Etiqueta: TorGuard

Violación de datos de VPN de NordVPN y TorGuard: lo que necesita saber | Max Eddy


OpinionesDespués de la revelación de violaciones de seguridad significativas en NordVPN y TorGuard VPN, reducimos el puntaje de NordVPN, un antiguo servicio VPN Editors 'Choice de cinco estrellas. Ahora es un servicio de cuatro estrellas y conservará por el momento su Premio Editors Choice. TorGuard conservará su calificación de cuatro estrellas. Explicaré por qué, con lo que sucedió, a continuación.

La historia comienza hace meses en el tablero de mensajes anónimo, 8chan, donde un usuario se jactó de haber comprometido NordVPN, TorGuard VPN y un servicio que no analizamos, llamado VikingVPN . Los meses pasaron desapercibidos hasta el 20 de octubre, cuando una tormenta en Twitter sacó a la luz los cargos contra las empresas. Fue en este punto cuando descubrí el incidente.

He aprendido, como todos los demás, que en el caso de NordVPN y TorGuard VPN, alguien había logrado acceder a los servidores VPN alquilados por las compañías. NordVPN y TorGuard tienen declaraciones publicadas que describen el ataque. VikingVPN no ha actualizado su blog durante algún tiempo y han pasado casi dos años desde que su cuenta de Twitter está activa.

Como crítico, odio los días como hoy, y no solo porque tuve que leer publicaciones realmente feas en 8chan para descubrir el origen de esta historia. En particular, odio esta situación porque plantea preguntas muy difíciles que no proporcionan respuestas particularmente satisfactorias.

Preguntas como: ¿Es justo penalizar a una empresa por participar en un ataque? Otra compañía puede tener prácticas de seguridad terribles, pero simplemente no ha sido atacada. ¿Debo comparar las respuestas de una empresa con las de otra y elegir un ganador? Esto no es justo, porque la suerte ciega podría haber sido un factor en estos resultados. ¿Cómo puedo creer todo lo que se dice, ya que las compañías involucradas tienen una poderosa motivación financiera para dar el mejor efecto posible en la situación? Esta es una situación particularmente dolorosa en el sector de redes VPN, que tiene una historia lamentable de artimañas.

Tengo la suerte de que los lectores de PCMag confíen en mis críticos y sé que tengo una responsabilidad especial en la evaluación de los productos de seguridad y privacidad. Estos productos están destinados a proteger a las personas y, cuando fallan, son peores que las malas compras: ponen a las personas en riesgo. Dicho esto, resumiré lo que entiendo sobre las violaciones y explicaré cómo PCMag tomó nuestra decisión con respecto a los puntajes de estas dos VPN.

¿Cuántas de estas violaciones se han cometido?

Según la declaración de NordVPN, un atacante tuvo acceso a su servidor en Finlandia en marzo de 2018 utilizando una función de acceso remoto que se dejó en el servidor. El servidor fue alquilado por NordVPN, pero administrado por una empresa de terceros. NordVPN afirma que la compañía de servidores ha sido negligente en la administración de sus herramientas de acceso remoto. TorGuard no ha revelado el método exacto utilizado para acceder a su servidor, pero los eventos parecen estar relacionados.

NordVPN indica que el atacante podría capturar la clave de seguridad de la capa de transporte utilizada para verificar que NordVPN gestione realmente un sitio. TorGuard declaró que administra sus claves de CA para que no se almacenen directamente en el servidor. Las dos compañías dijeron que ya se habían dado cuenta de la intrusión en sus servidores y que ya habían tomado medidas para limitar futuros ataques. TorGuard VPN reveló el ataque poco después de que fue informado. NordVPN no reveló públicamente el problema hasta el 21 de octubre.

Señalaré brevemente aquí que estoy al tanto de un caso judicial en curso entre NordVPN y TorGuard VPN que está relacionado con estas violaciones. En general, no revisamos las quejas legales privadas en nuestras revisiones, que también es el caso aquí.

