Jurnal de securitate.

Protecția împotriva atacurilor DDoS a fost consolidată

Site-ul și panoul partenerului rezistă acum mai bine la supraîncărcarea cu cereri.

Gestionarea paginilor inexistente a fost corectată

Un raport de la Tsabita a arătat că unele adrese inexistente ale site-ului returnau o eroare de server în locul unei pagini „negăsită”. Răspunsurile nu conțineau date interne. Eroarea a fost corectată, iar astfel de adrese răspund acum corect. Mulțumim pentru raport.

Vulnerabilitatea CVE-2026-98432 a nucleului Linux a fost închisă

A fost descoperită vulnerabilitatea CVE-2026-98432 în modul în care nucleul Linux gestionează conexiunile TCP de intrare. Aceasta afectează serverele Linux, indiferent de serviciul pe care îl rulează.

Nucleele serverelor platformei și ale serverelor VPN active ale partenerilor cu versiuni de sistem acceptate au fost actualizate la o versiune cu remedierea.

Limite aliniate pentru formularul public de asistență

Un raport de la Parth Narula a arătat că, folosind o altă adresă de e-mail, prin formularul nostru public de asistență se puteau trimite solicitări suplimentare. Am aliniat limitele formularului, astfel că schimbarea adresei nu mai permite solicitări suplimentare. Mulțumim pentru raportarea responsabilă.

A fost restricționat accesul la interfața serviciului de asistență

Un cercetător extern a semnalat faptul că interfața serviciului de asistență era accesibilă din internet. Interfața necesita autentificare; nu au fost identificate semne de acces neautorizat sau de expunere a datelor utilizatorilor.

Am exclus serviciul de asistență din suprafața publică: accesul este permis doar de la adrese de încredere și printr-un canal intern. Setările interfeței au fost aliniate cu domeniul utilizat, iar restricția a fost verificată din afara rețelei noastre.

Adresa de revenire este limitată la paginile panoului

Un cercetător în securitate a descoperit că adresa de revenire de serviciu, folosită după restaurarea sesiunii, putea fi interpretată de browser ca o navigare către un site extern. Scenariul necesita o sesiune validă și nu oferea acces la cont sau la date.

Acum adresa de revenire este aleasă dintr-o listă închisă de pagini interne. Orice altă valoare duce la pagina principală a panoului. Remedierea este acoperită de teste negative automate.

Aplicarea DMARC a fost activată

Un cercetător în securitate a descoperit că politica DMARC pentru createyourvpn.com funcționa doar în modul de monitorizare și nu impunea respingerea mesajelor care nu treceau validarea. Am activat p=reject pentru domeniul principal și sp=reject pentru subdomeniile sale care nu trimit mesaje. Mesajele tranzacționale rămân izolate pe subdomenii de expediere separate, cu propriile politici SPF, DKIM și DMARC.

MTA-STS și raportarea TLS au fost activate

Un cercetător în securitate a descoperit că MTA-STS și raportarea TLS nu erau configurate pentru mesajele primite de createyourvpn.com. Am publicat o politică MTA-STS și am activat raportarea TLS. Politica funcționează mai întâi în modul de testare cât timp verificăm calea de redirecționare a terțului; aplicarea va fi activată după rapoarte fără erori.

A fost adăugat controlul sesiunilor contului

Un cercetător în securitate a descoperit că o copie a tokenului unei sesiuni de partener putea rămâne activă după deconectare dacă fusese reînnoită separat. Am trecut sesiunile la o singură identitate pe server: deconectarea revocă acum întreaga sesiune curentă, iar acțiunea „Deconectare peste tot” încheie toate sesiunile active.

În panou a apărut secțiunea „Sesiunile contului”. În ea sunt vizibile autentificările curente, cu dispozitivul, adresa IP, ora autentificării și ultima activitate, precum și istoricul încercărilor de autentificare reușite și eșuate din ultimele 90 de zile. Orice sesiune poate fi încheiată separat sau pot fi încheiate toate deodată.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Protecție sporită pentru formularul public de asistență

Cercetătorul în securitate 0xVicky a descoperit că formularul nostru public de asistență putea fi folosit pentru a trimite un număr excesiv de solicitări. Am adăugat limite pentru fiecare vizitator și pentru traficul total, am protejat canalul intern de trimitere al formularului și am întărit verificarea atașamentelor. Mulțumim pentru raportarea responsabilă.

