Ημερολόγιο ασφαλείας.

Εσωτερικός έλεγχος πριν από την έναρξη του προγράμματος

Στις 15 Ιουλίου 2026 ξεκινήσαμε μια εσωτερική επιθεώρηση ασφαλείας του CreateYourVPN. Οι διορθώσεις που έχουμε ολοκληρώσει και επαληθεύσει εκ νέου δημοσιεύονται παρακάτω· θα ακολουθήσουν κι άλλες καθώς αναπτύσσονται και επιβεβαιώνονται.

Προστέθηκε δικλείδα ασφαλείας έναντι μη ασφαλούς διαμόρφωσης cross-origin

Η τρέχουσα διαμόρφωση production δεν επέτρεπε αυθαίρετα origins, όμως ο κώδικας επέτρεπε έναν επικίνδυνο συνδυασμό παραμέτρων αν ένας διαχειριστής τον διαμόρφωνε λανθασμένα. Αυτός ο συνδυασμός πλέον απορρίπτεται κατά την εκκίνηση και καλύπτεται από αυτοματοποιημένο έλεγχο.

Μειώθηκε η δημόσια επιφάνεια του production API

Η διαδραστική τεχνική τεκμηρίωση του API ήταν προσβάσιμη χωρίς αυθεντικοποίηση. Δεν έδινε πρόσβαση σε προστατευμένα δεδομένα, αλλά διευκόλυνε τη μελέτη της εσωτερικής δομής του API. Στο production η τεκμηρίωση είναι πλέον απενεργοποιημένη, ενώ παραμένει διαθέσιμη σε απομονωμένο περιβάλλον για την ανάπτυξη.

Τα κρυπτογραφικά κλειδιά της πλατφόρμας διαχωρίστηκαν κατά σκοπό

Μια εσωτερική επιθεώρηση διαπίστωσε ότι ένα μόνο μυστικό χρησιμοποιούνταν για δύο διαφορετικές κρυπτογραφικές εργασίες. Αυτό δεν δημιουργούσε άμεση παράκαμψη, αλλά διεύρυνε τις συνέπειες μιας παραβίασης κλειδιού. Οι δύο σκοποί διαχωρίστηκαν και ο καθένας πλέον εναλλάσσεται ανεξάρτητα.

Εγγυημένη εκκαθάριση του κλειδιού διαχείρισης μετά τη διαγραφή διακομιστή

Η εκκαθάριση του κρυπτογραφημένου κλειδιού διαχείρισης εκτελούνταν μετά από δικτυακές λειτουργίες στο παρασκήνιο και μπορούσε να μην επαναληφθεί αν εκείνες αποτύγχαναν. Αποσυνδέσαμε την εκκαθάριση του κλειδιού από την αλυσίδα δικτύου και προσθέσαμε εγγυημένη επανάληψη. Τα σενάρια μη προσβάσιμου διακομιστή και διακοπής διεργασίας καλύπτονται από ελέγχους.

Αφαιρέθηκε μια αχρησιμοποίητη διαδρομή εξουσιοδότησης του API συνεργατών

Το API υποστήριζε μια επιπλέον διαδρομή εξουσιοδότησης βασισμένη σε cookie, την οποία η τρέχουσα αρχιτεκτονική server-side δεν χρειαζόταν. Δεν εντοπίστηκε καμία επίθεση cross-site στο production, όμως η επιπλέον διαδρομή διεύρυνε την επιφάνεια για μελλοντικά λάθη. Το API χρησιμοποιεί πλέον μία μόνο, ρητά ορισμένη μέθοδο εξουσιοδότησης, που καλύπτεται από αρνητικούς ελέγχους.

Περιορίστηκε η πρόσβαση στον πίνακα διαχείρισης της υποδομής

Εξωτερικός ερευνητής ανέφερε ότι μια διαχειριστική διεπαφή της υποδομής αποκρινόταν από το δημόσιο διαδίκτυο. Η διεπαφή προστατευόταν με ταυτοποίηση και δεν βρέθηκαν ενδείξεις μη εξουσιοδοτημένης πρόσβασης. Η αναφορά έγινε δεκτή και η πρόσβαση περιορίστηκε.

Η διεπαφή είναι πλέον προσβάσιμη μόνο από εγκεκριμένες διευθύνσεις, οι απαιτήσεις ταυτοποίησης ενισχύθηκαν και τα σχετικά στοιχεία ενημερώθηκαν. Το αποτέλεσμα επαληθεύτηκε εκτός του δικτύου μας. Επιπλέον επανεξετάσαμε τη δημόσια επιφάνειά μας και προσθέσαμε τακτικό έλεγχο. Η αμοιβή καταβλήθηκε στο ανώτατο επίπεδο.

Οι διευθύνσεις email των χρηστών των βιτρινών δεν διατηρούνται πλέον

Κάποιος πληκτρολογεί το email του για να συνδεθεί στη βιτρίνα ενός συνεργάτη, όμως η διεύθυνση δεν μένει σε εμάς: το email με τον κωδικό φεύγει και η διεύθυνση διαγράφεται αμέσως. Ο λογαριασμός αναγνωρίζεται από ένα μη αντιστρεπτό αποτύπωμα, από το οποίο η διεύθυνση δεν ανακτάται, ενώ ούτε το όνομα του λογαριασμού την περιέχει.

