1773175549
2026-03-10 20:25:00
Mullvad の最新の独立したセキュリティ監査では重大な脆弱性は発見されなかったと同社は発表した。 ブログ投稿 金曜日に。 Mullvad の新しい WireGuard 実装である GotaTun の監査は、ヨーテボリに拠点を置く Assured Security Consultants によって、2026 年 1 月 19 日から 2 月 15 日まで実施されました。
の 最新の監査 これは Mullvad にとって 2017 年以来全体で 18 番目であり、業界で最も透明性の高い VPN の 1 つとしての VPN の地位をさらに固めています。 CNET が選んだトップ VPN の中で、Mullvad の外部監査を行っているのは ExpressVPN だけであり、2018 年以来 23 件の監査が委託されています。
具体的には、Assured Security Consultants は次のコード監査を完了しました。 ゴタトゥンMullvad による WireGuard 接続プロトコルの実装であり、Rust で書かれています。監査は、DAITA コードとそのコマンド ライン インターフェイスをブロックする Mullvad の AI トラフィック分析を除く、GotaTun 実装全体のソース コード レビューとテストで構成されました。監査人はコードに重大な脆弱性を発見しませんでしたが、リスクの重大度が低い 2 つのセキュリティ問題にフラグを立てました。
最初の問題は、GotaTun がセッション識別子の生成を処理する方法に関係していました。監査人は、WireGuard 仕様では 32 ビットの乱数が必要であるのに対し、GotaTun は 24 ビットの線形フィードバック シフト レジスタを通じてセッション識別子を生成していることに注目しました。
「ネットワーク トンネルの保護が弱まるわけではないようですが、ピアの数やピアとハンドシェイクが交換された回数に関する情報が、ネットワーク トラフィックを盗聴できる人物に暴露される可能性があります」と監査では述べられています。
ムルバッド氏は、その弱さがもたらしたものだと語った。 追加情報はほとんどありません オブザーバーはピア数の合計とセッション期間の情報をすでに持っているため、オブザーバーに送信できます。それにもかかわらず、同社は後続のリリースで修正を発行し、WireGuard 仕様に従ってピア識別子を実装するようになりました。
2 番目の問題には、GotaTun が暗号化前にデータ パケットを 16 バイトに埋め込んでいなかったという、WireGuard 仕様からの逸脱も関係していました。監査人は、これは重大な暗号化の問題ではないと指摘しましたが、WireGuard の仕様に従うためにパディングを追加することを推奨しました。
Mullvad はすでにこの問題に対する修正も実装していますが、「このパディングが提供する保護は本質的に似ていますが、DAITA 機能よりもはるかに強力ではありません。Mullvad は、脅威モデルに高度なトラフィック分析を組み込んでいる人には、DAITA を有効にすることを検討することをお勧めします。」と指摘しています。
独立した監査は、監査自体の過程で発見結果を検証することしかできないため、完璧ではなく、全体像を描くことはできませんが、これは、VPN が、たとえそれがどれほど軽微であっても、監査が脆弱性を特定し補強するのにどのように役立つかを示す良い例です。
Mullvad は、透明性とユーザーのプライバシーに対する揺るぎない取り組みを一貫して示してきました。 VPN のソフトウェアは完全にオープンソースであり、コードは誰でも検査できるように公開されていますが、Mullvad が外部のセキュリティ会社に監査を委託するという追加の措置を講じていることも、透明性への取り組みを十分に示すのに役立ちます。
Assured Security Consultants からの肯定的な評価は、最終的に GotaTun のセキュリティと信頼性に対する信頼を強化すると同時に、Mullvad の全体的なプライバシー姿勢を強化するのに役立ちます。
GotaTun は Mullvad の WireGuard 実装の信頼性と速度の向上を目的としており、12 月に Mullvad の Android アプリ向けにリリースされ、今年他のプラットフォームにも展開される予定です。
#Mullvad #の新しい #WireGuard #実装が最新の監査でテストされる