Hackers hadden toegang tot Finse server van NordVPN

NordVPN is gehackt. Aanvallers wisten een Finse server van het bedrijf binnen te dringen en konden daardoor in theorie een man-in-the-middle-aanval uitvoeren. Inmiddels is het lek opgelost, zegt het bedrijf.

Er gingen maandag al langer geruchten rond over een mogelijke hack nadat privésleutels van verbindingen waren uitgelekt. NordVPN bevestigt de inbraak nu aan Techcrunch. "Eén van de datacentra in Finland waar we onze servers huren is ongeautoriseerd betreden", zegt een woordvoerder van het bedrijf tegen de site. Inmiddels heeft het ook zelf melding gemaakt. Het bedrijf zegt nog verder forensisch onderzoek te doen naar het voorval.

De aanvallers wisten op de server binnen te komen door een zwakheid in een remote management-systeem uit te buiten. Die zwakheid zou nog in het systeem zitten door toedoen van het datacentrum. NordVPN zegt dat het daar zelf niet van op de hoogte was. Het bedrijf wil niet zeggen om welk datacentrum het ging. Door binnen te dringen op de server kon een aanvaller in theorie een man-in-the-middle-aanval opzetten. NordVPN zegt niet of dat ook gebeurd is. De tls-privésleutel, die inmiddels is verlopen, kon volgens NordVPN niet worden gebruikt om verkeer naar andere servers te ontsleutelen.

De aanvallers braken in maart 2018 op de server in. De server zelf was sinds 31 januari van dat jaar actief. Op 20 maart zou de kwetsbaarheid zijn gepatcht door de serverprovider, waardoor uitbuiting niet meer mogelijk was. Het bedrijf merkte het lek 'een paar maanden geleden' op, maar komt daar nu pas mee naar buiten, omdat het bedrijf 'honderd procent zeker wilde weten' dat alle andere infrastructuur veilig was.

Volgens NordVPN is er voor gebruikers weinig gevaar. Het bedrijf zegt dat er op de server geen logs aanwezig waren, en dat het bedrijf überhaupt niet aan logging doet. Ook zouden er geen wachtwoorden of gebruikersnamen zijn gestolen. Die worden bij het leggen van een verbinding niet meegezonden voor authenticatie, zegt het bedrijf.

Reacties (88)

[michielRB]

Als ik kijk naar de data van deze paste dan hebben ze dit wel heel lang onder de pet gehouden. Paste is van begin juni:
https://ghostbin.com/paste/azk4r
Archive.org link:
https://web.archive.org/w.../ghostbin.com/paste/azk4r

Eigenlijk best wel schokkend voor een grote vpn provider als nordvpn.. MITM is niet zeker, maar wel degelijk mogelijk geweest.

[Reactie gewijzigd door michielRB op 22 juli 2024 15:00]

[sebastienbo]

Hmm zo lang, is dat niet tegen de GDPR regels waarbij je direct melding moet doen van een hack?

[michielRB]

Het is blijkbaar nog erger. Uit hun eigen statement:

"We became aware that on March 2018, one of the datacenters in Finland we had been renting our servers from was accessed with no authorization. The attacker gained access to the server by exploiting an insecure remote management system left by the datacenter provider while we were unaware that such a system existed. The server itself did not contain any user activity logs; none of our applications send user-created credentials for authentication, so usernames and passwords couldn’t have been intercepted either. The exact configuration file found on the internet by security researchers ceased to exist on March 5, 2018. This was an isolated case, and no other datacenter providers we use have been affected."

[WhatsappHack]

Ze kennen geen GDPR in Panama

[sebastienbo]

GDPR compliancy is niet gebonden aan waar het moederbedrijf gelegen is, je moet GDPR compliant zijn als je data van Europeans opslaagd, waar je je ook bevind.

[WhatsappHack]

Nee hoor, de EU kan geen wetten opleggen aan anderen. Echter, als het bedrijf haar diensten *richt* op EU-landen (en daar zitten wat haken en ogen aan) kan dat weer anders zijn en moet je technisch gezien inderdaad compliant zijn. Maar wie gaat dat precies enforcen, controleren en handhaven als het bedrijf in een jurisdictie zit waar men geen hol over te zeggen heeft en geen verdragen mee heeft?

Het heeft 2 kanten he. Dat die toko’s zich in landen als Panama bevinden betekent dat de EU en VS ed geen data geforceerd kunnen opvragen en geen taps kunnen eisen. Anderzijds kunnen ze ook geen toezicht houden op de bedrijven in de zin van veiligheid en privacybescherming: want ook daarvoor hebben ze geen enkel mandaat... Boete uitschrijven? Cute, maar hoe wil je hem precies gaan opeisen? Je moet de provider dus vertrouwen.

[El Chaoto]

Wat ik raar vind is dat men het niet gelijk gemeld heeft maar nu pas naar buiten komt. NordVPN staat toch als integer bekend. Maar ze zijn volgens mij niet transparant. Niet erg goed voor hun goede reputatie.