Está claro que el atacante tenía acceso privilegiado que no debería haber sido accesible para nadie. La información obtenida durante el ataque es muy útil, pero NordVPN y TorGuard dijeron que esta información habría sido difícil de usar en la práctica.

Así es como el periodista de PCMag Michael Kan describió un posible ataque:

"El robo de la clave TLS (NordVPN) ha abierto la puerta a lo que se llama un" ataque centralizado ", que puede exponer su tráfico no encriptado al pirata informático, pero establecer tal esquema. No sería fácil … crear un cliente NordVPN ficticio y luego pedirle a un usuario que lo instale, que, al final, solo habría victimizado una computadora ".

NordVPN minimizó el potencial de ataques de esta manera:

"El ataque requeriría un acceso bastante extraordinario a la red o al dispositivo del usuario para que esto suceda". Tal ataque podría, en teoría, ser realizado por un proveedor de acceso a Internet malicioso o comprometido. , una red Wi-Fi maliciosa, un administrador de red intrusivo Fi (como una red universitaria o profesional) o un hacker que ya tiene acceso a su dispositivo ".

Por su parte, TorGuard ha descrito el ataque contra su infraestructura de la siguiente manera:

"TorGuard no almacenó nuestra clave maestra (CA) en ningún punto final, sin embargo, incluso si la clave de la CA fue obtenida y válida, tales ataques serían casi imposibles de disparar. porque OpenVPN tiene varios niveles de seguridad Un atacante A veces sería necesario localizar y sincronizar varios vectores de ataque (…) La gente a veces se queja de que OpenVPN es complicado, pero esta es una de las razones por las que es muy apreciado como un protocolo VPN seguro ".

Lo que quizás sea aún más inquietante es que el atacante podría observar la actividad del usuario mientras tenía acceso al servidor NordVPN. Me he puesto en contacto con TorGuard para aclarar si este también es el caso. En su informe, Bloomberg citó a Tom Okman, miembro de la junta asesora de NordVPN.

Okman dijo que era difícil determinar si los piratas informáticos obtenían información sobre el uso de Internet por parte de los usuarios del Norte porque la compañía no recopilaba registros de actividad. en sus servidores, un argumento de venta para clientes preocupados por su privacidad ". Creo que el peor de los casos Okman dijo que solo se aplicaría a los usuarios del norte que estaban usando su servidor finlandés y accedían a sitios web que no usaban el protocolo HTTPS seguro. "

Según Bloomberg, NordVPN estima que entre 50 y 200 clientes han utilizado el servidor afectado.

Me puse en contacto con NordVPN para comentar sobre este problema específico. Un representante de la compañía señaló que, incluso si fuera posible, no hay nada que indique que el atacante haya observado tráfico. La respuesta de la empresa:

"A pesar de que (el) pirata informático pudo haber visto el tráfico mientras estaba conectado al servidor, solo pudo ver lo que vería un ISP común, pero en ningún caso podría ser personalizado o vinculado a un nombre de usuario o a un correo electrónico en particular El tráfico histórico de VPN podría no ser monitoreado ".

SecurityWatchAunque parece que el atacante habría tenido problemas para usar la información robada (es muy interesante que NordVPN y su competidor TorGuard VPN estén de acuerdo en este punto), pero me preocupa la posibilidad de que el atacante Podía observar el tráfico. La buena noticia es que el protocolo HTTPS es más común que nunca, lo que limitaría en gran medida lo que el atacante podría haber observado si hubiera observado algo. Además, el atacante no pudo haber atribuido el tráfico observado a usuarios específicos conectados al servidor. Pero eso sigue siendo una comodidad fría, porque representa un fracaso completo de lo que se supone que debe hacer un negocio de VPN en primer lugar.

