Фиаско със 7 VPN услуги, които записват активността на потребителите

Един отворен сървър изброява имена, пароли, имейл адреси и домашни адреси на потребители от различни базирани в Хонконг VPN услуги.

Σспоред неговите изследователи по сигурността vpnMentor, е установено, че седем VPN услуги, които твърдят, че никога не записват потребителска активност, правят точно това - и изтичат тази информация онлайн.

По-рано този месец, vpnMentor Той откри един отворен сървър, който съдържа потребителска информация за седем различни VPN услуги, базирани в Хонг Конг, включително UFO VPN, бърз VPN и безплатен VPN.

Общо сървърът съдържаше 1,2 TB данни, включително имена, пароли, имейл адреси и домашни адреси за много потребители. Но наистина обезпокоителното откритие бяха съхранените дневници на дейността, които могат да разкрият кои сайтове посещават потребителите и чрез кои потребителски идентификатори, IP адреси и устройства.

Това е възхитително събитие, тъй като повечето абонати на VPN го правят, за да защитят поверителността си. Откритият сървър обаче даде на почти всеки лесен начин за проследяване на активността на до 20 милиона потребители.

Всички засегнати доставчици твърдят, че предлагат "нерегистрирани" VPN услуги, което означава, че никога не записват подробности за активността на потребителите. Откритият сървър обаче показва, че това не е така. VpnMentor заяви: „В някои случаи потребителите са посещавали незаконни уебсайтове в страни, където показването на такова съдържание е забранено и наказуемо.“

Според разследването, откритият сървър изглежда принадлежи на компания, която предлага VPN услуги със 7 различни имена. VpnMentor се свърза със засегнатите доставчици на 5 юли, но в крайна сметка трябваше да отиде на 15 юли, докато откритият сървър не бъде защитен.

НЛО VPN каза на следователите: "Поради промени в персонала поради COVID-19, не открихме незабавно грешки в правилата на защитната стена на сървъра, което може да доведе до потенциален риск от нарушение. Но сега е коригирано.” UFO VPN също така заяви, че цялата информация на сървъра е „анонимна“ и просто се използва за анализиране на производителността на мрежата на потребителите.

VpnMentor казва, че това не е така. За да проверят констатациите си, изследователите тестваха приложението UFO VPN и забелязаха, че дневниците за потребителска активност се появяват на открития сървър в реално време. Самите те заявиха: „Освен това можехме ясно да видим потребителското име и паролата, които използвахме, за да създадем нашия акаунт, които бяха съхранени в регистрационните файлове като чист текст."

Инцидентът подчертава, че някои доставчици на VPN са просто измамници. Изследователят по сигурността Кенет Уайт туитира тойУрок: Комерсиалните VPN услуги лъжат. Много лъжи."

VPN услугата „без регистриране“ имаше милиони потребителски регистрационни файлове, изложени на отворен сървър на Elasticsearch, включително пароли в обикновен текст, гео и IP адреси и отне 2+ седмици, за да се затвори след уведомяване.

Урок: Комерсиалните VPN услуги лъжат. Много.

- Кен Уайт (@kennwhite) Юли 16, 2020

Ако се абонирате за UFO VPN или другите шест доставчици, ви предлагаме да намерите по-добра алтернатива. Освен това някои доставчици на VPN са преминали през проверка на сигурността, за да покажат, че са приложили политиката „без регистриране“. други сътрудничат в „инициатива за доверие“, за да се гарантира, че VPN индустрията използва най-добрите практики за сигурността и поверителността на своите потребители.

източник