सुरक्षा जर्नल।

DDoS हमलों से सुरक्षा मज़बूत की गई

साइट और पार्टनर पैनल अब अनुरोधों के अधिक भार को बेहतर ढंग से झेलते हैं।

मौजूद न होने वाले पेजों का प्रबंधन ठीक किया गया

Tsabita की रिपोर्ट से पता चला कि साइट के कुछ मौजूद न होने वाले पते “नहीं मिला” पेज के बजाय सर्वर त्रुटि लौटा रहे थे। जवाबों में कोई आंतरिक डेटा नहीं था। त्रुटि ठीक कर दी गई है, और अब ऐसे पते सही जवाब देते हैं। रिपोर्ट के लिए धन्यवाद।

Linux कर्नेल की कमज़ोरी CVE-2026-98432 बंद की गई

Linux कर्नेल द्वारा आने वाले TCP कनेक्शनों को संभालने के तरीके में कमज़ोरी CVE-2026-98432 पाई गई। यह Linux सर्वरों को प्रभावित करती है, चाहे उन पर कोई भी सेवा चल रही हो।

प्लेटफ़ॉर्म के सर्वरों और समर्थित सिस्टम संस्करणों पर चल रहे पार्टनरों के सक्रिय VPN सर्वरों के कर्नेल को सुधार वाले संस्करण में अपडेट किया गया है।

सार्वजनिक सहायता फ़ॉर्म की सीमाएँ एक समान की गईं

Parth Narula की रिपोर्ट से पता चला कि किसी दूसरे ईमेल पते का उपयोग करने पर हमारे सार्वजनिक सहायता फ़ॉर्म से अतिरिक्त अनुरोध भेजे जा सकते थे। हमने फ़ॉर्म की सीमाएँ एक समान कीं, इसलिए पता बदलने से अब अतिरिक्त अनुरोध नहीं भेजे जा सकते। ज़िम्मेदार रिपोर्ट के लिए धन्यवाद।

सहायता सेवा इंटरफ़ेस तक पहुँच सीमित की गई

एक बाहरी शोधकर्ता ने ध्यान दिलाया कि सहायता सेवा का इंटरफ़ेस इंटरनेट से पहुँच योग्य था। इंटरफ़ेस के लिए प्रमाणीकरण आवश्यक था; अनधिकृत पहुँच या उपयोगकर्ता डेटा के प्रकटीकरण का कोई संकेत नहीं मिला।

हमने सहायता सेवा को सार्वजनिक सतह से हटा दिया: पहुँच केवल विश्वसनीय पतों से और एक आंतरिक चैनल के ज़रिए अनुमत है। इंटरफ़ेस की सेटिंग्स को उपयोग में आने वाले डोमेन के अनुरूप किया गया, और प्रतिबंध की जाँच बाहरी नेटवर्क से की गई।

वापसी पता पैनल के पेजों तक सीमित किया गया

एक शोधकर्ता ने पाया कि सत्र बहाल होने के बाद इस्तेमाल होने वाले आंतरिक वापसी पते को ब्राउज़र किसी बाहरी साइट पर जाने के रूप में समझ सकता था। इस परिदृश्य के लिए एक वैध सत्र आवश्यक था और इससे खाते या डेटा तक पहुँच नहीं मिलती थी।

अब वापसी पता आंतरिक पेजों की एक बंद सूची से चुना जाता है। कोई भी अन्य मान पैनल के मुख्य पेज पर ले जाता है। यह सुधार स्वचालित नकारात्मक टेस्ट से कवर है।

DMARC प्रवर्तन सक्षम

एक सुरक्षा शोधकर्ता ने पाया कि createyourvpn.com की DMARC नीति केवल निगरानी मोड में चल रही थी और सत्यापन में विफल संदेशों को अस्वीकार करना आवश्यक नहीं बनाती थी। हमने मुख्य डोमेन के लिए p=reject और उसके मेल न भेजने वाले सबडोमेन के लिए sp=reject सक्षम किया। लेन-देन संबंधी मेल अपने SPF, DKIM और DMARC नियमों वाले अलग भेजने वाले सबडोमेन पर पृथक रहता है।

MTA-STS और TLS रिपोर्टिंग सक्षम

एक सुरक्षा शोधकर्ता ने पाया कि createyourvpn.com पर आने वाले मेल के लिए MTA-STS और TLS रिपोर्टिंग कॉन्फ़िगर नहीं थे। हमने MTA-STS नीति प्रकाशित की और TLS रिपोर्टिंग सक्षम की। तृतीय-पक्ष फ़ॉरवर्डिंग पथ की जाँच के दौरान नीति पहले परीक्षण मोड में चलेगी; साफ़ रिपोर्ट मिलने के बाद प्रवर्तन सक्षम किया जाएगा।

