Σε ένα πρόσφατο, λεπτομερές audit ασφαλείας που πραγματοποιήθηκε από την ανεξάρτητη ομάδα ειδικών Cure53, αναδείχθηκαν τέσσερα κενά υψηλής σοβαρότητας (high-severity) στις εφαρμογές της NordVPN. Παρά το γεγονός ότι η NordVPN διαφημίζει έντονα τη σημασία της ασφάλειας και πραγματοποιεί τακτικά ελέγχους (security audits), οι αναλυτές της Cure53 ανακάλυψαν κρίσιμα σημεία τρωτότητας, επιβεβαιώνοντας πως η προσθήκη νέων χαρακτηριστικών σε έναν ήδη δημοφιλή πάροχο VPN μπορεί να ενέχει απρόβλεπτους κινδύνους.
Γενικό πλαίσιο
Το Cure53 Audit έλαβε χώρα στα μέσα του 2024, έπειτα από πρωτοβουλία της NordVPN. Χρησιμοποιήθηκαν μέθοδοι penetration testing και εκτενής έλεγχος πηγαίου κώδικα (source code review) σε mobile, desktop και browser εφαρμογές του παρόχου. Σκοπός ήταν η αξιολόγηση όλων των νέων και υπάρχοντων λειτουργιών, εντοπίζοντας αδυναμίες που θα μπορούσαν να θέσουν σε κίνδυνο τα δεδομένα των χρηστών.
Συνολικά, οι ερευνητές αποκάλυψαν 31 κενά ασφαλείας, από τα οποία τέσσερα χαρακτηρίστηκαν ως υψηλής σοβαρότητας. Όλα αυτά τα κενά επιδιορθώθηκαν μετά από την ενημέρωση της NordVPN, ωστόσο η ύπαρξή τους δείχνει ότι ακόμη και εταιρείες με διαρκή παρουσία στην αγορά των VPN δεν μπορούν να επαναπαύονται.
Αναλυτικά ευρήματα
1. Web Protection Path Leak via Same-Origin Window (NOR-15-001)
Το πρώτο κενό επέτρεπε την παράκαμψη των λειτουργιών malware και ad-blocking, αξιοποιώντας το ίδιο το Same-Origin Policy. Συγκεκριμένα, η φόρτωση ιστότοπων σε νέο παράθυρο, αντί για iframe, μπορούσε να εξαπατήσει το φίλτρο της NordVPN, επιτρέποντας πρόσβαση σε αποκλεισμένες διευθύνσεις.
2. Direct Access to Top-Level Domains Bypasses VPN (NOR-15-006)
Λόγω αδυναμίας στην ταξινόμηση ορισμένων top-level domain ως “private”, κάποια αιτήματα αποστέλλονταν εκτός του προστατευμένου τούνελ (VPN tunnel). Ακόμα και με το kill switch ενεργοποιημένο, συγκεκριμένα domains δεν περνούσαν ποτέ μέσα από την κρυπτογραφημένη σύνδεση, δημιουργώντας κίνδυνο διαρροής δεδομένων.
3. Threat Protection Ignoring WebSocket TLS Validations (NOR-15-007)
Μία σημαντική παράλειψη στις δικλείδες ασφαλείας του Threat Protection είχε ως αποτέλεσμα την ελλιπή επαλήθευση WebSocket TLS certificates. Με αυτό τον τρόπο, θα μπορούσαν να γίνουν εφικτές man-in-the-middle (MitM) επιθέσεις, προσφέροντας σε κακόβουλους παράγοντες τη δυνατότητα υποκλοπής ή αλλοίωσης δεδομένων.
4. NordFileshare Replaceable with a Bind Shell (NOR-15-023)
Μέσα από τη λειτουργία Meshnet, ο επιτιθέμενος – εφόσον εξασφαλίσει φυσική ή τοπική πρόσβαση στη συσκευή – μπορούσε να αντικαταστήσει το εκτελέσιμο nordfileshare με ένα κακόβουλο bind shell. Αυτό θα επέτρεπε την άμεση πρόσβαση στο σύστημα μέσω των ήδη διαμορφωμένων firewall κανόνων της NordVPN.
Πώς αντέδρασε η NordVPN
Σύμφωνα με τη NordVPN, οι παραπάνω ευπάθειες διορθώθηκαν άμεσα, με την Cure53 να επιβεβαιώνει την πλήρη αντιμετώπισή τους. Δεν έχουν αναφερθεί επιβεβαιωμένα περιστατικά κακόβουλης εκμετάλλευσης των συγκεκριμένων κενών, ενώ η εταιρεία προχωρά συστηματικά σε πρόσθετα τεστ ασφάλειας και βελτιώσεις.
Ωστόσο, η αποκάλυψη αυτών των ευπαθειών καταδεικνύει τον διαρκή χαρακτήρα της προσπάθειας που απαιτείται για τη διατήρηση ενός αξιόπιστου και ασφαλούς VPN. Ακόμα και υπηρεσίες με φήμη και συχνούς ελέγχους χρειάζεται να παραμένουν σε εγρήγορση, ειδικά όταν υλοποιούν νέες λειτουργίες που μπορεί να ανοίξουν «παραθυράκια» σε επιθέσεις.
Τι πρέπει να προσέχουν οι χρήστες
- Ενημέρωση Λογισμικού: Το βασικότερο βήμα είναι να διατηρείτε την εφαρμογή NordVPN πάντα ενημερωμένη, αξιοποιώντας τα πιο πρόσφατα patches ασφαλείας.
- Έλεγχος Ρυθμίσεων: Βεβαιωθείτε ότι οι ρυθμίσεις ασφαλείας (firewall, kill switch κ.λπ.) είναι ενεργοποιημένες και ρυθμισμένες ανάλογα με τις ανάγκες σας.
- Επαγρύπνηση για Ειδοποιήσεις: Παρακολουθήστε τα επίσημα κανάλια επικοινωνίας της NordVPN για ανακοινώσεις νέων διορθώσεων ή ενδεχόμενων τρωτοτήτων.
- Τακτικοί Έλεγχοι: Προτού συνδεθείτε σε κρίσιμες υπηρεσίες (internet banking, εταιρικά δίκτυα κ.λπ.), βεβαιωθείτε ότι το VPN λειτουργεί αποτελεσματικά και δεν παρακάμπτεται.
Στο ταχύτατα εξελισσόμενο τοπίο του cybersecurity, η εμπιστοσύνη σε αξιόπιστους auditors, όπως η Cure53, είναι θεμελιώδους σημασίας για την αποτροπή παραβιάσεων που θα μπορούσαν να θέσουν σε κίνδυνο την ιδιωτικότητα και την ασφάλεια των χρηστών.
Πηγές: NordVPN, CyberInsider
