Windscribe VPN hlási veľký problém: Zaistené servery a súkromný kľúč na Ukrajine

Windscribe, VPN služba so sídlom v Kanade, zaznamenala vážne narušenie svojho zabezpečenia. Ukrajinské úrady zaistili servery Windscribe a tiež získali súkromný kľúč Windscribe, ktorý im umožňuje dešifrovať dáta používateľov tejto VPN služby. Zamestnanci Windscribe priznali, že nedokázali správne zašifrovať svoje servery a práve aktualizujú VPN infraštruktúru, aby „dodržiavali osvedčené postupy v odvetví“.

Milióny ľudí na celom svete používajú VPN služby a veria, že VPN podnikla správne kroky na zaistenie bezpečnosti svojich serverov. V niektorých prípadoch však sieť VPN môže stúpiť vedľa a to môže poškodiť alebo ohroziť jeho používateľov. To je aj prípad Windscribe.

Aj keď si môžete myslieť, že zabavenie VPN servera môže byť zničujúce pre súkromie používateľov, nie je tomu tak vždy. Aby sme pochopili prečo, pozrime sa najskôr na niekoľko predchádzajúcich príkladov a potom dôkladne preskúmajme, čo sa stalo u Windscribe.

Keď sú servery zabezpečené, zabavenie servera nie je veľký problém

Priestor VPN pozorne sledujeme už mnoho rokov a videli sme niekoľko prípadov, keď úrady zabavili servery VPN. Ak služba VPN funguje dobre, nemalo by ísť o veľký problém. Nižšie sú dva konkrétne príklady.

Perfect Privacy, švajčiarskej VPN službe, zabavili úrady servery v holandskom Rotterdame. Servery Perfect Privacy boli bezpečne šifrované a neobsahovali žiadne protokoly, čím sa zabránilo odhaleniu akýchkoľvek údajov o zákazníkoch. Perfect Privacy navyše prevádzkuje všetky servery iba v RAM móde bez použitia pevných diskov. To zaisťuje, že na žiadnom VPN serveri nikdy nebudú uložené žiadne údaje o používateľoch a nič nebude k dispozícii pre kohokoľvek, kto sa zmocní servera.

Spoločnosť ExpressVPN so sídlom na Britských panenských ostrovoch mala podobný prípad. Turecké orgány vyšetrovali podozrivého z trestného činu, ktorý podľa nich tiež používal ExpressVPN. Zadržali príslušný server ExpressVPN, ale opäť neboli k dispozícii žiadne protokoly ani údaje. Tento prípad potvrdil tvrdenia ExpressVPN o tom, že neprotokolujú žiadne údaje o aktivitách svojich zákazníkov. Aj ExpressVPN si zobral príklad od Perfect Privacy a všetky svoje servery previedol do RAM módu bez pevných diskov.

S Windscribe to, bohužiaľ, nešlo tak dobre, čo si vyžiadalo zásadnú opravu zabezpečenia, oznámenie auditu a ďalšie aktivity.

Zadržané servery Windscribe, kritické údaje zostali nezašifrované

8. júla Yegor Sak, zakladateľ spoločnosti Windscribe, oznámil na blogu Windsribe, že na „vylepšeniach a zmenách zabezpečenia OpenVPN“ sa pracuje. Článok začína vysvetlením toho, čo sa mení a ako to ovplyvňuje používateľov. Avšak až keď sa v článku dostaneme nižšie, zistíme, prečo sa veci menia.

Tu je úryvok z oznámenia spoločnosti:

24. júna 2021 nás naše monitorovacie systémy upozornili, že dva servery na Ukrajine boli odpojené. Pri spolupráci s našim poskytovateľom týchto serverov sme boli informovaní, že tieto dva servery boli zaistené v rámci vyšetrovania trestnej činnosti, ku ktorej došlo pred 12 mesiacmi. Poskytovateľ hostingu nás neinformoval o predbežnom vypočutí, ktoré sa uskutočnilo začiatkom tohto roka, počas ktorého bol vynesený rozsudok, ktorý zahŕňal aj zaistenie dvoch predmetných serverov.

Je zaujímavé sledovať, ako sa Windscribe pokúšal svoju chybu preniesť na poskytovateľa hostingu, ktorému mohlo byť zakázané odhaliť akékoľvek informácie zo súdneho rozsudku.

Keď čítame ďalej, nachádzame tento alarmujúci citát:

Na diskoch týchto dvoch serverov bol certifikát OpenVPN a jeho privátny kľúč. Máme šifrované servery v lokalitách s vysokou citlivosťou, ale uvedené servery šifrované neboli. Aktuálne plánujeme spraviť zmeny v tejto oblasti.