[junkchaser]

Juist om niet een vlaag van hackers over de vloer te krijgen bij de eerste melding. Je moet best eerst zien dat alle infrastructuur in orde is en dan melden. Krijg je sowieso hackers over de vloer, maar dan werken ze direct op de beveiligde infrastructuur en heb je die test ook achter de rug ;-).

[bkor]

Je moet best eerst zien dat alle infrastructuur in orde is en dan melden.

Dat ligt er maar net aan. Indien de hack ook over persoonlijke data gaat moet je binnen 72 uur de verantwoordelijke overheidsinstantie informeren. Zie https://gdpr-info.eu/art-33-gdpr/.

NordVPN zegt dat ze niets loggen. Indien je voldoende toegang hebt tot een server kan je prima loggen wat je wilt. GDPR/AVG formuleert persoonsgegevens nogal breed. NordVPN kan helemaal niet zo zeker zijn dat er niets verloren is gegaan.

[devil-strike]

Ja maar nordvpn zit in panama nu niet een land van de regels volgens mij.

[Clueless]

Mja als je dan de verklaring die ze daar voor geven bekijkt op hun website dan vind ik die eerlijk gezegd wel geloofwaardig gezien ze echt 1000'en servers hebben waar je naar moet kijken. Ook hebben ze daarna andere maatregelen getroffen die het voor mij als klant reden genoeg geven om te blijven:

Once we found out about the incident, we immediately launched a thorough internal audit to check our entire infrastructure. We double-checked that no other server could possibly be exploited this way and started creating a process to move all of our servers to RAM, which is to be completed next year. We have also raised the bar to all datacenters we are working with. Now, before signing up with them, we make sure that the DCs meet even higher standards.

When we learned about the vulnerability the datacenter had a few months back, we immediately terminated the contract with the server provider and shredded all the servers we had been renting from them. We did not disclose the exploit immediately because we had to make sure that none of our infrastructure could be prone to similar issues. This couldn’t be done quickly due to the huge amount of servers and the complexity of our infrastructure.

The timeline is as follows: the affected server was built and added to our server list on January 31, 2018. The data center noticed the vulnerability they had left and deleted the remote management account without notifying us on March 20, 2018. Our techs found that the server provider had had the undisclosed account a few months ago. We then immediately took action to audit our entire server network and accelerated the encryption of all of our servers.

<snip>
Even though only 1 of more than 3000 servers we had at the time was affected, we are not trying to undermine the severity of the issue. We failed by contracting an unreliable server provider and should have done better to ensure the security of our customers. We are taking all the necessary means to enhance our security. We have undergone an application security audit, are working on a second no-logs audit right now, and are preparing a bug bounty program. We will give our all to maximize the security of every aspect of our service, and next year we will launch an independent external audit all of our infrastructure to make sure we did not miss anything else.

Goed genoeg wat mij betreft in ieder geval, sommige dingen kun je als bedrijf niet heel veel aan doen behalve dan de dingen die ze nu al hebben aangekondigd.

[3raser]

Maar volgens NordVPN zelf hebben ze daar amper controle over.

Die zwakheid zou nog in het systeem zitten door toedoen van het datacentrum. NordVPN zegt dat het daar zelf niet van op de hoogte was.

Dus heel leuk dat ze zelf hun infrastructuur checken, maar doet het datacenter dat dan ook?

[FreshMaker]

Wat ik raar vind is dat men het niet gelijk gemeld heeft maar nu pas naar buiten komt. NordVPN staat toch als integer bekend. Maar ze zijn volgens mij niet transparant. Niet erg goed voor hun goede reputatie.

Het doel van een VPNprovider is juist om niet transparant te zijn.
De bedoeling is dat je je sporen laat afwijken van regulier gedrag en locatie

Maar aangezien het grootste deel van de VPN-aanbieders hun services aanbiedt op extern gehuurde apparatuur, moet je als gebruiker daar wel rekening mee houden

[locke960]

Als je het gelijk meld, zonder te kunnen zeggen dat het probleem is opgelost, lopen al je klanten direct weg, voor de zekerheid, want je dienst is niet meer te vertrouwen. Dan ga je dus failliet.
Als je daarentegen 'een paar maanden' wacht en dan 'positieve zaken' kunt melden als "het lek is 1.5 jaar geleden al gedicht", "het was alleen deze server", en "de tls-privésleutel is inmiddels verlopen", dan zijn de gevolgen voor je bedrijf veel kleiner.

Het excuus 'we wilden eerst zeker weten dat ...' is er dus vooral een van eigenbelang en niet van klantbelang. Stel dat ze gevonden hadden dat het hele systeem al 1.5 jaar gecompromitteerd was. Dan gaat het bedrijf waarschijnlijk ook failliet, maar dan hebben ze dus al hun klanten onnodig lang aan gevaar blootgesteld. Die hadden bij het eerste teken van onraad kunnen vertrekken, om te redden wat te redden is, maar die mogelijkheid is ze dan ontnomen.

