Bezpečnostný denník.

Posilnená ochrana pred útokmi DDoS

Web a panel partnera sú teraz odolnejšie voči preťaženiu požiadavkami.

Opravené spracovanie neexistujúcich stránok

Správa od Tsabita ukázala, že niektoré neexistujúce adresy webu vracali chybu servera namiesto stránky „nenájdené“. Odpovede neobsahovali žiadne interné údaje. Chyba je opravená a takéto adresy teraz odpovedajú správne. Ďakujeme za správu.

Uzavretá zraniteľnosť jadra Linuxu CVE-2026-98432

Bola zistená zraniteľnosť CVE-2026-98432 v spôsobe, akým jadro Linuxu spracúva prichádzajúce pripojenia TCP. Týka sa linuxových serverov bez ohľadu na službu, ktorá na nich beží.

Jadrá serverov platformy a aktívnych serverov VPN partnerov s podporovanými verziami systému boli aktualizované na verziu s opravou.

Zjednotené limity verejného formulára podpory

Správa od Parth Narula ukázala, že s inou e-mailovou adresou sa cez náš verejný formulár podpory dali odoslať ďalšie požiadavky. Zjednotili sme limity formulára, takže zmena adresy už ďalšie požiadavky neumožňuje. Ďakujeme za zodpovedné hlásenie.

Bol obmedzený prístup k rozhraniu podpory

Externý výskumník upozornil, že rozhranie podpory bolo dostupné z internetu. Rozhranie vyžadovalo overenie; známky neoprávneného prístupu ani úniku používateľských údajov sa nezistili.

Službu podpory sme vyradili z verejného povrchu: prístup je povolený len z dôveryhodných adries a cez interný kanál. Nastavenia rozhrania boli zosúladené s používanou doménou a obmedzenie bolo overené z vonkajšej siete.

Návratová adresa je obmedzená na stránky panela

Bezpečnostný výskumník zistil, že servisnú návratovú adresu po obnovení relácie mohol prehliadač interpretovať ako prechod na externý web. Scenár vyžadoval platnú reláciu a neumožňoval prístup k účtu ani k údajom.

Návratová adresa sa teraz vyberá z uzavretého zoznamu interných stránok. Akákoľvek iná hodnota vedie na hlavnú stránku panela. Oprava je pokrytá automatickými negatívnymi testami.

Zapnuté vynucovanie DMARC

Bezpečnostný výskumník zistil, že politika DMARC pre createyourvpn.com fungovala iba v režime monitorovania a nevyžadovala odmietnutie správ, ktoré neprešli overením. Pre hlavnú doménu sme zapli p=reject a pre jej subdomény bez odosielania pošty sp=reject. Transakčná pošta zostáva oddelená na samostatných odosielacích subdoménach s vlastnými politikami SPF, DKIM a DMARC.

Zapnuté MTA-STS a TLS reporty

Bezpečnostný výskumník zistil, že pre prichádzajúcu poštu na createyourvpn.com neboli nastavené MTA-STS ani TLS reporty. Zverejnili sme politiku MTA-STS a zapli TLS reporty. Politika najprv funguje v testovacom režime, kým overujeme cestu preposielania tretej strany; vynucovanie zapneme po bezchybných reportoch.

Pridaná kontrola relácií účtu

Bezpečnostný výskumník zistil, že kópia tokenu partnerskej relácie mohla po odhlásení zostať aktívna, ak bola samostatne obnovená. Relácie sme previedli na jednotnú serverovú identitu: odhlásenie teraz odvolá celú aktuálnu reláciu a akcia „Odhlásiť sa všade“ ukončí všetky aktívne relácie.

V paneli pribudla sekcia „Relácie účtu“. Sú v nej viditeľné aktuálne prihlásenia so zariadením, IP adresou, časom prihlásenia a poslednou aktivitou, ako aj história úspešných a neúspešných pokusov o prihlásenie za 90 dní. Ktorúkoľvek reláciu možno ukončiť samostatne alebo ukončiť všetky naraz.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Silnejšia ochrana verejného formulára podpory

Bezpečnostný výskumník 0xVicky zistil, že náš verejný formulár podpory sa dal zneužiť na odosielanie nadmerného množstva požiadaviek. Pridali sme limity pre jednotlivých návštevníkov aj celkovú prevádzku, zabezpečili interný kanál formulára a posilnili kontrolu príloh. Ďakujeme za zodpovedné hlásenie.