También contacté a TorGuard VPN para averiguar si el atacante pudo haber observado el tráfico mientras estaba conectado a sus servidores. El representante declaró que esto no era posible porque la compañía utiliza una gestión segura de infraestructura de clave pública (PKI) para proteger sus claves de cifrado. Un representante escribió:

"No, eso sería imposible en el caso de TorGuard. (…) La clave privada de la Autoridad de Certificación de TorGuard (CA) nunca se almacena en un servidor VPN, no lo haría. por lo tanto, no es posible que un atacante descifre los paquetes que pasan a través de la VPN. Cuando el tráfico VPN abandona la computadora del usuario final a través del adaptador VPN, está completamente encriptado. Después del paquete le sucede al proveedor de VPN, la única forma de ver la actividad es descifrar el paquete con la clave privada del proveedor de VPN. En teoría, el atacante podría guardar el tráfico o examinarlo más a fondo para 39, explotación ".

Cómo pensar en violaciones de seguridad

NordVPN y TorGuard ciertamente no son las primeras compañías, ni siquiera las primeras compañías de seguridad, en sufrir graves violaciones de seguridad. En general, mi enfoque para evaluar los productos vulnerados de seguridad es juzgarlos tanto por cómo tratan la infracción como por la gravedad de la infracción misma.

Después de todo, los ataques contra cualquier organización que almacena información del usuario, que es cada organización – son de esperarse. No ser cínico, pero las violaciones son ir pasarse. Pueden ser pequeños, masivos, pero eventualmente, alguien encontrará una solución. Lo que es más importante que prevenir una violación es manejar las consecuencias.

Tome el ejemplo de LastPass. Este administrador de contraseñas registra conexiones y las lee para conexiones rápidas y fáciles. También puede generar contraseñas únicas y complejas para cada una de sus cuentas. Este es un excelente servicio. En 2015, la compañía anunció que había sido víctima de un ataque. LastPass notificó rápidamente a los usuarios y publicó información en su blog en su blog público. La compañía también tuvo el peor de los casos. Ya cifraba toda la información de sus usuarios, y la información robada sería difícil, si no imposible, de usar. Siempre se aconsejaba a los usuarios que cambiaran su contraseña maestra, solo para estar seguros.

Este es un ejemplo de una empresa que maneja bien una brecha. Fueron transparentes sobre el ataque y brindaron consejos claros a los afectados. Más importante aún, LastPass tomó medidas para asegurar la información que contenía. Los datos fueron encriptados, la contraseña desperdiciada y salada. Cuando los atacantes robaron datos, la compañía estaba convencida de que ninguno de estos datos podría usarse para lanzar nuevos ataques.

En general, NordVPN y TorGuard tienen buenas respuestas, pero dejan algunas cosas que desear. Por un lado, un representante de TorGuard dijo que la compañía había revelado el delito en mayo. NordVPN no reveló el delito hasta que explotó en Twitter, aparentemente para asegurarse de que el ataque no pudiera ser replicado en ningún otro día. otros servidores Una respuesta rápida y transparente ayuda enormemente a generar confianza en un negocio.

TorGuard dice que determinó que el ataque no representaba una amenaza, pero que volvió a emitir los certificados que verifican la identidad de sus servidores. Casi parece que TorGuard no iba a decir nada sobre este incidente hasta que apareció en Twitter. NordVPN afirma que no hizo una declaración para verificar que ninguno de sus otros servidores era vulnerable y para implementar medidas de protección adicionales.

En retrospectiva, es fácil juzgar con dureza, pero está claro que había medidas de seguridad adicionales que NordVPN podría haber utilizado en sus servidores. Puedo inferir esto en parte porque en esta situación muy similar, parece que NordVPN y TorGuard han tenido resultados diferentes con respecto a las claves TLS. Además, NordVPN anunció que a la luz del ataque "movería todos nuestros servidores a RAM", lo que limita significativamente la cantidad de información en el servidor en un momento dado. Es genial, pero también podría haberse hecho antes de la violación y no fue así.

