Sigurnosni dnevnik.

Pojačana zaštita od DDoS napada

Web-stranica i upravljačka ploča partnera sada su otpornije na preopterećenje zahtjevima.

Ispravljena obrada nepostojećih stranica

Izvješće od Tsabita pokazalo je da su neke nepostojeće adrese web-mjesta vraćale pogrešku poslužitelja umjesto stranice „nije pronađeno“. Odgovori nisu sadržavali interne podatke. Pogreška je ispravljena i takve adrese sada odgovaraju ispravno. Hvala na izvješću.

Zatvorena ranjivost Linux jezgre CVE-2026-98432

Otkrivena je ranjivost CVE-2026-98432 u načinu na koji Linux jezgra obrađuje dolazne TCP veze. Odnosi se na Linux poslužitelje bez obzira na to koja usluga na njima radi.

Jezgre poslužitelja platforme i aktivnih VPN poslužitelja partnera s podržanim verzijama sustava ažurirane su na verziju s ispravkom.

Usklađena ograničenja javnog obrasca podrške

Izvješće od Parth Narula pokazalo je da su se s drugom adresom e-pošte putem našeg javnog obrasca podrške mogli poslati dodatni zahtjevi. Uskladili smo ograničenja obrasca pa promjena adrese više ne omogućuje dodatne zahtjeve. Hvala na odgovornoj prijavi.

Ograničen je pristup sučelju službe za podršku

Vanjski istraživač skrenuo je pozornost na to da je sučelje službe za podršku bilo dostupno s interneta. Sučelje je zahtijevalo autentifikaciju; nisu utvrđeni znakovi neovlaštenog pristupa ni otkrivanja korisničkih podataka.

Službu za podršku isključili smo iz javne površine: pristup je dopušten samo s pouzdanih adresa i putem internog kanala. Postavke sučelja usklađene su s radnom domenom, a ograničenje je provjereno iz vanjske mreže.

Povratna adresa ograničena je na stranice ploče

Istraživač je otkrio da je preglednik internu povratnu adresu nakon obnove sesije mogao protumačiti kao prijelaz na vanjsku web-stranicu. Scenarij je zahtijevao važeću sesiju i nije davao pristup računu ni podacima.

Povratna adresa sada se bira sa zatvorenog popisa internih stranica. Svaka druga vrijednost vodi na početnu stranicu ploče. Ispravak je pokriven automatskim negativnim testovima.

Omogućena primjena DMARC-a

Sigurnosni istraživač otkrio je da je DMARC pravilo za createyourvpn.com radilo samo u načinu nadzora i nije zahtijevalo odbijanje poruka koje ne prođu provjeru. Uključili smo p=reject za glavnu domenu i sp=reject za njezine poddomene koje ne šalju poštu. Transakcijska pošta ostaje izdvojena na zasebnim poddomenama za slanje s vlastitim SPF, DKIM i DMARC pravilima.

Omogućeni MTA-STS i TLS izvještaji

Sigurnosni istraživač otkrio je da MTA-STS i TLS izvještaji nisu bili postavljeni za dolaznu poštu na createyourvpn.com. Objavili smo MTA-STS pravilo i omogućili TLS izvještaje. Pravilo najprije radi u testnom načinu dok provjeravamo put prosljeđivanja treće strane; primjenu ćemo uključiti nakon urednih izvještaja.

Dodana je kontrola nad sesijama računa

Sigurnosni istraživač otkrio je da je kopija tokena partnerske sesije mogla ostati aktivna nakon odjave ako je bila zasebno osvježena. Sesije smo prebacili na jedinstveni poslužiteljski identitet: odjava sada opoziva cijelu trenutačnu sesiju, dok radnja „Odjavi se svugdje” završava sve aktivne sesije.

U partnerskoj ploči pojavio se odjeljak „Sesije računa”. U njemu su vidljive trenutačne prijave s uređajem, IP adresom, vremenom prijave i posljednjom aktivnošću te povijest uspješnih i neuspjelih pokušaja prijave za posljednjih 90 dana. Svaka se sesija može zatvoriti zasebno, a mogu se zatvoriti i sve odjednom.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Jača zaštita javnog obrasca podrške

Sigurnosni istraživač 0xVicky otkrio je da se naš javni obrazac podrške mogao zloupotrijebiti za slanje prekomjernog broja zahtjeva. Dodali smo ograničenja po posjetitelju i za ukupan promet, zaštitili interni kanal za slanje obrasca i pojačali provjeru privitaka. Hvala na odgovornoj prijavi.

