阅读关于Mullvad应用的安全审计结果

这篇博文已经有6年历史，内容可能已过时。

阅读Mullvad应用程序安全审计结果

2018年9月24日 外部审计

我们的VPN应用程序版本20182的外部安全审计最终报告现在已公开。

报告总结中提到：“此次评估共发现七个问题，考虑到VPN软件的复杂性及其广泛的攻击面，这是一个极小的数字。”

这七个问题中，有六个与应用程序相关，均不可远程利用。此外，测试者未发现任何流量泄露，也没有方式让基于网络的攻击者强制泄露。剩下的一个问题涉及我们的网站。

来自Cure53和Assured的八名测试人员共花费18天完成了这次审计。

阅读报告

阅读最终审计报告，该报告由Cure53的网站提供。

此外，最初的报告也公开了，这是最初呈现给我们的版本。在与审计人员讨论某些术语的使用后，他们对报告进行了调整，以提供更清晰的信息并产出了最终版本。

独立审计有助于揭示潜在的安全漏洞并予以修正，最终能提供更好的服务。这也使您有机会评估我们在提供以安全为重中之重的服务方面的技术能力。

感谢审计的发现，我们根据优先级进行了应用程序的开发并发布了20183版本。确保您使用的是最新版本的Mullvad VPN应用 现在下载。

发现概述

在发现的七个问题中，两个识别的漏洞需要本地计算机的访问权限。在五个杂项问题中，三个需要本地访问，一个与我们的网站有关，最后一个与软件依赖性有关。

关于五个依赖本地访问的发现，我们应该指出，通常我们不认为具有本地访问的攻击者是我们的威胁模型的一部分。不过，我们会考虑审计人员提出的所有建议，以进一步提高我们应用程序的安全性。

如果您在阅读这篇文章或审计报告后有任何问题，请随时与我们联系。

识别漏洞

MUL01004 Windows： 通过替换可执行文件提升权限严重我们的评论：已在20183版本中解决。在某些情况下，具有本地访问的用户可能会滥用该应用程序以获得管理权限。

MUL01006 Daemon： 任何用户可以发出WebSocket命令高我们的评论：任何具有本地访问的用户都可以控制该应用程序。这目前是有意设计的，但我们会考虑审计人员的建议。还应指出的是，我们用IPC取代了WebSocket。

杂项问题

审计人员描述道：“本节涵盖那些虽然未导致利用但可能帮助攻击者实现其恶意目标的值得注意的发现。

“这些结果中大部分是脆弱的代码片段，未提供简易的调用方式。总的来说，尽管存在漏洞，但并不总是能够轻易利用。”

MUL01001 应用程序： 缺失的浏览器窗口偏好设置允许RCE信息我们的评论：需要本地用户将恶意文件拖放到应用程序窗口中。我们正在研究此问题。

MUL01002 应用程序： WebSocket泄露真实IP地址和地理位置中等我们的评论：根据目前的设计，所有本地用户应该能查询应用程序的当前状态和信息。详见MUL01006。我们正在研究此问题。

MUL01003 Daemon： 配置和日志文件的权限过于宽松低我们的评论：本地用户可以读取应用程序的配置和日志文件。我们正在研究此问题。

MUL01005 OOS： 添加和删除转发端口的CSRF低我们的评论：已于2018年9月20日修复。

MUL01007 应用程序： Node依赖的版本要求过于宽松信息我们的评论：我们正在研究此问题。