El ataque y su divulgación revelan otro problema crítico de las VPN: el uso de subcontratistas de terceros para proporcionar los servidores necesarios para el funcionamiento de la empresa. NordVPN declaró que las prácticas laxas de la compañía que operaba el centro de datos al que alquilaba sus servidores estaban en el origen de la intrusión. No hay nada de malo en el arrendamiento de servidores, pero significa que incluso una compañía imaginaria de red virtual virtual podría verse frustrada por un comportamiento descuidado por parte del operador del servidor. Ambas compañías informaron haber roto lazos con sus respectivos centros de datos, aunque no está claro si las dos compañías estaban usando el mismo proveedor. Algunas compañías de VPN afirman tener sus propios servidores, lo que podría ser una opción más interesante en el futuro.

NordVPN, por ejemplo, dice que será más claro para el proveedor de su infraestructura de servidor. La compañía también anunció que se someterá a una auditoría pública para validar la seguridad de esta infraestructura.

¿Qué podemos aprender de estas violaciones?

Esperemos que otras compañías de VPN analicen detenidamente sus propias prácticas y los proveedores de servidores que utilizan. Esta experiencia también me ha iluminado. Siempre he tratado de aprender lo más posible sobre los esfuerzos que las compañías de redes VPN están haciendo para proteger a sus clientes. Para futuras revisiones, preguntaré sobre las reglas de la granja de servidores, cómo se almacenan los datos en esos servidores y cómo las empresas se están preparando para situaciones como esta. Espere ver revisiones actualizadas de todos los productos en un futuro muy cercano.

También aprovecho esta oportunidad para resaltar un problema que he visto con toda la red VPN desde que comencé a cubrirlo: la dificultad de validar las declaraciones hechas por las compañías VPN. Un observador externo tendría problemas para verificar que una red privada virtual (VPN) en realidad esté encriptando el tráfico de usuarios todo el tiempo y es imposible verificar que cada servidor esté configurado de manera correcta y segura.

Esto es claramente diferente de otros sectores de la industria de la seguridad. Las compañías de antivirus, por ejemplo, han creado AMTSO, que permite a los usuarios verificar que sus aplicaciones antivirus se estén ejecutando, y ha establecido pautas para evaluaciones de terceros de estos productos.

Las VPN también funcionaron en relativa oscuridad en comparación con el examen en profundidad aplicado a otras compañías de tecnología. Apple o Google, por ejemplo, son entrevistados regularmente por investigadores de seguridad que buscan vulnerabilidades. No se ha prestado la misma atención a las VPN y es más necesario que nunca. Obviamente, hay un buen trabajo para hacer aquí. Si una caminata de 8Chan puede encontrar algo interesante, los investigadores de seguridad ciertamente pueden hacerlo mejor.

Todos nuestros exámenes en PCMag están actualmente en progreso. Actualizo una notificación de red privada virtual cada vez que cambia el precio, se agregan nuevas funciones o se eliminan las funciones antiguas, y cuando ocurren tales incidentes. También hay muchas cosas que nadie sabe, y trato de aprender a escribir mejores críticas. Nuestra decisión de cambiar la calificación se basa en la información que tenemos actualmente. Si se revela más información condenatoria, el puntaje de una u otra compañía podría caer aún más. También existe la posibilidad de mejora.

Espero ver lo último.

NordVPN y TorGuard son golpeados por servidores no seguros | Noticias y opiniones


NordVPN ha sido víctima de una violación que involucra un servidor con sede en Finlandia, pero las credenciales de inicio de sesión y el tráfico de usuarios identificables no han sido interceptados, dijo la compañía.

El mismo hacker también golpeó a los proveedores de VPN rivales TorGuard y VikingVPN; TorGuard minimiza la gravedad de la violación.

En el caso de NordVPN, la infracción ocurrió en marzo de 2018 en un centro de datos finlandés desde el cual NordVPN alquiló servidores. "El atacante obtuvo acceso al servidor explotando un sistema de gestión remota no seguro dejado por el proveedor del centro de datos mientras no sabíamos que ese sistema existía", dijo. dijo NordVPN en un comunicado el lunes.

NordVPN tiene una política estricta contra la retención de registros de tráfico de usuarios. Por lo tanto, "el servidor en sí no contenía ningún registro de la actividad del usuario", dijo. "Ninguna de nuestras aplicaciones envía credenciales creadas por el usuario para la autenticación, por lo que los nombres de usuario y las contraseñas no tienen contraseña". podría haber sido interceptado ".