Správa relácií a odosielanie prihlasovacích kódov

Na základe hlásení externého výskumníka sme prešli dve susediace oblasti: životný cyklus partnerskej relácie a cestu e-mailu s prihlasovacím kódom. Ani jedno zistenie neumožňovalo prístup k účtom, údajom partnerov ani k prevádzke používateľov.

Bezpečnostné hlavičky na stránkach obchodov

Obchody partnerov neposielali bezpečnostné hlavičky, ktoré panel a API posielali už skôr — vrátane tej, ktorá cudzím webom zakazuje zobraziť stránku v ráme. Údaje účtu ani relácie sa touto cestou prečítať nedali. Kompletná sada teraz sprevádza každú odpoveď obchodu a tvrdenie SR-15 menuje každý frontend, ktorý prevádzkujeme.

Používateľ si môže resetovať svoj odkaz na predplatné sám

Odkaz na predplatné je tajomstvo: kto ho má, získa rovnaký prístup ako jeho vlastník. Používateľ si ho môže resetovať sám vo svojom účte — predchádzajúci odkaz prestane fungovať a prístupové údaje za ním sa vydajú nanovo. Takto uzavretý odkaz zostáva uzavretý, aj keď sa údaje obnovia zo zálohy.

E-mailové adresy používateľov výkladov sa už neuchovávajú

Človek zadá svoj e-mail, aby sa prihlásil do výkladu partnera, ale adresa u nás nezostane: e-mail s kódom odíde a adresa sa hneď zmaže. Účet spoznáme podľa nevratného odtlačku, z ktorého adresu obnoviť nemožno, a názov účtu ju tiež neobsahuje.

Bol obmedzený prístup k panelu na správu infraštruktúry

Externý výskumník nahlásil, že administratívne rozhranie na správu infraštruktúry odpovedalo z verejného internetu. Rozhranie bolo chránené prihlásením, stopy neoprávneného prístupu sa nenašli. Hlásenie bolo prijaté a prístup obmedzený.

Rozhranie je teraz dostupné iba zo schválených adries, požiadavky na overenie boli sprísnené a dotknuté komponenty aktualizované. Výsledok bol overený z vonkajšej siete. Ďalej sme prešli náš verejný povrch a zaviedli jeho pravidelnú kontrolu. Odmena bola vyplatená v najvyššom pásme.

Odstránená nepoužívaná cesta autorizácie partnerského API

API podporovalo doplnkovú cestu autorizácie založenú na cookie, ktorú súčasná server-side architektúra nepotrebovala. V production sa nezistil žiadny cross-site útok, no cesta navyše rozširovala plochu pre budúce chyby. API teraz používa jedinú, explicitne definovanú metódu autorizácie, pokrytú negatívnymi testami.

Zaručené vymazanie správcovského kľúča po odstránení servera

Vymazanie zašifrovaného správcovského kľúča prebiehalo po sieťových operáciách na pozadí a pri ich zlyhaní sa nemuselo zopakovať. Vymazanie kľúča sme oddelili od sieťovej kaskády a pridali zaručené opakovanie. Scenáre nedostupného servera a prerušeného procesu sú pokryté testami.

Kryptografické kľúče platformy oddelené podľa účelu

Interná kontrola zistila, že jeden tajný kľúč sa používal na dve rôzne kryptografické úlohy. Toto síce nevytváralo priame obídenie ochrany, ale rozširovalo dosah kompromitácie kľúča. Oba účely boli oddelené a každý sa teraz rotuje nezávisle.

Zmenšená verejná plocha production API

Interaktívna technická dokumentácia API bola dostupná bez autentifikácie. Neposkytovala prístup k chráneným údajom, ale uľahčovala štúdium vnútornej štruktúry API. V production je dokumentácia teraz vypnutá, pričom zostáva dostupná v izolovanom prostredí na vývoj.

Pridaná poistka proti nebezpečnej cross-origin konfigurácii

Súčasná production konfigurácia nepovoľovala ľubovoľné origins, kód však umožňoval nebezpečnú kombináciu parametrov, ak ju operátor nesprávne nastavil. Táto kombinácia sa teraz pri štarte odmieta a je pokrytá automatickým testom.

Interná kontrola pred spustením programu

Dňa 15. júla 2026 sme začali internú bezpečnostnú kontrolu CreateYourVPN. Opravy, ktoré sme dokončili a znovu overili, sú zverejnené nižšie; ďalšie budú pribúdať tak, ako sa budú nasadzovať a potvrdzovať.