Gestionarea sesiunilor și trimiterea codurilor de autentificare

În urma rapoartelor unui cercetător extern am revizuit două zone învecinate: ciclul de viață al unei sesiuni de partener și traseul e-mailului cu codul de autentificare. Niciuna dintre constatări nu oferea acces la conturi, la datele partenerilor sau la traficul utilizatorilor.

Anteturi de securitate pe paginile magazinelor

Magazinele partenerilor nu trimiteau anteturile de securitate pe care panoul și API-ul le trimiteau deja — printre ele și cel care interzice altor site-uri să afișeze pagina într-un iframe. Pe această cale nu se puteau citi date de cont sau sesiuni. Setul complet însoțește acum fiecare răspuns al magazinelor, iar afirmația SR-15 numește fiecare frontend pe care îl găzduim.

Utilizatorul își poate reseta singur linkul de abonament

Linkul de abonament este un secret: cine îl are obține același acces ca titularul. Utilizatorul îl poate reseta singur din contul său: linkul anterior încetează să funcționeze, iar datele de acces din spatele lui sunt emise din nou. Un link închis astfel rămâne închis, inclusiv atunci când datele sunt restaurate dintr-o copie de rezervă.

Adresele de e-mail ale utilizatorilor vitrinelor nu mai sunt păstrate

O persoană își introduce e-mailul ca să intre în vitrina unui partener, dar adresa nu rămâne la noi: e-mailul cu codul pleacă, iar adresa este ștearsă imediat. Contul este recunoscut după o amprentă ireversibilă din care adresa nu poate fi recuperată, iar numele contului nu o conține nici el.

A fost restricționat accesul la panoul de administrare a infrastructurii

Un cercetător extern a raportat că o interfață administrativă de gestionare a infrastructurii răspundea din internetul public. Interfața era protejată prin autentificare, urme de acces neautorizat nu au fost găsite. Raportul a fost acceptat, iar accesul restricționat.

Interfața este acum accesibilă doar de la adrese aprobate, cerințele de autentificare au fost întărite, iar componentele implicate actualizate. Rezultatul a fost verificat din afara rețelei noastre. Am revizuit suplimentar suprafața noastră publică și am introdus o verificare periodică. Recompensa a fost plătită la nivelul cel mai înalt.

Eliminată o cale de autorizare neutilizată a API-ului pentru parteneri

API-ul accepta o cale de autorizare suplimentară bazată pe cookie de care arhitectura server-side actuală nu avea nevoie. Nu a fost găsit niciun atac cross-site în production, dar calea suplimentară lărgea suprafața pentru erori viitoare. API-ul folosește acum o singură metodă de autorizare definită explicit, acoperită de teste negative.

Garantată ștergerea cheii de administrare după eliminarea serverului

Ștergerea cheii de administrare criptate se executa după operațiuni de rețea în fundal și putea să nu se repete dacă acele operațiuni eșuau. Am decuplat ștergerea cheii de cascada de rețea și am adăugat o reîncercare garantată. Scenariile de server inaccesibil și de proces întrerupt sunt acoperite de teste.

Cheile criptografice ale platformei separate în funcție de scop

O revizuire internă a constatat că un singur secret era folosit pentru două sarcini criptografice diferite. Aceasta nu crea o eludare directă, dar lărgea consecințele unei compromiteri a cheii. Cele două scopuri au fost separate și fiecare este acum rotit independent.

Redusă suprafața publică a API-ului production

Documentația tehnică interactivă a API-ului era accesibilă fără autentificare. Nu oferea acces la date protejate, dar facilita studierea structurii interne a API-ului. În production documentația este acum dezactivată, rămânând disponibilă într-un mediu izolat pentru dezvoltare.

Adăugată o protecție împotriva unei configurări cross-origin nesigure

Configurarea production actuală nu permitea origini arbitrare, însă codul permitea o combinație periculoasă de parametri dacă un operator o configura greșit. Această combinație este acum respinsă la pornire și acoperită de un test automatizat.

Revizuire internă înainte de lansarea programului

Pe 15 iulie 2026 am început o revizuire internă de securitate a CreateYourVPN. Corecțiile pe care le-am finalizat și reverificat sunt publicate mai jos; vor urma și altele, pe măsură ce sunt implementate și confirmate.