Feit is, een bedrijf in deze situatie heeft maar een kans te overleven. Stilhouden, probleem z.s.m uitzoeken en oplossen, en hopen dat het allemaal niet te erg is als je uiteindelijke met de billen bloot moet.

Dit is waarom verplichte disclosure naar de autoriteiten en klanten zo belangrijk is.

[t link]

Elke VPN die claimed niet te loggen is niet integer omdat het rekenkundig onmogelijk is. je moet loggen om verbinding te kunnen maken (nog meer als betalende klant). je hebt immers een uniek nummer, dat moet op een of andere manier aan jou sessie gebonden zijn om te verifieren of je wel een sessie mag hebben, en hoeveel sessies je open hebt staan. Hoe wil je de info die de VPN terug krijgt anders terug sturen naar jou? moeten ze toch echt weten dat jij de request hebt gestuurt.

[Reactie gewijzigd door t link op 22 juli 2024 15:00]

[GrooV]

NordVPN huurt de helft van de tijd gewoon een VPS met veel bandbreedte. Dit is dus nooit echt veilig omdat je geen invloed hebt op je host.

Ook heb je als gebruikers geen invloed op de kwaliteit van een VPN dienst.

Let daarom altijd op als je met dit soort VPN diensten in zee gaat!

[Rex]

NordVPN huurt de helft van de tijd gewoon een VPS met veel bandbreedte.

Bron? Of roep je gewoon maar wat?

[DamirB]

Ook benieuwd naar inderdaad. Nordvpn komt vaak erg goed uit de test namelijk

[Bor]

Goed uit de tests komen heeft op zich niets met het al dan niet huren van een VPS te maken natuurlijk. Aan de andere kant ligt het gebruik van VPS misschien wel voor de hand. Ten eerste is NordVPN erg goedkoop, dermate goedkoop dat het wellicht lastig is het eea zelf allemaal uit te voeren. Een VPS is daarbij een mogelijk goedkope oplossing.

Hiernaast vraagt de markt waar NordVPN in opereert om het snel kunnen bijschalen en wijzigen van hosts. VPN exit nodes van diensten die door veel mensen voor minder legitieme bezigheden worden gebruikt komen meestal redelijk snel op blacklists waardoor het nodig kan zijn om snel en efficient van IP en soms zelfs locatie te wisselen. Een VPS kan hierbij een flexibele oplossing zijn.

Voor de rest "komt vaak erg goed uit de test"; er zijn vrijwel geen objectieve en betrouwbare tests als het op dit soort VPN diensten aankomt. Je kan immers niet meer dan de aanbieder vertrouwen op de blauwe ogen dat er bijvoorbeeld echt niet wordt gelogged; totdat blijkt dat dit wel gebeurd of dat inzicht op een andere manier mogelijk kan worden gemaakt.

[Rev-anche]

Voor de rest "komt vaak erg goed uit de test"; er zijn vrijwel geen objectieve en betrouwbare tests als het op dit soort VPN diensten aankomt. Je kan immers niet meer dan de aanbieder vertrouwen op de blauwe ogen dat er bijvoorbeeld echt niet wordt gelogged; totdat blijkt dat dit wel gebeurd of dat inzicht op een andere manier mogelijk kan worden gemaakt.

Eens!
Het probleem met VPN aanbieders is dan ook direct een gevolg vande reclame op internet,en de bedragen die ze bieden voor advertenties.

Zo brengt LinusMediaGroup bijvoorbeeld nu private internet access als goede vpn terwijl niet zo heel lang geleden tunnelbear nog de beste was?!

Als je daadwerkelijk naar real case scenario,s zoekt is het moeilijk om het kaf van het koren te scheiden


De meesten kennen waarschijnlijk Tom Spark Reviews, die beweerdt al een tijdje dat tor vpn de allerbeste is.
Maar komt wel een beetje over als biased?!

Ach wie weet komt T-Ne(r)t nog eens met een goede Vpn vergelijker!!

[xenn99]

In mijn optiek is er niet echt een "beste" vpn zoals met zoveel dingen heeft iedere aanbieder zijn voor en nadelen.

Op t moment gebruik ik Expressvpn omdat ik daar via de applicatie het verkeer wat ik wel en niet over de vpn wil hebben kan scheiden.

De snelheid is ook best aardig, meestal kan ik de volle snelheid van mijn ziggo medium abbo benutten.

Nordvpn heb ik in t verleden ook wel gebruikt werkt ook prima, ik kreeg er meestal zo'n 100 mbit van.
Torvpn, wel van gehoord maar nog nooit gebruikt zelfde met Tunnelbear en Private internet access.

De reden dat Linus destijds is geswitched is volgens mij omdat Tunnelbear negatief in het nieuws is gekomen, toen zijn ze ermee gestopt.

Over de privacy kan ik verder weinig zeggen, ik stel me daar meestal maar niet te veel bij voor.
Voor meer info zie: https://thatoneprivacysite.net/

[Sqweekie]

Tunnelbear was in handen gekomen van Mcafee dacht ik en die zijn niet zo betrouwbaar voor privacy etc...
Daarom dat Linus overgestapt is.

