Les applications Hotspot Shield, PureVPN et ZenMate exhibent des vulnérabilités
Qui laissent les adresses IP des utilisateurs filtrer

Des services VPN populaires exhibent des failles de sécurité qui permettent la divulgation des informations sensibles de leurs utilisateurs. L’information est de vpnMentor, un site qui a vocation à les classer ; ce dernier pointe Hotspot Shield, PureVPN et ZenMate du doigt. Le site dit s’être appuyé sur l’expertise de trois chercheurs en sécurité spécialisés en la matière. Dans le détail technique publié par ces derniers, on peut d’ores et déjà dire que les vulnérabilités sont liées à des soucis avec des scripts de configuration de proxy.

Le rapport des chercheurs crédite Hotspot Shield de trois entrées dans la base de données du projet Common Vulnerabilities and Exposures (CVE). La faille référencée CVE-2018-7880 illustre clairement le propos des chercheurs. Une analyse du script de configuration de proxy (d’une version non corrigée du plugin Chrome de Hotspot Shield) a révélé qu’il suffit qu’une URL contienne une interface logique de réseau (un hôte local) pour contourner le VPN. Dit autrement, il suffit qu’un attaquant amène un internaute à visiter une adresse du type localhost.test.com pour que le VPN cesse de le protéger. Dans ce cas, le navigateur se connecte directement à la cible sans suivre les règles inscrites dans le fichier de configuration de proxy.

Code : Sélectionner tout - Visualiser dans une fenêtre à part
let whiteList = /localhost|accounts\.google|google\-analytics\.com|chrome\-signin|freegeoip\.net|event\.shelljacket|chrome\.google|box\.anchorfree|googleapis|127\.0\.0\.1|hsselite|firebaseio|amazonaws\.com|shelljacket\.us|coloredsand\.us|ratehike\.us|pixel\.quantserve\.com|googleusercontent\.com|easylist\-downloads\.adblockplus\.org|hotspotshield|get\.betternet\.co|betternet\.co|support\.hotspotshield\.com|geo\.mydati\.com|control\.kochava\.com/;if(isPlainHostName(host) || shExpMatch(host, '*.local') || isInNet(ip, '10.0.0.0', '255.0.0.0') || isInNet(ip, '172.16.0.0', '255.240.0.0') || isInNet(ip, '192.168.0.0', '255.255.0.0') || isInNet(ip, '173.37.0.0', '255.255.0.0') || isInNet(ip, '127.0.0.0', '255.255.255.0') || !url.match(/^https?/) || whiteList.test(host) || url.indexOf('type=a1fproxyspeedtest') != -1) return 'DIRECT';
Les chercheurs ont également découvert que le fichier de configuration automatique de proxy était monté de sorte que la présence du paramètre a1fproxyspeedtest dans une URL provoque une connexion directe à la cible. Illustration en image avec le service en ligne de divulgation d’adresses IP, whatismyip.host.

Nom : whatismyip.jpg Affichages : 2149 Taille : 47,4 Ko


AnchorFree, la société derrière Hotspot Shield, a corrigé ces failles et noté que le problème ne se pose pas pour la version desktop de l’application, ainsi que pour celle dédiée aux appareils mobiles. D’après les limiers engagés par le site, des vulnérabilités similaires existent dans les solutions PureVPN et Zenmate. « Nous n’allons pas donner plus de détails en ce qui concerne les failles relatives à PureVPN et Zenmate en espérant qu’elles seront bientôt corrigées », ont ajouté les chercheurs.

L’équipe PureVPN aussi a réagi pour préciser que les chercheurs font allusion à d’anciennes versions de l’extension Firefox de leur application. Une version corrigée de cette dernière est disponible sur la boutique d’applications du navigateur depuis le 7 mars.

Note finale pour les non-férus en informatique : un VPN (Virtual Private Network) est un système permettant de créer un lien direct entre des ordinateurs distants. Les machines de ce réseau virtuel (parce qu’il n’existe pas physiquement, mais s’appuie sur l’infrastructure en place) sont interconnectées par un protocole permettant de créer un tunnel entre elles. L’objectif de la manœuvre est de masquer des informations sensibles comme l’adresse IP grâce à laquelle on peut identifier un internaute.

L’utilisation d’une telle solution permet donc d’échapper à la surveillance qui va grandissant sur les réseaux. Pour illustrer l’intérêt que cette technologie suscite, on peut citer les États-Unis où le taux de recherche du terme « VPN » a doublé il y a un an après le vote d’un projet de loi permettant la vente de l’historique Web des internautes.

Source

vpnmentor

Votre opinion

Laquelle de ces solutions VPN utilisez-vous ? Pourquoi ?

Quelle alternative plus fiable pouvez-vous conseiller à un tiers ?

Voir aussi

USA : le taux de recherches Google du terme « VPN » double après le vote du projet de loi permettant la vente de l'historique Web des internautes