ExpressVPN’da xavfli zaiflik: RDP orqali haqiqiy IP manzillar fosh bo‘ldi

Dunyodagi eng ommabop VPN xizmatlaridan biri bo‘lgan ExpressVPN yaqinda jiddiy xavfsizlik muammosiga duch keldi. Windows uchun mo‘ljallangan mijoz dasturining ayrim versiyalarida masofaviy ulanishlar (RDP – Remote Desktop Protocol) orqali foydalanuvchilarning haqiqiy IP manzillari oshkor bo‘lishi mumkinligi aniqlandi. Bu zaiflik VPN’ning asosiy maqsadi — foydalanuvchini yashirish va maxfiylikni ta’minlash — ni butkul inkor etuvchi holatdir.

Ushbu zaiflik, dasturga ishlab chiqish jarayonida tasodifan kiritilgan debug (nosozliklarni aniqlashga mo‘ljallangan) kod tufayli yuzaga kelgan. Aynan mana shu kod ExpressVPN mijozining 12.97 dan 12.101.0.2-beta versiyalari oralig‘ida mavjud bo‘lgan. Natijada, foydalanuvchi VPN orqali ulanayotgan bo‘lsa ham, TCP 3389-port orqali yuborilgan RDP trafik VPN tunnelidan chetlab o‘tgan, ya’ni internet-provayderlar va tarmoq kuzatuvchilari uchun foydalanuvchining asl IP manzili ochiq ko‘ringan.

Bu holat shifrlangan RDP sessiyalarining xavfsizligini buzmagan bo‘lsa-da, foydalanuvchining joylashuvi va tarmoq faolligini kuzatish imkonini bergan. Xususan, bu xatolik:

  • ISP’lar (Internet Service Provider) tomonidan real IP’ni aniqlashga,
  • Uchinchi tomon hujumchilari tomonidan RDP seanslarini nishonga olishga,
  • VPN foydalanuvchisini aniqlashga olib kelgan.

🕵️ Zaiflik qanday aniqlandi?

Ushbu zaiflikni xavfsizlik tadqiqotchisi Adam-X ExpressVPN’ning bug bounty (xatoliklarni topish uchun mukofot tizimi) dasturi orqali aniqladi. Kompaniya ushbu holatga chaqqonlik bilan munosabat bildirib, muammoni 5 kun ichida tuzatdi va 12.101.0.45 versiyasi orqali barcha foydalanuvchilarga yangilanishni taqdim etdi.

🧯 Ko‘rilgan choralar

ExpressVPN ushbu voqeadan xulosa chiqarib, ishlab chiqish jarayoniga qator yangiliklar kiritdi:

  • Ishlab chiqilgan kodni avtomatik sinovdan o‘tkazish tizimi kuchaytirildi.
  • Debug va ishlab chiquvchilar uchun mo‘ljallangan kodlarni aniqlovchi maxsus filtrlash mexanizmlari joriy etildi.
  • Insonga xos xatolarni kamaytirish uchun ishlab chiqarish jarayoni soddalashtirildi va tekshiruv bosqichlari kuchaytirildi.

📌 Nima qilish kerak?

Agar siz ExpressVPN Windows mijoz dasturining yuqoridagi versiyalaridan birini ishlatgan bo‘lsangiz, darhol quyidagi choralarni ko‘rishingiz zarur:

  1. Dasturiy ta’minotni 12.101.0.45 yoki undan yangi versiyaga yangilang.
  2. VPN’dan foydalanganda RDP kabi alohida portlar orqali bog‘lanishdan oldin, trafik to‘liq tunnel orqali o‘tishini tekshirib ko‘ring.
  3. Ilk imkoniyatda VPN tunnel monitoring funksiyalaridan foydalanib, sizning IP manzilingiz yashiringaniga ishonch hosil qiling.

Bu hodisa bizga shuni yana bir bor eslatadiki, VPN xizmatlariga to‘liq ishonch bildirishdan oldin ularning texnik bazasi, sinov tizimlari va zaifliklarga munosabatini baholash muhimdir. ExpressVPN holatida, kompaniya muammoni tezkorlik bilan bartaraf etgani va foydalanuvchilarini xabardor qilgani ijobiy jihat bo‘lsa-da, debug kodning ommaviy dasturga tushib ketgani xavotirli holatdir.

Internetda xavfsiz yurish — bu faqatgina parol yoki VPN bilan cheklanmaydi. Har bir vosita — bu xavfsizlik zanjiridagi bir bo‘g‘in. Har bir bo‘g‘in ishonchli bo‘lishi shart!