[svenslootweg]

"De" test? Je bedoelt al die "tests" die volzitten met affiliate-links en puur een marketingvehikel zijn?

[daveb1987]

Als ik naar het oorspronkelijke verklaring van NordVPN kijk lijkt het er inderdaad op dat ze de servers huren en niet compleet onder beheer hebben:

"We became aware that on March 2018, one of the datacenters in Finland we had been renting our servers from was accessed with no authorization. The attacker gained access to the server by exploiting an insecure remote management system left by the datacenter provider while we were unaware that such a system existed"

Bron:
https://nordvpn.com/nl/bl...sponse-datacenter-breach/

En in het tweakers artikel:
"Eén van de datacentra in Finland waar we onze servers huren is ongeautoriseerd betreden"

[mmjjb]

Een dedicated server huren is niet het zelfde als gebruik maken van een VPS, waar de discussie over ging.

[daveb1987]

Dat klopt inderdaad, dat is niet hetzelfde. Mijn reactie was op basis met wat @Rex zelf in zijn eerste reactie en tweede verderop noemt:

"Volgens NordVPN hebben ze 5521 servers. Waarom zouden ze dat niet kunnen aanschaffen en onderhouden? Te duur om aan te schaffen? Te moeilijk om 5521 servers op 1 centrale plek te onderhouden?"

Hier geeft hij mij de indruk dat NordVPN zelf 'eigen' servers hebben staan, zonder zelf bronnen daarvoor aan te geven, wat hij aan een ander vraagt, maar dat terzijde.

Een server in 'eigen' beheer en een dedicated server huren zijn ook niet dezelfde dingen en brengt, zoals dit artikel laat zien, ook risico's met zich mee. Ik ben het ermee eens dat @GrooV zijn reactie wat kort door de bocht is, maar zijn punt is wel terecht, controleer de VPN aanbieder vooraf op bepaalde risico's en baseer daar je keuze op.

_{Edit:
Quote tags toegevoegd}

[Reactie gewijzigd door daveb1987 op 22 juli 2024 15:00]

[FreshMaker]

[...]Bron? Of roep je gewoon maar wat?

Denk jij werkelijk dat ze á 2.50/m wereldwijd servers gaan aanschaffen en onderhouden ?
Waarom denk je dat Netflix en andere streamingdiensten zo belabberd werken op die ipadressen ?
In het ergste geval loopt jouw verbinding samen met die van PIA en ExpressVPN over dezelfde machines, in een separate VM

Nergens claimen ze dan ook alles 100% in eigen beheer te hebben, dat zou zeker een verkoopargument zijn.
Als jij in dat datacenter kan komen, kan je met tijd en inzet in die servers komen, en een logging aanzetten, die een ( langere) tijd mee kan lopen zonder dat iemand daar acht op slaat.
Zeker in shared hostingservices weet niemand (extern) wie wat uitgevoerd heeft in de unit.
Regelmatig met zo lowendbox gehad dat mijn container niet meer opgestart was, bleek iemand de hele kast afgekoppeld te hebben, en verhuisd naar een andere locatie/afdeling.

[mmjjb]

Sorry maar het lijkt mij stug dat NordVPN een VPS zal huren en niet dedicated servers afneemt. Het is over het algemeen totaal niet interessant om gebruik te maken van shared hardware resources in het geval van NordVPN met grote hoeveelheden traffic.

[WhatsappHack]

Of juist wel. VPN zelf vreet nauwelijks CPU, I/O en memory. Het enige wat écht hard gaat is de bandbreedte. De pijp is veel belangrijker dan de rest van de resources. Dan kunnen VPSen heel interessant zijn, zeker in bepaalde werelddelen. Of ze het ook echt doen weet ik verder trouwens niet hoor, alleen dat het niet interessant zou zijn is discutabel.

[mocem]

Zat VPN boeren gebruiken VPS omdat er bij sommige providers veel data bij zit. Zodra ze over de data limit gaan worden ze uitgeschakeld en automatisch een nieuwe besteld.

[mmjjb]

Los van de eventuele veiligheids risico's en niet gegarandeerde beschikbare system resources, heb ik een hard hoofd in meer dan 6G over een shared VPS jagen

[Reactie gewijzigd door mmjjb op 22 juli 2024 15:00]

[Rex]

Denk jij werkelijk dat ze á 2.50/m wereldwijd servers gaan aanschaffen en onderhouden ?

Volgens NordVPN hebben ze 5521 servers. Waarom zouden ze dat niet kunnen aanschaffen en onderhouden? Te duur om aan te schaffen? Te moeilijk om 5521 servers op 1 centrale plek te onderhouden?

Waarom denk je dat Netflix en andere streamingdiensten zo belabberd werken op die ipadressen ?

Wellicht omdat 1 IP voor honderden clients wordt gebruikt. Is jouw argument dat ze hierdoor VPS gebruiken?

