Sikkerhedsjournal.

Intern gennemgang før programmets lancering

Den 15. juli 2026 påbegyndte vi en intern sikkerhedsgennemgang af CreateYourVPN. De rettelser, vi har afsluttet og genverificeret, offentliggøres nedenfor; flere følger, efterhånden som de udrulles og bekræftes.

Tilføjet værn mod usikker cross-origin-konfiguration

Den nuværende production-konfiguration tillod ikke vilkårlige origins, men koden tillod en farlig kombination af parametre, hvis en operatør konfigurerede den forkert. Den kombination afvises nu ved opstart og er dækket af en automatiseret test.

Reduceret den offentlige overflade af production-API'et

Interaktiv teknisk API-dokumentation kunne tilgås uden autentificering. Den gav ikke adgang til beskyttede data, men gjorde det lettere at studere API'ets interne struktur. I production er dokumentationen nu deaktiveret, mens den fortsat er tilgængelig i et isoleret miljø til udvikling.

Platformens kryptografiske nøgler adskilt efter formål

En intern gennemgang fandt, at en enkelt hemmelighed blev brugt til to forskellige kryptografiske opgaver. Det skabte ingen direkte omgåelse, men det udvidede konsekvenserne af en nøglekompromittering. De to formål er blevet adskilt, og hver roteres nu uafhængigt.

Garanteret rydning af administrationsnøglen efter sletning af server

Rydningen af den krypterede administrationsnøgle kørte efter netværksoperationer i baggrunden og kunne undlade at gentage sig, hvis disse operationer fejlede. Vi afkoblede nøglerydningen fra netværkskaskaden og tilføjede et garanteret nyt forsøg. Scenarierne med utilgængelig server og afbrudt proces er dækket af tests.

Fjernet en ubrugt autorisationssti i partner-API'et

API'et understøttede en ekstra cookie-baseret autorisationssti, som den nuværende server-side-arkitektur ikke havde brug for. Der blev ikke fundet noget cross-site-angreb i production, men den ekstra sti udvidede fladen for fremtidige fejl. API'et bruger nu en enkelt, eksplicit defineret autorisationsmetode, dækket af negative tests.

Adgangen til panelet til styring af infrastrukturen er begrænset

En ekstern forsker rapporterede, at en administrativ grænseflade til styring af infrastrukturen svarede fra det offentlige internet. Grænsefladen var beskyttet med login, og der blev ikke fundet tegn på uautoriseret adgang. Rapporten blev accepteret, og adgangen blev begrænset.

Grænsefladen er nu kun tilgængelig fra godkendte adresser, kravene til login er skærpet, og de berørte komponenter er opdateret. Resultatet blev verificeret uden for vores netværk. Derudover gennemgik vi vores offentlige overflade og indførte en regelmæssig kontrol af den. Belønningen er udbetalt på det højeste niveau.

E-mailadresser på butikkernes brugere gemmes ikke længere

En person skriver sin e-mailadresse for at logge ind i en partners butik, men adressen bliver ikke liggende hos os: mailen med koden sendes, og adressen slettes med det samme. Kontoen genkendes på et uigenkaldeligt aftryk, som adressen ikke kan genskabes ud fra, og kontonavnet indeholder den heller ikke.

Brugeren kan selv nulstille sit abonnementslink

Et abonnementslink er en hemmelighed: den, der har det, får samme adgang som ejeren. Brugeren kan selv nulstille det i sin konto — det tidligere link holder op med at virke, og adgangene bag det udstedes på ny. Et link, der er lukket på denne måde, forbliver lukket, også når data gendannes fra en sikkerhedskopi.

Sikkerhedsheaders på butikssiderne

Partnernes butikker sendte ikke de sikkerhedsheaders, som panelet og API'et allerede sendte — heriblandt den, der forbyder andre websteder at vise siden i en ramme. Kontodata eller sessioner kunne ikke læses ad den vej. Det fulde sæt følger nu med hvert svar fra butikkerne, og påstand SR-15 nævner hver frontend, vi hoster.

Håndtering af sessioner og udsendelse af loginkoder

Efter rapporter fra en ekstern forsker gennemgik vi to tilgrænsende områder: livscyklussen for en partnersession og den vej, e-mailen med loginkoden tager. Ingen af fundene gav adgang til konti, partnerdata eller brugertrafik.

Ændringerne i udsendelsen af loginkoder er udrullet og verificeret. En særskilt handling til at logge ud alle steder er under forberedelse; indtil den kommer, afslutter log ud den aktuelle session.