Tietoturvapäiväkirja.

Linux-ytimen haavoittuvuus CVE-2026-98432 suljettu

Linux-ytimen tapa käsitellä saapuvia TCP-yhteyksiä sisälsi haavoittuvuuden CVE-2026-98432. Se koskee Linux-palvelimia riippumatta siitä, mitä palvelua niillä ajetaan.

Alustan palvelimien ja kumppanien aktiivisten VPN-palvelimien, joissa on tuettu järjestelmäversio, ytimet on päivitetty korjauksen sisältävään versioon.

Julkisen tukilomakkeen rajat yhtenäistetty

Parth Narulan raportti osoitti, että toisella sähköpostiosoitteella julkisen tukilomakkeemme kautta voitiin lähettää lisää pyyntöjä. Yhtenäistimme lomakkeen rajat, joten osoitteen vaihtaminen ei enää anna lisäpyyntöjä. Kiitos vastuullisesta ilmoituksesta.

Tukipalvelun käyttöliittymän käyttöä rajoitettiin

Ulkopuolinen tutkija kiinnitti huomiota siihen, että tukipalvelun käyttöliittymä oli tavoitettavissa internetistä. Käyttöliittymä vaati tunnistautumisen; merkkejä luvattomasta pääsystä tai käyttäjätietojen paljastumisesta ei havaittu.

Poistimme tukipalvelun julkiselta pinnalta: pääsy sallitaan vain luotetuista osoitteista ja sisäisen kanavan kautta. Käyttöliittymän asetukset yhdenmukaistettiin käytössä olevan verkkotunnuksen kanssa, ja rajoitus varmistettiin ulkoisesta verkosta.

Paluuosoite rajattu paneelin sivuihin

Tietoturvatutkija havaitsi, että selain saattoi tulkita istunnon palauttamisen jälkeisen sisäisen paluuosoitteen siirtymiseksi ulkoiselle sivustolle. Skenaario edellytti voimassa olevaa istuntoa eikä antanut pääsyä tiliin tai tietoihin.

Paluuosoite valitaan nyt suljetusta sisäisten sivujen luettelosta. Mikä tahansa muu arvo ohjaa paneelin etusivulle. Korjaus on katettu automaattisilla negatiivisilla testeillä.

DMARC-pakotus otettu käyttöön

Tietoturvatutkija havaitsi, että createyourvpn.comin DMARC-käytäntö toimi vain valvontatilassa eikä vaatinut hylkäämään viestejä, jotka eivät läpäisseet tarkistusta. Otimme pääverkkotunnukselle käyttöön p=reject-asetuksen ja sen postia lähettämättömille aliverkkotunnuksille sp=reject-asetuksen. Tapahtumaviestit pysyvät erillisillä lähetysaliverkkotunnuksilla, joilla on omat SPF-, DKIM- ja DMARC-käytäntönsä.

MTA-STS ja TLS-raportointi otettu käyttöön

Tietoturvatutkija havaitsi, ettei createyourvpn.comin saapuvalle postille ollut määritetty MTA-STS:ää eikä TLS-raportointia. Julkaisimme MTA-STS-käytännön ja otimme TLS-raportoinnin käyttöön. Käytäntö toimii aluksi testaustilassa, kun tarkistamme kolmannen osapuolen edelleenlähetysreittiä; pakotus otetaan käyttöön virheettömien raporttien jälkeen.

Tilin istuntojen hallinta lisätty

Tietoturvatutkija havaitsi, että kumppani-istunnon tokenin kopio saattoi jäädä aktiiviseksi uloskirjautumisen jälkeen, jos se oli uusittu erikseen. Siirsimme istunnot käyttämään yhtä palvelinpuolen tunnistetta: uloskirjautuminen peruuttaa nyt koko nykyisen istunnon, ja toiminto ”Kirjaudu ulos kaikkialta” päättää kaikki aktiiviset istunnot.

Hallintapaneeliin lisättiin osio ”Tilin istunnot”. Siinä näkyvät nykyiset kirjautumiset laitteineen, IP-osoitteineen, kirjautumisaikoineen ja viimeisimpine toimintoineen sekä onnistuneiden ja epäonnistuneiden kirjautumisyritysten historia 90 päivän ajalta. Minkä tahansa istunnon voi päättää erikseen, tai kaikki voi päättää kerralla.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Julkisen tukilomakkeen vahvempi suojaus

Tietoturvatutkija 0xVicky havaitsi, että julkista tukilomakettamme voitiin käyttää liian monien pyyntöjen lähettämiseen. Lisäsimme rajat kävijäkohtaisesti ja kokonaisliikenteelle, suojasimme lomakkeen sisäisen lähetyskanavan ja vahvistimme liitteiden tarkistusta. Kiitos vastuullisesta ilmoituksesta.

Istuntojen hallinta ja kirjautumiskoodien lähetys

Ulkoisen tutkijan raporttien pohjalta kävimme läpi kaksi vierekkäistä aluetta: kumppani-istunnon elinkaaren ja kirjautumiskoodin sisältävän sähköpostin reitin. Kumpikaan havainto ei antanut pääsyä tileihin, kumppanien tietoihin eikä käyttäjien liikenteeseen.