In het ergste geval loopt jouw verbinding samen met die van PIA en ExpressVPN over dezelfde machines, in een separate VM

Nog meer speculaties? Bron?

Nergens claimen ze dan ook alles 100% in eigen beheer te hebben, dat zou zeker een verkoopargument zijn.

Nergens is ook het tegenbewijs, daarom vroeg ik @GrooV om zijn bron.

[[SK] Alchemist]

Volgens NordVPN hebben ze 5521 servers. Waarom zouden ze dat niet kunnen aanschaffen en onderhouden? Te duur om aan te schaffen? Te moeilijk om 5521 servers op 1 centrale plek te onderhouden?

Is het nou niet net dat je als vpn provider servers in verschillende plekken moet hebben juist zodat je dan kan browsen op IP's van meerderen landen?

[Larzo]

Ben ook erg benieuwd. Een VPS komt ook nooit met remote management, dus in dit geval ging het om een dedicated server. Wel slordig dat deze remote management "open" staat...

[skdevil]

Remote management gedeelte heb je weinig invloed op als eindklant (Nordvpn in deze) de hosting partij in kwestie is de enige die hier iets aan kan doen.

[Reactie gewijzigd door skdevil op 22 juli 2024 15:00]

[Larzo]

Klopt! Als NordVPN zijnde zou ik daarom ook niet bij een partij hosten die dit niet goed op orde heeft, ze staan toch voor veiligheid lijkt me. Maar die les hebben ze wel geleerd.

[skdevil]

Dat weet je natuurlijk pas wanneer het te laat is
Vaak moeten servers geheel down voor een firmware update van de management interface.

Veel hosting providers hebben de remote management op een interne IP reeks draaien en intern gelinkt aan een beheersysteem.
Spaart je ook nog eens een dijk aan de toch al schaarse IPs.

[Bor]

Ook bij een VPS kan remote mamangement gewoon mogelijk zijn. De conclusie die je trekt is iets te kort door de bocht.

[junkchaser]

Heb je concrete argumenten buiten het feit dat de hardware in onderaanneming in de rekken staat? Kwestie dat NordVPN log-less zou werken, zou het volgens jou toch gelogged worden door een derde partij? Of zie ik het verkeerd?

[GrooV]

Heb een paar jaar geleden zelf de meeste servers van hun nagetrokken en kwam vaak bij (wazige) VPS aanbieders uit. Dus meer bewijs dan dat niet nee.

En het is ook logisch, anders zouden ze met 5000+ meer dan een half miljoen per maand aan server kosten hebben.

Hun model is gewoon veel goedkope servers bij ISPs die niet aan abuse notices doen. Of het nu een vps of dedicated server is maakt ze niet uit

[junkchaser]

ok, maar is dat dan een risico voor de gebruikers van die VPN dienst?

[skdevil]

Grotendeels dedicated servers welke ze huren op maandbasis. Zijn toevallig ook klant bij mij geweest 2 jaar geleden.

Heeft overigens niet heel lang gestuurd. Aantal take down notices / abuse complaints die binnen kwamen was absurt hoog en het totaal niet waard.

Ze zullen dus bij de wat louche partijen hun servers huren welke dit gewoon negeren.

[Reactie gewijzigd door skdevil op 22 juli 2024 15:00]

[N97]

*waar was ik met me kop gisteravond*

[Reactie gewijzigd door N97 op 22 juli 2024 15:00]

[terradrone]

Ligt een beetje voor de hand: waarschijnlijk omdat het gezeik wat je ermee hebt en risico op serieuze strafrechtelijke toestanden niet opweegt tegen het beetje inkomen wat het genereert . Bedenk je dat wat over die vpn diensten heen gaat..., anders gezegd, is misschien maar beter dat we het niet weten. Ik zou die traffic niet graag over mijn netwerk willen hebben...

En zo zijn er natuurlijk ook de cowboys onder de "hosting providers" die gewoon schijt aan alles hebben en net zolang doorgaan totdat ze afgesloten worden. Maargoed, tegen die tijd zijn ze wel weer in een nieuwe loods opgestart op een ander bv-tje.

[skdevil]

Ik doelde meer op de hosting partij. Voor de hosting partij (die zich aan de regels houd) is zo’n VPN boer niet leuk om als klant te hebben.

Klant dient binnen 24 uur de take down op te volgen en het betreffende bestand oid offline te halen.
Bij VPN dus niet te doen gezien er honderden users op dezelfde server een dijk illegale troep aan het downloads of uploaden zijn Grote hoeveelheden abuse is ook gewoon klaar en cancel.

Afgezien van VPN krijg je een nullroute of gaat de netwerk poort dicht bij niet tijdig actie ondernemen. Daarna eerst plan van aanpak alvorens de server terug actief komt.
Meerdere keren is gewoon afsluiten en klaar.

[Justin_]

Netjes dat ze er open over zijn.
Gezien het grote aantal servers en lokaties zal dit bij meer providers voor kunnen komen.
Zo zijn er meerdere risico's te bedenken. Ze zullen op al die honderden lokaties ook niet hun eigen datacenter beveiliging hebben staan.

