Настоящая безопасность сервера
Вы можете подумать, что ихъятие VPN-сервера может иметь разрушительные последствия для конфиденциальности пользователей, однако, это не всегда так.
Нам известно несколько случаев, когда власти конфисковали серверы, однако данные "захваты" серверов пагубно никак не сказывались на конфиденциальности пользователей. Вспомним несколько таких случаев:
Серверы Perfect Privacy, швейцарского VPN сервиса, расположенные в Нидерландах были конфискованы властями. Серверы Perfect Privacy были надежно зашифрованы и не содержали никаких журналов, что предотвращало раскрытие каких-либо данных клиентов. Кроме того, Perfect Privacy запускает все серверы только в оперативной памяти, без жестких дисков. Это гарантирует, что никакие пользовательские данные никогда не могут быть сохранены на каком-либо сервере VPN, и соответственно те, кто захватывают серверы не получат никакой интересной для них информации.
Аналогичный инцидент произошел с ExpressVPN, который базируется на Британских Виргинских островах. Власти Турции вели расследование в отношении подозреваемого в совершении преступления, который, по их мнению, также использовал ExpressVPN. Они конфисковали рассматриваемый сервер ExpressVPN, но, опять же, не было никаких журналов или данных. Этот случай подтвердил заявления ExpressVPN об отсутствии журналов, и они даже последовали примеру Perfect Privacy и перешли на использование RAM-дисков без использования жестких дисков.
К сожалению, в инциденте с Windscribe VPN ситуация обстоит не так хорошо, что в свою очередь потребовало капитального ремонта системы безопасности, объявления аудита и многого другого.
Серверы Windscribe изъяты, критические данные были незашифрованными
8 июля Егор Сак, основатель Windscribe, сообщил в блоге Windsribe, что в разработке находятся «Улучшения и изменения безопасности OpenVPN». Статья начинается с объяснения того, что меняется и как это влияет на пользователей. Однако если углубиться в чтение статьи, то станет понятно почему они взялись за улучшения.
24 июня 2021 года наши системы мониторинга сообщили нам, что два сервера в Украине отключились. При взаимодействии с нашим поставщиком этих серверов мы были проинформированы о том, что эти два сервера были конфискованы в рамках расследования деятельности, имевшей место еще 12 месяцев назад. Хостинг-провайдер не сообщил нам о предварительном слушании, которое состоялось в начале этого года, в ходе которого было вынесено решение об аресте двух рассматриваемых серверов.
Интересно наблюдать, как Windscribe пытается возложить вину на хостинг-провайдера, которому, возможно, запретили раскрывать какую-либо информацию по решению суда. Но мы также видим, почему Windscribe это делает. Если бы они были уведомлены о ситуации, они могли бы обеспечить шифрование и безопасность своих серверов.
Windscribe не следовала «лучшим отраслевым практикам» и это признает основатель сервиса.
Читая дальше, мы находим следующую тревожную цитату:
На диске этих двух серверов был сертификат сервера OpenVPN и его закрытый ключ. Хотя у нас есть зашифрованные серверы в регионах с высокой степенью защиты, на этих серверах был установлен устаревший стек и они не были зашифрованы. В настоящее время мы принимаем план решения этой проблемы.**************************************Это сообщение весьма показательно, поскольку указывает на то, что:
Windscribe выбирает, какие серверы VPN зашифровать, а какие оставить незашифрованными и открытыми для случайных третьих лиц.
Windscribe не считает Украину уязвимой страной, несмотря на продолжающийся конфликт и нестабильность, которые мы наблюдаем в регионе с 2014 года.
Это также указывает на то, что Windscribe много лет работает без базовой защиты сервера, чем подвергает риску пользователей Windscribe.
Как это нарушение безопасности влияет на пользователей Windscribe
Самая большая проблема этого нарушения безопасности Windscribe заключается в том, что украинские власти получили закрытый ключ Windscribe , который позволяет им расшифровывать трафик VPN при определенных условиях. Если бы это произошло, они могли бы видеть, что делали пользователи Windscribe при подключении к украинскому серверу, а также собирать / регистрировать эти данные.
В блоге Windscribe, в описании данного случая описаны 4 условия, при соблюдении которых, люди захватившие серверы смогут получить доступ к конфиденциальным данным пользователей.
Злоумышленник контролирует вашу сеть и может перехватывать все коммуникации (привилегированная позиция для атаки MITM )
Вы используете устаревший DNS-преобразователь (устаревший DNS-трафик не зашифрован и подлежит MITM)
Злоумышленник имеет возможность манипулировать вашими незашифрованными DNS-запросами (DNS-записи, используемые для выбора IP-адреса одного из наших серверов).
Вы НЕ используете наши приложения Windscribe (наши приложения подключаются через IP, а не через записи DNS)
И хотя существуют определенные условия, которые необходимо выполнить для захвата трафика, этот инцидент наносит серьезный удар по репутации Windscribe.

• Windscribe планирует предпринять «корректирующие действия»
  Сообщение в блоге Windscribe также подробно описывает некоторые корректирующие действия, которые они планируют предпринять.
  
• Windscribe, аналогично другим VPN-сервисам планируют перейти на использование только оперативной памяти для работы с данными, исключив жесткий диск.
  
• Простая правда заключается в том, что этих мер предосторожности не было, когда произошла конфискация сервера. Этого не должно было случиться, и мы понимаем, что это подрывает доверие, которое вы все нам оказали. Планы по обновлению нашего серверного стека были отложены, чтобы мы могли расширить нашу команду и заложить фундамент, который позволил бы нам выполнить запланированные улучшения.**************************************Компания Windscribe также объявила о дополнительных действиях в ответ на данный инцидент:
  
• Wireguard в качестве основного протокола (у него есть как плюсы так и минусы).
  
• Бэкэнд отказоустойчивой аутентификации
  
• Новые возможности приложения
  
• Аудит безопасности
  
• История непрофессионализма
  
• Нарушение безопасности серверов Windscribe стало большим сюрпризом? Не совсем. Windscribe производит впечатление непрофессионального, язвительного подростка, который никого не воспринимает всерьез. Помните их язвительные шутки, которые они присылали на электронную почту?**************************************Они больше не смеются.
  Время покажет, как быстро им удастся оправиться от своих ошибок.
  А вы доверяете конфиденциальные данные VPN-сервисам?