खाता सत्रों पर नियंत्रण जोड़ा गया

एक सुरक्षा शोधकर्ता ने पाया कि पार्टनर सत्र के टोकन की कॉपी अलग से रीफ़्रेश होने पर साइन आउट के बाद भी सक्रिय रह सकती थी। हमने सत्रों को एक सर्वर-साइड पहचान पर स्थानांतरित किया: अब साइन आउट पूरे मौजूदा सत्र को रद्द करता है, जबकि “सभी डिवाइस से साइन आउट करें” सभी सक्रिय सत्रों को समाप्त करता है।

पैनल में “खाता सत्र” अनुभाग जोड़ा गया है। इसमें डिवाइस, IP पते, साइन-इन के समय और आख़िरी गतिविधि के साथ मौजूदा साइन-इन दिखते हैं, साथ ही 90 दिनों के सफल और असफल साइन-इन प्रयासों का इतिहास भी। किसी भी सत्र को अलग से समाप्त किया जा सकता है, या सभी को एक साथ।

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

सार्वजनिक सहायता फ़ॉर्म के लिए बेहतर सुरक्षा

सुरक्षा शोधकर्ता 0xVicky ने पाया कि हमारे सार्वजनिक सहायता फ़ॉर्म का उपयोग बहुत अधिक अनुरोध भेजने के लिए किया जा सकता था। हमने प्रत्येक विज़िटर और कुल ट्रैफ़िक के लिए सीमाएँ जोड़ीं, फ़ॉर्म के आंतरिक सबमिशन चैनल को सुरक्षित किया और अटैचमेंट की जाँच मजबूत की। ज़िम्मेदार रिपोर्ट के लिए धन्यवाद।

सत्र प्रबंधन और लॉगिन कोड की डिलीवरी

एक बाहरी शोधकर्ता की रिपोर्टों के बाद हमने दो निकटवर्ती हिस्सों की समीक्षा की: पार्टनर सत्र का जीवनचक्र और लॉगिन कोड वाले ईमेल का रास्ता। इनमें से किसी भी निष्कर्ष से खातों, पार्टनर डेटा या उपयोगकर्ता ट्रैफ़िक तक पहुँच नहीं मिलती थी।

स्टोरफ़्रंट पेजों पर सुरक्षा हेडर

पार्टनर स्टोरफ़्रंट वे सुरक्षा हेडर नहीं भेज रहे थे जो पैनल और API पहले से भेजते थे — इनमें वह हेडर भी है जो दूसरी साइटों को पेज फ़्रेम में दिखाने से रोकता है। इस रास्ते से खाता डेटा या सत्र पढ़ा नहीं जा सकता था। अब पूरा सेट हर स्टोरफ़्रंट प्रतिक्रिया के साथ जाता है, और दावा SR-15 हमारे हर होस्ट किए गए फ़्रंटेंड का नाम लेता है।

उपयोगकर्ता अपनी सदस्यता लिंक स्वयं रीसेट कर सकते हैं

सदस्यता लिंक एक गोपनीय जानकारी है: जिसके पास यह होती है, उसे वही पहुँच मिल जाती है जो इसके स्वामी को है। उपयोगकर्ता इसे अपने खाते में स्वयं रीसेट कर सकते हैं — पिछली लिंक काम करना बंद कर देती है और उसके पीछे की एक्सेस जानकारी नए सिरे से जारी की जाती है। इस तरह बंद की गई लिंक बंद ही रहती है, भले ही बैकअप से डेटा बहाल किया जाए।

स्टोरफ़्रंट उपयोगकर्ताओं के ईमेल पते अब नहीं रखे जाते

कोई व्यक्ति साझेदार के स्टोरफ़्रंट में साइन इन करने के लिए अपना ईमेल दर्ज करता है, पर वह पता हमारे यहाँ नहीं ठहरता: कोड वाला ईमेल चला जाता है और पता तुरंत हटा दिया जाता है। खाता एक अपरिवर्तनीय छाप से पहचाना जाता है, जिससे पता वापस नहीं निकाला जा सकता, और खाते के नाम में भी पता नहीं होता।