Ik gebruik momenteel https://www.surfshark.com naar grote tevredenheid. Ik zal eens navragen of zij al hun servers zelf hebben of dat er ook shared servers / vps gebruikt worden.

Edit: surfshark geeft aan dat alle servers in hun eigendom en eigen beheer zijn.

[Reactie gewijzigd door Justin_ op 22 juli 2024 15:00]

[Q]

Deze opmerking is wat laat maar biedt misschien toch een alternatief scenario:

NordVPN huurde bare-metal servers van het datacenter, zoals ik het begrijp. Servers hebben doorgaans een remote management interface zoals: iDRAC (Dell), iLO (HPE) of IPMI (Supermicro).

Deze interfaces bieden vaak web-based interfaces, maar ondersteunen vaak ook het kwetsbare IPMI protocol. Mogelijk dat dit een aanvalsvector is geweest. Overigens horen dit soort management interfaces nooit aan internet te hangen.

Geen idee of dit echt het geval is geweest.

[ChAiNsAwII]

Klinkt als fake news, een van de weinige vpn's zonder logs, als je al een vpn neemt is dit er een van..

[Verwijderd]

Toevallig daarnet prijzen zitten vergelijken tussen NordVPN en ExpressVPN, de eerste was qua prijs heel aantrekkelijk maar nieuws als dit helpt nu wel niet echt
Eens opzoeken of ExpressVPN die meerprijs waard is...

[Sfynx]

Ik ben toevallig een paar weken geleden van NordVPN naar ExpressVPN overgestapt en het is ongeveer 3 keer zo snel dan Nord als ik een grote FreeBSD .iso file van een snelle mirror ga downloaden als test. Zonder VPN trek ik mijn 500 Mbit/s lijn ermee vol, Nord zo'n 15 Mbit/sec, Express rond de 40. Dezelfde software/hardware, gewoon een .ovpn client config verwisseld om te vergelijken tussen de providers. Snelheid verschilde trouwens niet echt tussen de Europese servers die ik getest heb.

Maar wat ik nog veel fijner vond is dat ik bij Nord voortdurend disconnects had (meerdere per dag en soms elk uur) en dit bij Express nog niet is voorgekomen. Als het zo blijft werken vind ik het het geld wel waard, blijft wel dat alle VPN's echt extreem veel trager zijn dan je eigen verbinding...

[Reactie gewijzigd door Sfynx op 22 juli 2024 15:00]

[WhatsappHack]

Als het zo blijft werken vind ik het het geld wel waard, blijft wel dat alle VPN's echt extreem veel trager zijn dan je eigen verbinding...

Je hebt wat meer overhead, maar als je VPN op een snelle verbinding zit merk je daar in de praktijk vrij weinig van eigenlijk. Als je hem zelf host tenminste. Bij derde partijen blijft het een shared resource, dan ga je ook snel shit merken als dat het om 7 uur 's avonds opeens knettertraag wordt allemaal omdat iedereen thuiskomt en z'n streams/downloads aanzet.

Lekker zelf hosten is over het algemeen stukken beter. En ook niet zelden goedkoper.

[Bor]

Toevallig daarnet prijzen zitten vergelijken tussen NordVPN en ExpressVPN, de eerste was qua prijs heel aantrekkelijk maar nieuws als dit helpt nu wel niet echt

NordVPN is een echte prijsvechter en stunt vaak met aanbiedingen. Kortingen tot 70% of zelfs 85% lijken als ik snel Google geen uitzondering. Je kan je wellicht afvragen hoe NordVPN dit soort diensten soms behoorlijk goedkoper dan andere aanbieders in de markt kan zetten.

[HKLM_]

NordVPN is toch die club die op de tv reclame aan alle huismoeders verteld dat internetten over een vpn veel veiliger is dan zonder vpn

[WhatsappHack]

Niet alleen daar, maar op heel erg veel plekken. Er zijn ook steeds meer mensen die constant al hun verkeer over de VPN sturen, ook gewoon op hun thuisnetwerk voor normaal internetverkeer. Ik vind dat maar een eng idee, je zet er voor niets een willekeurige derde partij tussen. Raar gedoe. Op openbare WiFi en voor wat minder legale shit als torrents enzo kan ik het me voorstellen, zelfs voor Netflix regio omzeilen kan ik me er iets bij voorstellen. Maar *al* je verkeer, constant? Oh hell nah.

[T0mBa]

Omdat iemand misschien vindt dat zijn ISP, en bij uitbreiding de overheid, en bij nog wat meer uitbreiding iedereen die in één of andere vorm voor de overheid of je ISP (in onderaanneming) werkt, geen zaken heeft met welke sites hij bezoekt? En het is nu eenmaal makkelijker om àl je verkeer via zo'n VPN te sturen, dan enkel bvb Netflix.

