Популярный VPN-провайдер NordVPN, который обещает «защитить вашу конфиденциальность в интернете», подтвердил факт взлома внутренней сети больше года назад. Компания призналась в этом после появления слухов, а затем неопровержимых доказательств: на 8chan выложили секретный ключ шифрования NordVPN с истёкшим сроком действия (копия в Web Archive) и логи рутового доступа к NordVPN. Теоретически, с таким ключом кто угодно может поднять свой сервер NordVPN.Представители NordVPN пояснили, что взлом произошёл в марте 2018 года: «Произошёл несанкционированный доступ в один из центров обработки данных в Финляндии, где мы арендуем серверы», — сказала представитель NordVPN Лаура Тирелл (Laura Tyrell).
Компания узнала о нарушении «несколько месяцев назад», но до сегодняшнего дня не раскрывала информацию, потому что «хотела быть на 100% уверенной, что каждый компонент в нашей инфраструктуре безопасен».
Злоумышленник получил доступ к серверу, используя небезопасную систему удалённого управления от поставщика центра обработки данных. NordVPN говорит, что не знала о существовании такой системы. Компания также не называет конкретный дата-центр.
В последнее время VPN-провайдеры становятся всё более популярными, поскольку позволяют спрятать трафик от интернет-провайдера и других субъектов MitM, при этом позволяют обходить блокировки на национальном уровне и получать доступ к сервисам, которые работают только на территории определённых стран (по GeoIP).
VPN-провайдер направляет ваш трафик через зашифрованный канал, так что внешний наблюдатель не может проанализировать пакеты. Но часто это означает сохранение истории просмотра у VPN-провайдера. Со своей стороны, NordVPN заявила о политике «нулевых логов». «Мы не отслеживаем, не собираем и не передаём ваши личные данные», — обещает компания.
«Сам сервер не содержал никаких журналов активности пользователей; ни одно из наших приложений не отправляет созданные пользователем учётные данные для аутентификации, поэтому имена пользователей и пароли также не могли быть перехвачены, — сказал пресс-секретарь. — В то же время единственным возможным способом злоупотребления было выполнение персонализированной и сложной атаки man-in-the-middle для перехвата одного соединения, которое пыталось получить доступ к NordVPN».
По словам пресс-секретаря, утёкший закрытый ключ нельзя было использовать для расшифровки трафика VPN на каком-то другом сервере.
По мнению независимых специалистов, факты проникновения во внутреннюю сеть и утечки секретного ключа говорят о полной удалённой компрометации систем этого поставщика: «Это должно глубоко волновать всех, кто использует или продвигает конкретные услуги [VPN]».
Представители NordVPN подчеркнули, что взломан только один сервер, а остальные не пострадали. Исследователь безопасности в комментарии TechCrunch ответил на это, что NordVPN игнорирует главную проблему возможного доступа злоумышленника через сеть: «Твою машину только что угнали, а ты придираешься, какие кнопки нажимали на радио?»
NordVPN уверяет, что у них установлена качественная система обнаружения вторжений, но «никто не мог знать о секретной системе удалённого управления, оставленной поставщиком [центра обработки данных]».
Есть информация, что кроме NordVPN пострадали несколько других VPN-провайдеров, а именно TorGuard и VikingVPN.