Tietoturvaotsakkeet kauppojen sivuilla

Kumppanien kaupat eivät lähettäneet niitä tietoturvaotsakkeita, joita paneeli ja API jo lähettivät — mukaan lukien otsake, joka estää muita sivustoja näyttämästä sivua kehyksessä. Tilitietoja tai istuntoja ei tätä kautta voinut lukea. Täysi joukko kulkee nyt jokaisen kaupan vastauksen mukana, ja väite SR-15 nimeää jokaisen ylläpitämämme frontendin.

Käyttäjä voi nollata tilauslinkkinsä itse

Tilauslinkki on salaisuus: sen haltija saa saman pääsyn kuin linkin omistaja. Käyttäjä voi nollata sen itse omalla tilillään: aiempi linkki lakkaa toimimasta ja sen takana olevat käyttöoikeudet luodaan uudelleen. Näin suljettu linkki pysyy suljettuna myös silloin, kun tiedot palautetaan varmuuskopiosta.

Myymälöiden käyttäjien sähköpostiosoitteita ei enää säilytetä

Ihminen kirjoittaa sähköpostiosoitteensa kirjautuakseen kumppanin myymälään, mutta osoite ei jää meille: koodiviesti lähtee ja osoite poistetaan heti. Tili tunnistetaan peruuttamattomasta tiivisteestä, josta osoitetta ei voi palauttaa, eikä tilin nimikään sisällä sitä.

Infrastruktuurin hallintapaneelin käyttöä rajoitettiin

Ulkopuolinen tutkija ilmoitti, että infrastruktuurin hallintaan tarkoitettu käyttöliittymä vastasi julkisesta internetistä. Käyttöliittymä oli suojattu kirjautumisella, eikä merkkejä luvattomasta pääsystä löytynyt. Ilmoitus hyväksyttiin ja pääsyä rajoitettiin.

Käyttöliittymä on nyt tavoitettavissa vain hyväksytyistä osoitteista, tunnistautumisvaatimuksia tiukennettiin ja mukana olleet komponentit päivitettiin. Tulos varmistettiin verkkomme ulkopuolelta. Lisäksi kävimme läpi julkisen pintamme ja otimme käyttöön sen säännöllisen tarkistuksen. Palkkio maksettiin ylimmän tason mukaan.

Poistettu käyttämätön kumppani-API:n valtuutuspolku

API tuki ylimääräistä cookie-pohjaista valtuutuspolkua, jota nykyinen server-side-arkkitehtuuri ei tarvinnut. Production-ympäristössä ei havaittu sivustojen välistä hyökkäystä, mutta ylimääräinen polku laajensi tulevien virheiden pintaa. API käyttää nyt yhtä, nimenomaisesti määriteltyä valtuutustapaa, joka on katettu negatiivisilla testeillä.

Taattu hallinta-avaimen tyhjennys palvelimen poistamisen jälkeen

Salatun hallinta-avaimen tyhjennys suoritettiin taustalla tapahtuvien verkkotoimintojen jälkeen, eikä se välttämättä toistunut, jos nuo toiminnot epäonnistuivat. Erotimme avaimen tyhjennyksen verkkokaskadista ja lisäsimme taatun uudelleenyrityksen. Palvelimen tavoittamattomuuden ja keskeytyneen prosessin skenaariot on katettu testeillä.

Alustan salausavaimet eroteltu käyttötarkoituksen mukaan

Sisäisessä arvioinnissa havaittiin, että yhtä salaisuutta käytettiin kahteen eri salaustehtävään. Tämä ei luonut suoraa ohitusta, mutta laajensi avaimen vaarantumisen vaikutuksia. Käyttötarkoitukset on eroteltu, ja kumpikin kiertää nyt itsenäisesti.

Pienennetty production-API:n julkista pintaa

Interaktiivinen API:n tekninen dokumentaatio oli saavutettavissa ilman todennusta. Se ei antanut pääsyä suojattuun tietoon, mutta helpotti API:n sisäisen rakenteen tutkimista. Production-ympäristössä dokumentaatio on nyt poistettu käytöstä, mutta se on edelleen saatavilla eristetyssä kehitysympäristössä.

Lisätty suojaus turvatonta cross-origin-määritystä vastaan

Nykyinen production-määritys ei sallinut mielivaltaisia origineja, mutta koodi salli vaarallisen parametriyhdistelmän, jos ylläpitäjä määritti sen väärin. Tämä yhdistelmä hylätään nyt käynnistyksessä ja on katettu automaattisella testillä.

Sisäinen tarkastus ennen ohjelman julkaisua

Aloitimme 15. heinäkuuta 2026 CreateYourVPN:n sisäisen tietoturva-arvioinnin. Korjaukset, jotka olemme saaneet valmiiksi ja tarkistaneet uudelleen, on julkaistu alla; lisää tulee sitä mukaa kuin niitä otetaan käyttöön ja vahvistetaan.