[WhatsappHack]

Okee, nou als je de VPN provider wél 100% vertrouwd dat ze de beveiliging op orde en geen gekke dingen doen, en een extra tussenpartij tussen al je verkeer in wilt hebben als resultaat, dan moet je dat vooral 24/7 doen ja. Ik denk alleen dat in 90% van de gevallen je jezelf juist openstelt voor meer risico's op privacy/veiligheidsproblemen dan het via je ISP laten lopen - m.u.v. publieke netwerken (openbare WiFi, trein, school/universiteit, etc.). In Nederland dan tenminste he, heb je het nou over iemand in China dan was het al een compleet andere situatie geworden.

[T0mBa]

Er zijn anders al genoeg politici in het westen die vinden dat ze het recht moeten hebben om iedereens internetverkeer te kunnen controleren, want terrorisme & pedofilie. Dus ik weet nu niet als je hier veel veiliger bent naar privacy toe.
Een VPN bouwt zijn reputatie op veiligheid en betrouwbaarheid. Een ISP is daar totaal niet meer bezig aangezien er zeer weinig consumenten zijn die een ISP kiezen op basis van hun privacy regels (in die mate dat mensen nog veel keuze hebben tegenwoordig)

[WhatsappHack]

Er zijn anders al genoeg politici in het westen die vinden dat ze het recht moeten hebben om iedereens internetverkeer te kunnen controleren, want terrorisme & pedofilie. Dus ik weet nu niet als je hier veel veiliger bent naar privacy toe.

Die zijn er inderdaad, maar zolang dat (hier in NL) niet omgezet is in wetgeving is het weliswaar een zorgelijke ontwikkeling en moeten we zorgen dat die politici hun zin niet krijgen, maar geen direct probleem.

Een VPN bouwt zijn reputatie op veiligheid en betrouwbaarheid. Een ISP is daar totaal niet meer bezig aangezien er zeer weinig consumenten zijn die een ISP kiezen op basis van hun privacy regels (in die mate dat mensen nog veel keuze hebben tegenwoordig)

Die zijn, hier in Nederland, echter gebonden aan de wetgeving waardoor ze er sowieso aan moeten voldoen. Er was eerst wel wetgeving die logging toepaste (nooit inhoud van berichten/gesprekken, wel alle metadata), maar die is in 2015 afgeschoten door twee rechtbanken. Zowel de EU richtlijn als de Nederlandse implementatiewet ervan zijn ontbonden en ongeldig verklaard, waardoor ze wederom niets moeten noch mogen bijhouden.

Dus ISP's zijn er wel degelijk mee bezig, alleen in de zin van dat ze het verplicht zijn omdat ze het niet mogen. VPN providers daarentegen mogen dat wél, zij zijn geen ISP maar een normale service provider en mogen loggen wat ze willen. Uiteraard kunnen ze ervoor kiezen dat niet te doen en dit ook in hun voorwaarden zetten, bijkomend probleem is echter dat lang niet al die toko's in de EU zitten. Dat is aan de ene kant leuk en aardig want andere machten, aan de andere kant: niet tot veel moeilijker te controleren en te handhaven.

Overigens is het idee dat je op een VPN veilig en ontraceerbaar bent een illusie tenzij je extra stappen neemt, juist als je al je verkeer erdoorheen ramt is dat een veel groter risico dan wanneer je het gericht gebruikt. En dat doen de meesten van die consumenten dus absoluut niet.

[ChAiNsAwII]

Vindt je dat eng? En dat de overheid onnodig alles opslaat dat dan weer niet?

[WhatsappHack]

Het ging over VPN providers en niet over overheden, maar dat terzijde: dat doen ze hier (nog) niet. En kunnen ze ook (nog) niet op gerichte acties na en zelfs daar zitten beperkingen aan.

Maar als ik moest kiezen, dan zou ik op dit moment alsnog eerder de overheid hier in Nederland vertrouwen met m’n normale verkeer dan de meeste van die VPN boeren die in landen als Panama zetelen. Ik zelf vertrouw op beiden niet overigens.

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 15:00]

[ChAiNsAwII]

Je weet dat de AIVD alles doorspeeld naar de NSA als ze daar naar vragen en daar vertrouw jij op ?

[WhatsappHack]

Ik vertrouw niemand. Maar ik moet wel zeggen dat ik ook niet bepaald het idee heb dat de AIVD en NSA in mij geïnteresseerd zijn.

En dan nog, waarom zou ik die niet moeten vertrouwen maar een VPN provider in een wazig land als Panama wel?

De bottomline is simpel. Ik heb liever dat m’n data uberhaupt niet wordt ingezien noch opgeslagen. Maar waarom ik een extra partij in een apart land zou moeten toevoegen aan de route op m’n verbinding en die helemaal zou moeten vertrouwen is mij een raadsel, zeker als je ziet wat voor risico’s het heeft als die providers beveiligingsproblemen hebben en bijna 2 jaar hun klep er over dichthouden. Ben je lekker mee. En wie weet welke diensten en/of adversaries dan van de data snoepen? Ja leuk, dan heb ik de AIVD **misschien** buitenspel gezet en een hacker/criminele groepering ervoor in de plaats, ja dan denk ik dat ik toch liever de AIVD heb - voor zover die m’n verbinding überhaupt al monitoren.

