Sikkerhetsjournal.

Intern gjennomgang før programlanseringen

Den 15. juli 2026 startet vi en intern sikkerhetsgjennomgang av CreateYourVPN. Rettelsene vi har fullført og reverifisert, publiseres nedenfor; flere følger etter hvert som de rulles ut og bekreftes.

Lagt til vern mot usikker cross-origin-konfigurasjon

Den nåværende production-konfigurasjonen tillot ikke vilkårlige origins, men koden tillot en farlig kombinasjon av parametere dersom en operatør konfigurerte den feil. Den kombinasjonen avvises nå ved oppstart og dekkes av en automatisert test.

Redusert den offentlige flaten til production-API-et

Interaktiv teknisk API-dokumentasjon var tilgjengelig uten autentisering. Den ga ingen tilgang til beskyttede data, men gjorde det lettere å studere API-ets interne struktur. I production er dokumentasjonen nå deaktivert, mens den forblir tilgjengelig i et isolert miljø for utvikling.

Plattformens kryptografiske nøkler atskilt etter formål

En intern gjennomgang fant at én enkelt hemmelighet ble brukt til to ulike kryptografiske oppgaver. Dette skapte ingen direkte omgåelse, men utvidet konsekvensene av en nøkkelkompromittering. De to formålene er atskilt, og hvert av dem roteres nå uavhengig.

Garantert sletting av administrasjonsnøkkelen etter sletting av server

Slettingen av den krypterte administrasjonsnøkkelen kjørte etter nettverksoperasjoner i bakgrunnen og kunne unnlate å gjenta seg dersom disse operasjonene mislyktes. Vi koblet nøkkelslettingen fra nettverkskaskaden og la til et garantert nytt forsøk. Scenarioene med utilgjengelig server og avbrutt prosess dekkes av tester.

Fjernet en ubrukt autorisasjonssti i partner-API-et

API-et støttet en ekstra cookie-basert autorisasjonssti som den nåværende server-side-arkitekturen ikke trengte. Det ble ikke funnet noe cross-site-angrep i production, men den ekstra stien utvidet flaten for fremtidige feil. API-et bruker nå én enkelt, eksplisitt definert autorisasjonsmetode, dekket av negative tester.

Tilgangen til panelet for infrastrukturstyring er begrenset

En ekstern forsker meldte at et administrasjonsgrensesnitt for infrastrukturen svarte fra det åpne internett. Grensesnittet var beskyttet med innlogging, og det ble ikke funnet spor etter uautorisert tilgang. Rapporten ble akseptert, og tilgangen ble begrenset.

Grensesnittet er nå bare tilgjengelig fra godkjente adresser, kravene til innlogging er skjerpet, og de berørte komponentene er oppdatert. Resultatet ble verifisert utenfor nettet vårt. I tillegg gikk vi gjennom den offentlige overflaten vår og innførte en regelmessig kontroll av den. Belønningen er utbetalt på høyeste nivå.

E-postadressene til butikkenes brukere lagres ikke lenger

En person skriver inn e-postadressen sin for å logge inn i en partners butikk, men adressen blir ikke liggende hos oss: e-posten med koden sendes, og adressen slettes med én gang. Kontoen kjennes igjen på et ugjenkallelig avtrykk som adressen ikke kan gjenskapes fra, og kontonavnet inneholder den heller ikke.

Brukeren kan tilbakestille abonnementslenken sin selv

En abonnementslenke er en hemmelighet: den som har den, får samme tilgang som eieren. Brukeren kan tilbakestille den selv i kontoen sin — den forrige lenken slutter å virke, og tilgangene bak den utstedes på nytt. En lenke som er stengt på denne måten, forblir stengt, også når data gjenopprettes fra en sikkerhetskopi.

Sikkerhetsheadere på butikksidene

Partnernes butikker sendte ikke sikkerhetsheaderne som panelet og API-et allerede sendte — blant dem den som forbyr andre nettsteder å vise siden i en ramme. Kontodata eller økter kunne ikke leses den veien. Hele settet følger nå med hvert svar fra butikkene, og påstand SR-15 navngir hver frontend vi drifter.

Håndtering av økter og utsending av innloggingskoder

Etter rapporter fra en ekstern forsker gjennomgikk vi to tilgrensende områder: livssyklusen til en partnerøkt og veien e-posten med innloggingskoden tar. Ingen av funnene ga tilgang til kontoer, partnerdata eller brukertrafikk.

Endringene i utsendingen av innloggingskoder er rullet ut og verifisert. En egen handling for å logge ut overalt er under forberedelse; inntil den kommer, avslutter utlogging den gjeldende økten.