Upravljanje sesijama i slanje kodova za prijavu

Na temelju prijava vanjskog istraživača pregledali smo dva susjedna područja: životni ciklus partnerske sesije i put e-poruke s kodom za prijavu. Nijedan nalaz nije davao pristup računima, podacima partnera ni prometu korisnika.

Sigurnosna zaglavlja na stranicama trgovina

Partnerske trgovine nisu slale sigurnosna zaglavlja koja panel i API već šalju — među njima ni ono koje drugim stranicama zabranjuje prikaz stranice u okviru. Podaci računa ni sesije tim se putem nisu mogli pročitati. Potpun skup sada prati svaki odgovor trgovine, a tvrdnja SR-15 imenuje svaki frontend koji hostamo.

Korisnik može sam poništiti svoju poveznicu pretplate

Poveznica pretplate je tajna: tko je ima, dobiva jednak pristup kao i njezin vlasnik. Korisnik je može sam poništiti u svom računu — prethodna poveznica prestaje raditi, a pripadajući pristupni podaci izdaju se iznova. Ovako zatvorena poveznica ostaje zatvorena, pa i kad se podaci vrate iz sigurnosne kopije.

Adrese e-pošte korisnika izloga više se ne čuvaju

Osoba upiše svoju e-poštu kako bi se prijavila u izlog partnera, ali adresa kod nas ne ostaje: poruka s kodom odlazi, a adresa se odmah briše. Račun prepoznajemo po nepovratnom otisku iz kojeg se adresa ne može rekonstruirati, a ni naziv računa je ne sadrži.

Ograničen je pristup upravljačkoj ploči infrastrukture

Vanjski istraživač prijavio je da je administrativno sučelje za upravljanje infrastrukturom odgovaralo s javnog interneta. Sučelje je bilo zaštićeno prijavom, tragovi neovlaštenog pristupa nisu pronađeni. Prijava je prihvaćena, a pristup ograničen.

Sučelje je sada dostupno samo s odobrenih adresa, zahtjevi za prijavu su pooštreni, a uključene komponente ažurirane. Rezultat je provjeren izvan naše mreže. Dodatno smo pregledali svoju javnu površinu i uveli njezinu redovitu provjeru. Nagrada je isplaćena u najvišem razredu.

Uklonjen neiskorišten put autorizacije partnerskog API-ja

API je podržavao dodatni put autorizacije zasnovan na cookie, koji trenutnoj server-side arhitekturi nije bio potreban. U production nije pronađen nijedan cross-site napad, no dodatni je put proširivao površinu za buduće pogreške. API sada koristi jedinstvenu, izrijekom definiranu metodu autorizacije, pokrivenu negativnim testovima.

Zajamčeno brisanje upravljačkog ključa nakon brisanja poslužitelja

Brisanje šifriranog upravljačkog ključa izvodilo se nakon mrežnih operacija u pozadini i moglo se ne ponoviti ako bi one zakazale. Odvojili smo brisanje ključa od mrežne kaskade i dodali zajamčeno ponavljanje. Scenariji nedostupnog poslužitelja i prekinutog procesa pokriveni su testovima.

Kriptografski ključevi platforme razdvojeni prema namjeni

Interna je provjera utvrdila da se jedna tajna koristila za dva različita kriptografska zadatka. To nije stvaralo izravno zaobilaženje, ali je proširivalo posljedice kompromitacije ključa. Dvije su namjene razdvojene i svaka se sada rotira neovisno.

Smanjena javna površina production API-ja

Interaktivna tehnička dokumentacija API-ja bila je dostupna bez autentifikacije. Nije davala pristup zaštićenim podacima, ali je olakšavala proučavanje interne strukture API-ja. U production dokumentacija je sada onemogućena, dok ostaje dostupna u izoliranom okruženju za razvoj.

Dodana zaštita od nesigurne cross-origin konfiguracije

Trenutna production konfiguracija nije dopuštala proizvoljne origins, no kôd je dopuštao opasnu kombinaciju parametara ako bi je operater pogrešno postavio. Ta se kombinacija sada odbija pri pokretanju i pokrivena je automatiziranim testom.

Interna revizija prije pokretanja programa

Dana 15. srpnja 2026. započeli smo internu sigurnosnu provjeru CreateYourVPN-a. Ispravci koje smo dovršili i ponovno provjerili objavljeni su u nastavku; slijede i drugi, kako se budu uvodili i potvrđivali.