Mullvad VPN is een populaire, op privacy gerichte VPN-service. De service maakt gebruik van een schijfloze infrastructuur en is onlangs ook begonnen met het uitvoeren van gecodeerde DNS-servers in RAM. Je kunt Mullvad-codes ook kopen op Amazon of op andere manieren die je anoniem houden.
Eind 2024Mullvad vroeg het in Duitsland gevestigde X41 D-Sec om een audit van de dienst uit te voeren, waarmee het de vierde externe beveiligingsaudit sinds 2018 is.
Bedrijfsingenieurs kregen de taak om de broncode van de VPN-apps van Mullvad op alle platforms te controleren en penetratietesten uit te voeren. Dit gebeurde tussen oktober en november 2024.
X41 D-Sec ontdekte in totaal zes kwetsbaarheden.
- Drie kwetsbaarheden met een hoog beveiligingsniveau.
- Twee kwetsbaarheden van gemiddelde kwaliteit.
- Eén lage kwetsbaarheid.
Bovendien hebben de onderzoeken drie problemen met de beveiligingsimpact gevonden.
Mullvad ging in op de kwesties die binnen de reikwijdte vielen. Sommige van de ontdekte problemen kunnen niet door Mullvad worden opgelost, omdat ze voorkomen in bepaald gedrag van besturingssystemen of protocollen.
De drie beveiligingsproblemen die hoog gewaardeerd zijn, zijn allemaal opgelost. Zij waren:
- Een potentieel probleem met heap-corruptie op Android, Linux en macOS.
- Een probleem met de foutsignaalhandler in mullvad-daemon die invloed heeft op Android, Linux en macOS.
- Gebruik van taskkill.exe op Windows in het installatieprogramma zonder gebruik van absolute paden.
Niet alle problemen kunnen door Mullvad worden opgelost
Eén probleem, bijvoorbeeld als medium, dat het virtuele IP-adres van tunnelapparaten kan lekken naar aangrenzende netwerkdeelnemers, heeft alleen betrekking op Linux en Android. Op Linux loste Mullvad het probleem op door een kernelparameter te wijzigen.
Op Android heeft de app van Mullvad geen controle over die parameter. Het bedrijf heeft het probleem wel bij Google gemeld, in de hoop dat Google het standaardgedrag op Android zal veranderen om dit aan te pakken.
Opgemerkt moet worden dat het probleem ook andere apps op Android treft. Mullvad zegt dat het lek niet als zeer ernstig wordt beschouwd. Het kan echter zijn dat het tunnel-IP naar waarnemers wordt gelekt. IP's worden maandelijks gewijzigd, maar als u zich afmeldt bij de app en weer aanmeldt, krijgt de client ook een nieuw tunnel-IP-adres.
Slotwoorden
Beveiligingsaudits brengen potentiële kwetsbaarheden aan het licht, die bedrijven vervolgens proactief kunnen oplossen. Ze kunnen ook bijdragen aan het wekken van vertrouwen bij bestaande of toekomstige gebruikers van de dienst, vooral als ze regelmatig worden uitgevoerd.
Nu is het jouw beurt. Heeft u een VPN-oplossing? Zo ja, welke en waarom? Laat gerust een reactie achter hieronder.
Aanbevolen lees:Nvidia werkt zijn app bij met veel verbeteringen gericht op de weergave-instellingen