इन्फ़्रास्ट्रक्चर प्रबंधन पैनल तक पहुँच सीमित की गई

एक बाहरी शोधकर्ता ने सूचित किया कि इन्फ़्रास्ट्रक्चर प्रबंधन का एक प्रशासनिक इंटरफ़ेस सार्वजनिक इंटरनेट से प्रतिक्रिया दे रहा था। इंटरफ़ेस प्रमाणीकरण से सुरक्षित था और अनधिकृत पहुँच का कोई संकेत नहीं मिला। रिपोर्ट स्वीकार की गई और पहुँच सीमित कर दी गई।

अब इंटरफ़ेस केवल स्वीकृत पतों से पहुँच योग्य है, प्रमाणीकरण की शर्तें कड़ी की गई हैं और संबंधित घटक अद्यतन किए गए हैं। परिणाम की जाँच हमारे नेटवर्क के बाहर से की गई। इसके अतिरिक्त हमने अपनी सार्वजनिक सतह की समीक्षा की और उसकी नियमित जाँच जोड़ी। पुरस्कार उच्चतम स्तर पर दिया गया।

पार्टनर API का एक अप्रयुक्त प्राधिकरण मार्ग हटाया गया

API एक अतिरिक्त cookie-आधारित प्राधिकरण मार्ग का समर्थन करता था, जिसकी मौजूदा server-side आर्किटेक्चर को आवश्यकता नहीं थी। production में कोई क्रॉस-साइट हमला नहीं मिला, पर अतिरिक्त मार्ग भविष्य की गलतियों की सतह बढ़ाता था। अब API एक एकल, स्पष्ट रूप से परिभाषित प्राधिकरण विधि का उपयोग करता है, जो नकारात्मक टेस्ट से कवर है।

सर्वर हटाने के बाद प्रबंधन कुंजी की सफ़ाई सुनिश्चित की गई

एन्क्रिप्टेड प्रबंधन कुंजी की सफ़ाई पृष्ठभूमि की नेटवर्क क्रियाओं के बाद चलती थी और उन क्रियाओं के विफल होने पर दोहरा नहीं पाती थी। हमने कुंजी की सफ़ाई को नेटवर्क कैस्केड से अलग कर दिया और एक सुनिश्चित पुनः-प्रयास जोड़ा। पहुँच से बाहर सर्वर और बाधित प्रक्रिया के परिदृश्य टेस्ट से कवर हैं।

प्लेटफ़ॉर्म की क्रिप्टोग्राफ़िक कुंजियाँ उद्देश्य के अनुसार अलग की गईं

एक आंतरिक समीक्षा में पाया गया कि एक ही सीक्रेट दो अलग-अलग क्रिप्टोग्राफ़िक कार्यों के लिए इस्तेमाल हो रहा था। इससे कोई सीधा बायपास नहीं बनता था, पर कुंजी के समझौते का प्रभाव-क्षेत्र बढ़ जाता था। दोनों उद्देश्य अलग कर दिए गए हैं और अब प्रत्येक स्वतंत्र रूप से रोटेट होता है।

production API की सार्वजनिक सतह घटाई गई

API का इंटरैक्टिव तकनीकी दस्तावेज़ बिना प्रमाणीकरण के पहुँच योग्य था। इससे संरक्षित डेटा तक पहुँच नहीं मिलती थी, पर API की आंतरिक संरचना का अध्ययन आसान हो जाता था। production में यह दस्तावेज़ अब बंद कर दिया गया है, जबकि विकास के लिए एक पृथक वातावरण में उपलब्ध रहता है।

असुरक्षित cross-origin कॉन्फ़िगरेशन के विरुद्ध एक सुरक्षा-उपाय जोड़ा गया

मौजूदा production कॉन्फ़िगरेशन मनमाने origins की अनुमति नहीं देती थी, पर यदि कोई ऑपरेटर इसे गलत तरीके से सेट कर देता तो कोड पैरामीटर के एक ख़तरनाक संयोजन की अनुमति देता था। अब वह संयोजन स्टार्टअप पर अस्वीकार कर दिया जाता है और एक स्वचालित टेस्ट से कवर है।

प्रोग्राम लॉन्च से पहले आंतरिक समीक्षा

15 जुलाई 2026 को हमने CreateYourVPN की आंतरिक सुरक्षा समीक्षा शुरू की। जो सुधार हमने पूरे किए और दोबारा सत्यापित किए, वे नीचे प्रकाशित हैं; जैसे-जैसे और सुधार तैनात और पुष्ट होते जाएँगे, वे आते रहेंगे।