Toto oznámenie poukazuje na tri zásadné veci:

1. Windscribe si vyberá, ktoré VPN servery sa majú šifrovať a ktoré zostanú nezašifrované a vystavené potenciálnym útokom tretích strán.
2. Spoločnosť nepovažuje Ukrajinu za citlivú krajinu, napriek pretrvávajúcemu konfliktu a nestabilite, ktorú v regióne vládne už od roku 2014.
3. VPN služba funguje mnoho rokov bez základného zabezpečenia serverov, čo samozrejme ohrozuje jej používateľov.

Ako toto narušenie zabezpečenia ovplyvňuje používateľov Windscribe

Najväčším problémom tohto narušenia bezpečnosti Windscribe je, že ukrajinské orgány získali súkromný kľúč Windscribe, ktorý im za určitých podmienok umožňuje dešifrovať VPN prenosy. Ak by sa to stalo, mohli by vidieť, čo robia používatelia Windscribe, keď sú pripojení k ukrajinskému serveru, a tiež zbierať/zaznamenávať tieto údaje.

To opäť ukazuje, že bez riadneho zabezpečenia serverov je súkromie používateľov v ohrození.

Windscribe vo svojom blogovom príspevku vysvetlil, že táto chyba umožňuje ukrajinským orgánom za správnych okolností „vydávať sa za server Windscribe VPN a zachytávať návštevnosť VPN tunela, ktorá ním prechádza“. A hoci existujú určité podmienky, ktoré je potrebné splniť, tento incident predstavuje veľkú ranu pre povesť spoločnosti.

Windscribe plánuje vykonať „nápravné opatrenia“

Blogový príspevok Windscribe tiež uvádza niektoré nápravné opatrenia, ktoré spoločnosť plánuje vykonať:

Na serveroch pracujúcich iba v móde RAM pracujeme už nejaký čas a budujeme novú infraštruktúru.

Pravdou však je, že tieto zmeny neboli aplikované pred zabavením servera ukrajinskými orgánmi. To sa nemalo stať a chápeme, že to poškodzuje dôveru, ktorú ste do nás všetci vložili. Plánujeme rozšíriť náš tím a vybudovať základy, ktoré by nám rýchlejšie umožnili realizovať plánované vylepšenia.

Najlepšie VPN služby bežia iba na bezpečných a šifrovaných serveroch. Tieto popredné VPN služby to robia už roky. V skutočnosti väčšina odporúčaných VPN služieb prevádzkuje celú sieť v RAM móde bez použitia pevných diskov – patria sem napríklad NordVPN, Surfshark či VyprVPN.

Windscribe v reakcii na bezpečnostný incident tiež oznámil ďalšie kroky:

1. Protokol Wireguard má byť použitý ako primárny
2. Vytvorenie odolného autentifikačného backendu
3. Nové funkcie v aplikáciách
4. Realizácia bezpečnostného auditu naprieč sieťou

Dá sa ešte službe Windscribe dôverovať?

Mnoho VPN služieb prechádza turbulenciami. Niektoré to posilní, iné sa neúspešne pokúšajú o návrat. Zaznamenali sme ten istý jav ako nedávno pri LimeVPN, kde bola nabúraná záložná databáza a všetky údaje sa potom predávali na hackerskom fóre.

Existujú tiež prípady narušenia dôvery, pokiaľ ide o denníky a súkromie. Pripomeňme si prípad protokolovania IPVanish, ktorý tvrdil, že majú „nulové záznamy“ pri protokolovaní údajov o používateľoch. Potom však spolupracovali s FBI. To isté sa stalo pri PureVPN, napriek tomu, že bola na druhom konci sveta a nepodliehala jurisdikcii USA.

Je toto porušenie zabezpečenia Windscribe veľkým prekvapením?

Jedným slovom – nie. Ako sme už uviedli v našej recenzii Windscribe, celkovo sa táto VPN služba javí ako neprofesionálna. Niečo ako zákerný tínedžer, ktorý neberie nikoho vážne.

Teraz sa však nesmejú a iba čas ukáže, ako sa tejto VPN bude ďalej dariť a či sa dokáže poučiť zo svojich chýb. Služba Windscribe VPN neprešla našimi testami a jej používanie neodporúčame. Tento incident naše závery iba potvrdzuje.

Existuje mnoho kvalitných VPN služieb, ktorých používanie by ste mali zvážiť. Náš zoznam renomovaných, overených a bezpečných VPN služieb, ktoré prešli našimi testami, nájdete tu.