Aunque el centro de datos finlandés corrigió silenciosamente la vulnerabilidad en el mismo mes, el pirata informático robó una clave NordVPN Transport Layer Security (TLS) utilizada para el sitio web y las extensiones de la compañía. Sin embargo, la clave nunca se ha utilizado para cifrar el tráfico de usuarios en el servidor VPN, dijo la compañía a PCMag.

El robo de la clave TLS ha abierto la puerta a lo que se conoce como un "ataque en el medio de la red", que puede exponer su tráfico no cifrado al pirata informático. Pero establecer un sistema así no sería fácil. Esto requeriría la creación de un cliente NordVPN ficticio y luego incitar a un usuario a instalarlo, lo que en última instancia solo habría victimizado a una computadora.

La clave TLS expuesta también expiró en octubre de 2018. Por lo tanto, el uso del certificado de clave finalmente habría publicado una advertencia en la computadora del usuario con respecto a la fecha de vencimiento.

La noticia de la violación apareció durante el fin de semana cuando un desarrollador web Tweeted que una clave Nordvpn TLS circulaba en Internet, en gran medida inadvertida. La clave robada fue lanzada en mayo de 2018 por un usuario anónimo en el foro de 8chan, que también afirmó haber violado los servidores de TorGuard y VikingVPN.

Si bien el centro de datos finlandés corrigió la vulnerabilidad con el sistema de administración remota el 20 de marzo de 2018, aparentemente nunca advirtió a NordVPN del problema. NordVPN dijo que se enteró del incidente hace unos meses.

"No revelamos el exploit inmediatamente porque teníamos que asegurarnos de que ninguna de nuestra infraestructura pudiera estar expuesta a problemas similares", dijo la compañía en un comunicado. "No se pudo hacer rápidamente debido a la gran cantidad de servidores y la complejidad de nuestra infraestructura".

En respuesta a esta violación, NordVPN rescindió el contrato de la compañía con el centro de datos finlandés. Todos los servidores alquilados en el centro también fueron destruidos. "Incluso si solo uno de los más de 3.000 servidores que teníamos en ese momento se vio afectado, no estamos tratando de minimizar la gravedad del problema", agregó la compañía. "Fallamos con un proveedor de servidores poco confiable y debería haberlo hecho mejor para mantener seguros a nuestros clientes".

En cuanto a TorGuard, la compañía también confirmó hoy que había sufrido una violación. Sin embargo, nunca se ha almacenado ninguna clave de cifrado en el servidor VPN relevante. "Operamos de esta manera, por lo que en el peor de los casos, y si un servidor VPN es incautado o incluso comprometido, nadie puede alterar o descifrar el tráfico de usuarios o lanzar ataques Man-in-the-Middle". en otros servidores TorGuard ", dijo el presidente. empresa dijo en un comunicado.

No se sabe cuándo ocurrió la violación de TorGuard, pero fue solo un servidor en un proveedor externo, que eliminó el hardware afectado a principios de 2018.

El hacker también ha robado una clave TLS para el dominio torguardvpnaccess.com, pero esto ya no es válido para la red TorGuard desde 2017, dice la compañía.

TorGuard dijo que fue informado de la violación en mayo debido a la demanda en curso de la compañía por el intento de chantaje de NordVPN sobre cómo había encontrado los archivos de configuración del servidor TorGuard en Internet.

"Debido a la demanda en curso, no podemos proporcionar detalles exactos sobre este revendedor de hosting específico ni sobre cómo el atacante obtuvo acceso no autorizado", dijo la compañía. "Sin embargo, nos gustaría que el público sepa que este servidor no ha sido comprometido externamente y que nunca ha habido una amenaza para otros servidores o usuarios de TorGuard". ".

VikingVPN, el tercer proveedor de red privada virtual más grande que figura en la violación, no respondió de inmediato a una solicitud de comentarios.

A %d blogueros les gusta esto: