Gadgetshowto
Å bruke en VPN er timens behov hvis du bor i en verden der hver online aktivitet blir sporet, overvåket og tilgang er kontrollert av myndigheter og selskaper. Men hva skjer når selve VPN-en lekker dataene den skal beskytte?
Vel, det er spørsmålet som stirrer på oss i dag med nyheten om en alvorlig sårbarhet i HotSpot Shield VPN som brukes av mer enn 500 millioner mennesker over hele verden..
Sårbarheten som er oppført som CVE-2018-6460 på National Vulnerability Database i USA, lar hackere samle inn informasjon om brukerens systemer som HotSpot Shield VPN kjører på. Feilen lar også hackere finne når brukeren kobler seg til VPN og avslører til og med plasseringen til brukeren som fullstendig ødelegger formålet med å bruke en VPN.
Feilen ble først funnet av sikkerhetsforsker og penetrasjonstester Paulos Yibelo, som i et blogginnlegg detaljerte sårbarhetens egenskaper. I blogginnlegget skrev Paulos Yibelo det,
"Mens jeg analyserte denne applikasjonen, la jeg merke til at den var full av feil som tillater avsløring av sensitiv informasjon og enkelt kompromiss."
Videre tar han et dypdykk i det tekniske aspektet av feilen:
“Hotspot Shield kjører sin egen webserver for å kommunisere med sin egen VPN-klient når den er slått på. Serveren kjører på en hardkodet vert 127.0.0.1 og port 895. Den er vert for sensitive JSONP-endepunkter som returnerer flere interessante verdier og konfigurasjonsdata. “
Ifølge Paulos genererer dette et JSON-svar med detaljer om brukeren, VPN-tjenesten som brukes, den virkelige IP-adressen og annen systeminformasjon.
AnchorFree som er morselskapet til HotSpot Shield VPN svarte med å si at sårbarheten ikke avslører noen IP-informasjon. Imidlertid i en uttalelse gitt til ZDNet av Tim Tsoriev, VP for AnchorFree, aksepterte at sårbarheten eksisterer og kan avsløre generisk informasjon.
Det er fremdeles uklart hvor dypt dette sikkerhetsproblemet påvirker de nåværende brukerne av HotSpot Shield VPN, som sa at til selskapet utgir en løsning, ville det være bedre om brukerne slutter å bruke VPN av sikkerhetshensyn.
