Taggat med: OSTIF

Oberoende granskning av OpenVPN

OpenVPN är ett otroligt populärt verktyg för att skapa upp VPN-anslutningar och används av majoriteten av alla VPN-tjänster. Private Internet Access (PIA) med bl.a. Rick Falkvinge kommer att betala för en oberoende granskning av OpenVPN som leds av kryptologen Dr. Matthew Green. Matthew hade tidigare hand om den öppna granskningen av TrueCrypt. PIA är ett företag som tillhandahåller VPN-anslutningar och som använder OpenVPN

OpenVPN har funnits sedan 2001 och använder en variant på SSL/TLS som kanal för kommunikation och går att köra på operativsystem såsom Solaris, Linux, OpenBSD, FreeBSD, NetBSD, QNX, Mac OS X, iOS, Android och Windows från version XP.

PIA meddelar att efter granskningen är klar och OpenVPN åtgärdat eventuella brister så kommer rapporten att publiceras på deras hemsida.

Senast en sårbarhet uppdagades i OpenVPN var under 2016 då födelsedags-attacken Sweet32 som går mot 64-bits algoritmer såsom den som OpenVPN använder som standard, BF-CBC.

Och viktigt att notera är att OpenVPN används på både klienten och servern. Ett alternativ till OpenVPN är att köra stunnel eller IPSEC.

Uppdatering: Under tiden jag skrev denna artikel har två andra relaterade nyheter dykt upp:

  • Algo lyfts upp som ett nytt alternativ till IPSec och OpenVPN
  • OSTIF meddelar att de anlitar Quarks Lab för att också granska OpenVPN. Samma franska företag som tidigare granskade VeraCrypt

IT-säkerhetsgranskning av VeraCrypt

veracrypt granskning

Det franska cybersäkerhetsföretaget QuarksLab har utfört en publik it-säkerhetsgranskning av VeraCrypt. VeraCrypt är en populär uppföljare till det numera nedlagda projektet TrueCrypt. Granskningen har bekostats av organisationen OSTIF och backas upp finansiellt av bl.a. DuckDuckGo och VikingVPN.

Granskningen fokuserar på sådant som inte granskas av tidigare projekt såsom den som NCC Group utförde av TrueCrypt (jag skrev om det här). Och sådant nytt som granskningen inkluderar är:

  • DCS EFI Bootloader 1.18 (UEFI)
  • Camellia, Kuznyechik, GOST 28147-89, Streebog
  • Stöd för att expandera volymer
  • Stöd för Unicode på Windows
  • StrSafe istället för string.h
  • Musrörelser för att öka på entropi

Sådant som ej granskats är följande: Mac OS X/Sierra stödet, Linux-stöd samt diagonstik-verktyget.

För oss som jobbar med IT-säkerhetsgranskningar är det alltid intressant att läsa denna typ av rapport och det finns alltid något att lära av. Granskningen uppdagade följande sårbarheter:

  • 8 kritiska sårbarheter
  • 3 medium-klassade sårbarheter
  • 15 lågt klassade eller info-läckage

Sådant som uppdagats av granskningen är åtgärdat i version 1.19 av VeraCrypt. Och några av åtgärderna som genomfördes av VeraCrypto-projektet är följande:

  • Stöd för att skapa nya volymer med GOST 28147-89 är borttaget.
  • Biblioteken för  XZip och XUnzip var ej uppdaterade och är nu borttagna och har ändrats till libzip.
  • Åtgärd för att en angripare kan avgöra lösenordets längd i bootloader. Även åtgärder för att försöka säkerställa att lösenord raderats från UEFI har genomförts.
  • Fix för att förhindra minnesöverskrivning när återställningsdisk läses in.

Här nedan kan du ladda hem den 44-sidiga granskningsrapporten i sin helhet i PDF-format. Granskningen tog 32 arbetsdagar för två personer:

veracrypt-granskning