Ο χρήστης μπορεί να επαναφέρει μόνος του τον σύνδεσμο συνδρομής

Ο σύνδεσμος συνδρομής είναι μυστικό: όποιος τον έχει αποκτά την ίδια πρόσβαση με τον κάτοχό του. Ο χρήστης μπορεί να τον επαναφέρει μόνος του από τον λογαριασμό του: ο προηγούμενος σύνδεσμος παύει να λειτουργεί και τα διαπιστευτήρια πίσω από αυτόν εκδίδονται εκ νέου. Ένας σύνδεσμος που έκλεισε έτσι παραμένει κλειστός, ακόμη και όταν τα δεδομένα επαναφέρονται από αντίγραφο ασφαλείας.

Κεφαλίδες ασφαλείας στις σελίδες των καταστημάτων

Τα καταστήματα των συνεργατών δεν έστελναν τις κεφαλίδες ασφαλείας που ο πίνακας και το API έστελναν ήδη — μεταξύ τους και εκείνη που απαγορεύει σε άλλους ιστότοπους να εμφανίζουν τη σελίδα σε πλαίσιο. Δεδομένα λογαριασμού ή συνεδρίας δεν ήταν δυνατόν να διαβαστούν έτσι. Το πλήρες σύνολο συνοδεύει πλέον κάθε απόκριση των καταστημάτων και ο ισχυρισμός SR-15 κατονομάζει κάθε frontend που φιλοξενούμε.

Διαχείριση συνεδριών και αποστολή κωδικών σύνδεσης

Έπειτα από αναφορές εξωτερικού ερευνητή εξετάσαμε δύο γειτονικές περιοχές: τον κύκλο ζωής μιας συνεδρίας συνεργάτη και τη διαδρομή του email με τον κωδικό σύνδεσης. Κανένα από τα ευρήματα δεν έδινε πρόσβαση σε λογαριασμούς, σε δεδομένα συνεργατών ή στην κίνηση των χρηστών.

Ισχυρότερη προστασία για τη δημόσια φόρμα υποστήριξης

Ο ερευνητής ασφαλείας 0xVicky ανακάλυψε ότι η δημόσια φόρμα υποστήριξής μας μπορούσε να χρησιμοποιηθεί για την αποστολή υπερβολικού αριθμού αιτημάτων. Προσθέσαμε όρια ανά επισκέπτη και για τη συνολική κίνηση, προστατεύσαμε το εσωτερικό κανάλι υποβολής της φόρμας και ενισχύσαμε τον έλεγχο των συνημμένων. Ευχαριστούμε για την υπεύθυνη αναφορά.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Οι συνεδρίες συνεργατών μπορούν πλέον να ανακληθούν πλήρως

Ένας ερευνητής ασφαλείας ανακάλυψε ότι ένα αντίγραφο token συνεδρίας συνεργάτη μπορούσε να παραμείνει ενεργό μετά την αποσύνδεση, αν είχε ανανεωθεί ξεχωριστά. Μεταφέραμε τις συνεδρίες σε μία ενιαία ταυτότητα διακομιστή: η κανονική αποσύνδεση ανακαλεί πλέον ολόκληρη την τρέχουσα συνεδρία, ενώ η ενέργεια «Αποσύνδεση από όλες τις συσκευές» τερματίζει όλες τις ενεργές συνεδρίες.

Ενεργοποιήθηκαν MTA-STS και αναφορές TLS

Ένας ερευνητής ασφαλείας ανακάλυψε ότι το MTA-STS και οι αναφορές TLS δεν είχαν ρυθμιστεί για την εισερχόμενη αλληλογραφία του createyourvpn.com. Δημοσιεύσαμε πολιτική MTA-STS και ενεργοποιήσαμε τις αναφορές TLS. Αρχικά η πολιτική λειτουργεί σε δοκιμαστική λειτουργία, ενώ ελέγχουμε τη διαδρομή προώθησης τρίτου μέρους· η επιβολή θα ενεργοποιηθεί μετά από καθαρές αναφορές.

Ενεργοποιήθηκε η επιβολή DMARC

Ένας ερευνητής ασφαλείας ανακάλυψε ότι η πολιτική DMARC του createyourvpn.com λειτουργούσε μόνο σε κατάσταση παρακολούθησης και δεν απαιτούσε την απόρριψη μηνυμάτων που αποτύγχαναν στον έλεγχο. Ενεργοποιήσαμε p=reject για τον κύριο τομέα και sp=reject για τους υποτομείς του που δεν στέλνουν αλληλογραφία. Η συναλλακτική αλληλογραφία παραμένει απομονωμένη σε ξεχωριστούς υποτομείς αποστολής με δικές τους πολιτικές SPF, DKIM και DMARC.