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 15:00]

[Pyrone89]

Als er geen logging is, hoe weten ze dan dat er niet is gestolen / gecomprimeerd van klanten?

[Zen1581]

Omdat er volgens NordVPN niks is dat gestolen kan worden, vanwege de no-log policy

[Reactie gewijzigd door Zen1581 op 22 juli 2024 15:00]

[Loggedinasroot]

Maar als iemand toegang heeft tot je server kunnen ze het toch zelf gaan loggen .

[FreshMaker]

Maar als iemand toegang heeft tot je server kunnen ze het toch zelf gaan loggen .

Dat gevaar is er dus wel degelijk, maar dat loop je met elke pc waar je toegang toe kan verschaffen
Op de betreffende server kan je dan origin IP's en de bestemming gaan loggen.

Van dat punt af is het deus zaak om de origin IP te tracen ( wat weer medewerking van de provider nodig heeft )
Maar gevaar is er wel degelijk, zeker als je het niet in eigen controle hebt

[Verwijderd]

Omdat er volgens NordVPN niks is dat gestolen kan worden, vanwege de no-log policy

Er wordt inderdaad niets gelogd, dus ook niet wanneer hackers gegevens buit maken, gegevens zelf worden n.l. wel opgeslagen ;-) Anders zou het onmogelijk zijn om facturen te downloaden via "My Account" of zelfs om vast te stellen wanneer iemand zich heeft aangemeld en de dienst opnieuw moet verlengen (of annuleren).

Ook is het mogelijk om een terugkerende betaling te beginnen en annuleren, ook dit wordt gewoon opgeslagen.

Je antwoord is dus eigenlijk verkeerd want;
Omdat ze niets loggen, kunnen ze dus ook niet garanderen dat er geen gegevens zijn buitgemaakt. Het kan dus goed zijn dat er wel degelijk gegevens buitgemaakt zijn. Wanneer NordVPN dit tegenspreekt is er wel degelijk sprake van logging en spreken ze dus middels hun uiting dat ze niets loggen ook direct tegen.

Overigens, anoniem?
User's email address – to send the latest NordVPN news and to retrieve a lost password.
Username – necessary to make a VPN connection.
Payment information – we store transaction ID, or order ID, in case of a refund request.
Een transactie ID maar ook e-mail adres is veelal te herleiden naar de paymentgateway, dus echt anoniem ben je over het algemeen niet.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 15:00]

[ChAiNsAwII]

Ja duh, je data over de vpn is anoniem niet je account...

[zx9r_mario]

tcpdump draaien kan ook veel info opleveren.

[kennethlim]

NordVPN een paar dagen eerder: https://twitter.com/Malic.../1185871076393390081?s=20 (screenshot van inmiddels verwijderde tweet).

Iets met "life" en "fast", etc...

[Muncher]

Ik ben wel erg benieuwd naar die remote management die gebruikt is om toegang te krijgen. Weet iemand daar wat meer over? NordVPN zegt er zelf niets over. Ook interessant dat dit door de datacenter leverancier is opgeleverd zonder dat ze het wisten/erom hadden gevraagd, tenminste dat haal ik uit het stuk.

[HKLM_]

Misschien iets als HPE Ilo of Dell idrac dat soort dingen zitten gewoon standaard op de servers om remote beheer te doen.

[kodak]

Opvallend dat bleeping computer schrijft dat niet alleen NordVPN maar ook andere VPN providers zouden zijn gehacked.
NordVPN en TorGuard VPN hebben inmiddels publiek uitleg bekend gemaakt dat er inderdaad een inbraak was. Over VikingVPN, waar ook een link naar bestaat heeft nog geen publieke reactie gegeven.

Het vreemde aan de uitleg van NordVPN is dat het bedrijf niet echt uitleg geeft dat er niets aan de hand zou zijn voor de gebruikers. Ze schrijven bijvoorbeeld dat de oorzaak van de toegang na een bepaalde tijd gedicht was. Maar als in de tussentijd iemand blijkbaar root toegang had kan die zowel tot het verhelpen van de oorzaak heel veel op het systeem gedaan hebben waar NordVPN niet op in gaat. En ook kan die root toegang zorgen dat die de oorspronkelijke toegang niet meer nodig is om nog heel lang controle over het systeem te hebben. En daar gaat NordVPN dan ook niet echt op in. Het lijkt zo alsof ze dat niet weten of het daar niet over willen hebben. Waaruit moet nu blijken dat de root toegang daarna niet gebruikt kan zijn om bijvoorbeeld de nieuwe sleutels voor de vpn verbindingen te verkrijgen en te gebruiken?

[Houten klomp]

Ik heb nu een paar maanden Nord VPN maar ben niet zo tevreden, veel kleine issues.

[Martao]

Zoals wat? Ik gebruik het weliswaar niet doorlopend, maar ik heb nooit issues, eigenlijk.