Ημερολόγιο ασφαλείας.

Εσωτερικός έλεγχος πριν από την έναρξη του προγράμματος

Στις 15 Ιουλίου 2026 ξεκινήσαμε μια εσωτερική επιθεώρηση ασφαλείας του CreateYourVPN. Οι διορθώσεις που έχουμε ολοκληρώσει και επαληθεύσει εκ νέου δημοσιεύονται παρακάτω· θα ακολουθήσουν κι άλλες καθώς αναπτύσσονται και επιβεβαιώνονται.

Προστέθηκε δικλείδα ασφαλείας έναντι μη ασφαλούς διαμόρφωσης cross-origin

Η τρέχουσα διαμόρφωση production δεν επέτρεπε αυθαίρετα origins, όμως ο κώδικας επέτρεπε έναν επικίνδυνο συνδυασμό παραμέτρων αν ένας διαχειριστής τον διαμόρφωνε λανθασμένα. Αυτός ο συνδυασμός πλέον απορρίπτεται κατά την εκκίνηση και καλύπτεται από αυτοματοποιημένο έλεγχο.

Μειώθηκε η δημόσια επιφάνεια του production API

Η διαδραστική τεχνική τεκμηρίωση του API ήταν προσβάσιμη χωρίς αυθεντικοποίηση. Δεν έδινε πρόσβαση σε προστατευμένα δεδομένα, αλλά διευκόλυνε τη μελέτη της εσωτερικής δομής του API. Στο production η τεκμηρίωση είναι πλέον απενεργοποιημένη, ενώ παραμένει διαθέσιμη σε απομονωμένο περιβάλλον για την ανάπτυξη.

Τα κρυπτογραφικά κλειδιά της πλατφόρμας διαχωρίστηκαν κατά σκοπό

Μια εσωτερική επιθεώρηση διαπίστωσε ότι ένα μόνο μυστικό χρησιμοποιούνταν για δύο διαφορετικές κρυπτογραφικές εργασίες. Αυτό δεν δημιουργούσε άμεση παράκαμψη, αλλά διεύρυνε τις συνέπειες μιας παραβίασης κλειδιού. Οι δύο σκοποί διαχωρίστηκαν και ο καθένας πλέον εναλλάσσεται ανεξάρτητα.

Εγγυημένη εκκαθάριση του κλειδιού διαχείρισης μετά τη διαγραφή διακομιστή

Η εκκαθάριση του κρυπτογραφημένου κλειδιού διαχείρισης εκτελούνταν μετά από δικτυακές λειτουργίες στο παρασκήνιο και μπορούσε να μην επαναληφθεί αν εκείνες αποτύγχαναν. Αποσυνδέσαμε την εκκαθάριση του κλειδιού από την αλυσίδα δικτύου και προσθέσαμε εγγυημένη επανάληψη. Τα σενάρια μη προσβάσιμου διακομιστή και διακοπής διεργασίας καλύπτονται από ελέγχους.

Αφαιρέθηκε μια αχρησιμοποίητη διαδρομή εξουσιοδότησης του API συνεργατών

Το API υποστήριζε μια επιπλέον διαδρομή εξουσιοδότησης βασισμένη σε cookie, την οποία η τρέχουσα αρχιτεκτονική server-side δεν χρειαζόταν. Δεν εντοπίστηκε καμία επίθεση cross-site στο production, όμως η επιπλέον διαδρομή διεύρυνε την επιφάνεια για μελλοντικά λάθη. Το API χρησιμοποιεί πλέον μία μόνο, ρητά ορισμένη μέθοδο εξουσιοδότησης, που καλύπτεται από αρνητικούς ελέγχους.

Περιορίστηκε η πρόσβαση στον πίνακα διαχείρισης της υποδομής

Εξωτερικός ερευνητής ανέφερε ότι μια διαχειριστική διεπαφή της υποδομής αποκρινόταν από το δημόσιο διαδίκτυο. Η διεπαφή προστατευόταν με ταυτοποίηση και δεν βρέθηκαν ενδείξεις μη εξουσιοδοτημένης πρόσβασης. Η αναφορά έγινε δεκτή και η πρόσβαση περιορίστηκε.

Η διεπαφή είναι πλέον προσβάσιμη μόνο από εγκεκριμένες διευθύνσεις, οι απαιτήσεις ταυτοποίησης ενισχύθηκαν και τα σχετικά στοιχεία ενημερώθηκαν. Το αποτέλεσμα επαληθεύτηκε εκτός του δικτύου μας. Επιπλέον επανεξετάσαμε τη δημόσια επιφάνειά μας και προσθέσαμε τακτικό έλεγχο. Η αμοιβή καταβλήθηκε στο ανώτατο επίπεδο.

Οι διευθύνσεις email των χρηστών των βιτρινών δεν διατηρούνται πλέον

Κάποιος πληκτρολογεί το email του για να συνδεθεί στη βιτρίνα ενός συνεργάτη, όμως η διεύθυνση δεν μένει σε εμάς: το email με τον κωδικό φεύγει και η διεύθυνση διαγράφεται αμέσως. Ο λογαριασμός αναγνωρίζεται από ένα μη αντιστρεπτό αποτύπωμα, από το οποίο η διεύθυνση δεν ανακτάται, ενώ ούτε το όνομα του λογαριασμού την περιέχει.

Ο χρήστης μπορεί να επαναφέρει μόνος του τον σύνδεσμο συνδρομής

Ο σύνδεσμος συνδρομής είναι μυστικό: όποιος τον έχει αποκτά την ίδια πρόσβαση με τον κάτοχό του. Ο χρήστης μπορεί να τον επαναφέρει μόνος του από τον λογαριασμό του: ο προηγούμενος σύνδεσμος παύει να λειτουργεί και τα διαπιστευτήρια πίσω από αυτόν εκδίδονται εκ νέου. Ένας σύνδεσμος που έκλεισε έτσι παραμένει κλειστός, ακόμη και όταν τα δεδομένα επαναφέρονται από αντίγραφο ασφαλείας.

Κεφαλίδες ασφαλείας στις σελίδες των καταστημάτων

Τα καταστήματα των συνεργατών δεν έστελναν τις κεφαλίδες ασφαλείας που ο πίνακας και το API έστελναν ήδη — μεταξύ τους και εκείνη που απαγορεύει σε άλλους ιστότοπους να εμφανίζουν τη σελίδα σε πλαίσιο. Δεδομένα λογαριασμού ή συνεδρίας δεν ήταν δυνατόν να διαβαστούν έτσι. Το πλήρες σύνολο συνοδεύει πλέον κάθε απόκριση των καταστημάτων και ο ισχυρισμός SR-15 κατονομάζει κάθε frontend που φιλοξενούμε.

Διαχείριση συνεδριών και αποστολή κωδικών σύνδεσης

Έπειτα από αναφορές εξωτερικού ερευνητή εξετάσαμε δύο γειτονικές περιοχές: τον κύκλο ζωής μιας συνεδρίας συνεργάτη και τη διαδρομή του email με τον κωδικό σύνδεσης. Κανένα από τα ευρήματα δεν έδινε πρόσβαση σε λογαριασμούς, σε δεδομένα συνεργατών ή στην κίνηση των χρηστών.

Οι αλλαγές στην αποστολή κωδικών σύνδεσης έχουν αναπτυχθεί και επαληθευτεί. Μια ξεχωριστή ενέργεια «αποσύνδεση από όλες τις συσκευές» ετοιμάζεται· μέχρι να κυκλοφορήσει, η αποσύνδεση τερματίζει την τρέχουσα συνεδρία.