NordVPN hackat, men företaget försäkrar att kundens integritet inte bryts på grund av företagets säkerhetspolicy?

NordVPN, en populär Virtual Private Network- eller VPN-leverantör, har medgett att den hackades. Även om företagets säkerhet bröts kan dess datahantering och processpolicy ha säkerställt att kundens integritet förblev skyddad och anonym. NordVPNs eget erkännande följer ihållande rykten om utvecklingen.

NordVPN är en del av alltmer populära VPN-leverantörer. Tjänsteleverantörerna får snabbt acceptans över hela världen eftersom de hävdar att de tillhandahåller integritet från Internetleverantörer (ISP) och besöker webbplatser om surfning på Internet. Förutom journalister och aktivister abonnerar även vanliga internetanvändare i allt högre grad på VPN-tjänster för att säkerställa anonymitet och skydd från potentiella spionage- och dataloggningsförsök från flera byråer.

NordVPN hackat men kundsekretess fortfarande intakt?

En VPN kanaliserar tekniskt alla användarnas internettrafik genom ett krypterat rör, vilket gör det svårare för någon på internet att se vilka webbplatser de besöker eller vilka appar som används. Men många gånger flyttar denna process bara webbhistoriken från ISP till VPN-tjänsteleverantören.

Enligt NordVPNs interna utredning fick angriparen tillgång till en server genom att utnyttja ett osäkert fjärrhanteringssystem som lämnats av en datacenterleverantör. Servern hade varit aktiv i ungefär en månad. En förtydligande om säkerhetsöverträdelsen, säger en talesman för NordVPN, ”Servern i sig innehöll inga användaraktivitetsloggar; ingen av våra applikationer skickar användarskapade referenser för autentisering, så användarnamn och lösenord kunde inte heller ha fångats upp. På samma sätt var det enda möjliga sättet att missbruka webbplatstrafiken genom att utföra en personlig och komplicerad man-i-mitten-attack för att fånga upp en enda anslutning som försökte komma åt NordVPN. ”

https://twitter.com/NathOnSecurity/status/1186419430256824321

I huvudsak vad NordVPN hävdar är att dess säkerhet äventyrades, men angriparna kunde omöjligt ha kunnat få information om företagets kunder och deras data som passerade via VPN. Tydligen hade NordVPN utgångna interna privata nycklar exponerade, vilket möjligen tillåter någon att spinna ut sina egna servrar som imiterar NordVPN. Men företaget försäkrar att det helt enkelt inte är möjligt. "Den utgångna privata nyckeln kunde inte ha använts för att dekryptera VPN-trafiken på någon annan server", hävdade talesmannen.

Vad som gäller säkerhetsöverträdelsen är tidslinjen. Brottet hände enligt uppgift "för några månader sedan", men det avslöjades medvetet inte för att NordVPN "ville vara 100% säker på att varje komponent inom [deras] infrastruktur är säker."

Andra VPN-tjänsteleverantörer förutom NordVPN attackerade också:

NordVPN hävdar att det har en "zero logs" -policy. "Vi spårar, samlar inte in eller delar dina privata data", säger företaget. Vad detta i huvudsak betyder är att datakryptering och överföring är dynamiska, och alla spår av dataflödet bör teoretiskt raderas omedelbart. Även om detta kan låta lugnande bör ett företag som lovar att "skydda din integritet online" ha bättre försvar. I stället insisterar företaget på att "ingen kunde veta om ett oönskat fjärrhanteringssystem som lämnats av [datacenter] -leverantören."

Även om det ännu inte har bekräftats kan flera rapporter online hävda att andra populära VPN-tjänsteleverantörer, inklusive TorGuard och VikingVPN, kan ha attackerats och deras säkerhet har brutits. Det är inte klart varför hackarna går efter VPN-leverantörer. Det är dock mycket troligt att det primära syftet är att rikta in sig på tjänsteleverantörerna snarare än att följa enskilda kunder. Stora organisationer vars huvudsakliga verksamhet är att erbjuda säkerhet och anonymitet skulle säkert vara ett främsta mål för ihållande hotgrupper, eftersom lyckad förlamning av deras säkerhet kan förstöra affärsutsikterna.