Mullvad VPN Audit: Geringe Anzahl von gefundenen und behobenen Sicherheitsanfälligkeiten

Mullvad VPN hat sich als eine beliebte Wahl für Nutzer angesehen, die Wert auf Datenschutz und Sicherheit legen. Die VPN-Dienstleistung hebt sich durch ihre einzigartige, festplattenlose Infrastruktur ab, die nicht nur den Datenschutz erhöht, sondern auch die Effizienz verbessert. Ein zusätzliches Merkmal ist die kürzliche Einführung von verschlüsselten DNS-Servern, die im Arbeitsspeicher (RAM) betrieben werden. Dies trägt dazu bei, die Anonymität der Nutzerdaten weiter zu wahren, was für viele Anwender ein entscheidendes Kriterium bei der Wahl eines VPN-Dienstes ist.

Durchführung des Audits

Ende 2024 entschloss sich Mullvad, eine externe Sicherheitsprüfung durchzuführen und beauftragte dazu das renommierte Unternehmen X41 D-Sec, das in Deutschland ansässig ist. Dieses Audit stellt die vierte umfangreiche Sicherheitsüberprüfung dar, die Mullvad seit 2018 in Auftrag gegeben hat. Die Ingenieure von X41 D-Sec waren damit beauftragt, den Quellcode der Mullvad-VPN-Apps auf allen Plattformen eingehend zu überprüfen und Penetrationstests durchzuführen. Diese Tests fanden zwischen Oktober und November 2024 statt und sollten sicherstellen, dass die angebotene Software den höchsten Sicherheitsstandards entspricht.

Ergebnisse der Sicherheitsüberprüfung

Die Überprüfung ergab insgesamt sechs Sicherheitsanfälligkeiten. Unter den gefundenen Problemen waren drei als hochsicherheitskritisch, zwei als mittelgradig und eines als niedrig eingestuft. Solche Sicherheitsanfälligkeiten sind besonders relevant, da sie möglicherweise das Vertrauen der Nutzer in den Dienst beeinträchtigen könnten, wenn sie nicht ordnungsgemäß angegangen werden.

Zusätzlich zur Anzahl der Sicherheitsanfälligkeiten identifizierten die Forscher von X41 D-Sec auch drei spezifische Probleme, die einen erheblichen Einfluss auf die Sicherheit hatten. Es ist wichtig zu betonen, dass Mullvad auf alle identifizierten Probleme reagierte, die in deren Handlungsbereich lagen. Dennoch gab es einige Herausforderungen, da einige Probleme in den grundlegenden Verhaltensweisen von Betriebssystemen oder Protokollen lagen, die von Mullvad nicht direkt behoben werden konnten.

Behebung der Sicherheitsanfälligkeiten

Die drei hochklassifizierten Sicherheitsprobleme, die bei der Überprüfung identifiziert wurden, wurden alle erfolgreich behoben. Diese Probleme umfassten:

1. Heap-Beschädigung: Auf Android, Linux und macOS wurde ein potenzielles Problem entdeckt, das die Speichersicherheit beeinträchtigen konnte.
2. Fehlerbehandlungsprozess: In der Mullvad-Daemon-Software gab es ein Problem mit der Fehlerbearbeitung, das ebenfalls mehrere Plattformen betraf.
3. Verwendung von taskkill.exe: Bei der Installation unter Windows stellte sich heraus, dass die Anwendung absoluter Pfade bedurfte, was ebenfalls behoben wurde.

Diese schnellen und effektiven Reaktionen auf gravierende Sicherheitsanfälligkeiten unterstreichen die Verpflichtung von Mullvad, die Sicherheit seiner Nutzer zu gewährleisten und einen kontinuierlichen Verbesserungsprozess zu fördern.

Herausforderungen bei der Behebung

Nicht alle Probleme konnten von Mullvad vollständig gelöst werden. Ein konkretes Beispiel ist eine als mittelgradig bewertete Sicherheitsanfälligkeit, die darauf hinweist, dass die virtuelle IP-Adresse von Tunnelgeräten möglicherweise an Netzwerkteilnehmer weitergegeben werden könnte. Dieses Problem betraf ausschließlich die Plattformen Linux und Android. Auf Linux konnte Mullvad eine Lösung finden, indem ein Kernelparameter geändert wurde. Die Situation auf Android jedoch war komplexer, da die Mullvad-App diesem Parameter nicht direkt Einhalt gebieten konnte.

Trotz dieser Herausforderung hat das Unternehmen dennoch Verantwortung übernommen und das Problem an Google gemeldet. Mullvad hofft, dass Google die Standardeinstellungen auf Android überarbeitet, um die entsprechende Sicherheit zu erhöhen. Diese Kooperation mit Google zeigt das Engagement von Mullvad, auch über die eigenen Systeme hinaus zu denken und eine umfassendere Sicht auf Datenschutzprobleme zu ermöglichen.

Darüber hinaus ist es wichtig zu erwähnen, dass dieses Sicherheitsproblem auch andere Apps auf Android betreffen könnte. Obwohl Mullvad die Schwere des Problems als nicht hochgradig kritisch betrachtet, könnte es dennoch dazu führen, dass die Tunnel-IP-Adresse von Nutzern an externe Beobachter weitergegeben wird. Mullvad stellt klar, dass die IP-Adressen regelmäßig gewechselt werden, was den Einfluss dieses Lecks weiter verringert. Nutzer können zudem ihre Tunnel-IP-Adresse erneuern, indem sie sich von der App abmelden und wieder anmelden.

Zusammenfassend lässt sich sagen, dass das Audit von Mullvad VPN durch X41 D-Sec eine wertvolle Bestätigung für das Engagement des Unternehmens für Sicherheit und Datenschutz darstellt. Die überwiegende Mehrheit der gefundenen Sicherheitsanfälligkeiten wurde erfolgreich behoben. Dies zeigt, dass Mullvad sich aktiv mit Sicherheitsbedenken auseinandersetzt und stets bemüht ist, die Nutzererfahrung und den Schutz der persönlichen Daten zu verbessern.