[German]Sicherheitsforscher haben festgestellt, dass der VPN-Dienst Hotspot Shield, der eigentlich die Privatsphäre gewährleisten soll, sensitive Informationen, u.a. die IP-Adresse des Nutzers verrät.
Anzeige
Worum geht es?
Ein virtuelles privates Netzwerk (VPN) baut eine geschlossene Punkt-zu-Punkt-Verbindung zwischen einem Gerät/Nutzer und den besuchten Seiten über das Internet auf. Dadurch kann ein Client quasi per Internet als Transportmedium an ein anderes Netzwerk (z.B. in Firmen) angebunden werden. Eine VPN-Verbindung kann zusätzlich noch verschlüsselt werden, um die Kommunikation vertraulich zu halten.
Im Privatbereich werden VPN-Lösungen schon mal gerne eingesetzt, um auf Webinhalte zuzugreifen, die in Deutschland gesperrt sind (siehe z.B. hier). So mancher Benutzer versucht per Virtual Private Network (VPN) die Privatsphäre im Internet zu schützen.
Der VPN-Dienst Hotspot Shield
Die Firma AnchorFree ist einer der größten VPN-Provider in den USA, dürfte den meisten Leser aber nichts sagen. Die Firma steht hinter dem Dienst HotSpot Shield VPN, der auch in Deutschland verfügbar ist. Die Firma wirbt auf ihrer Webseite mit:
Holen Sie sich Internet-Privatleben, Sicherheit, blockiert den Zugriff auf Websites und mehr durch den Download Hotspot Shield VPN heute.
Im Google Play Store gibt es die App Hotspot Shield Kostenlos VPN Proxy WiFi Sicherheit und auch für macOS ist der Dienst verfügbar. Die Zahl der Nutzer liegt weltweit so bei ca. 500 Millionen.
Anzeige
Wer ein Hotspot Shield VPN einsetzt, macht dies, um im Netz durch Dritte nicht einsehbar zu sein und möglicherweise im Glauben, seine Internet-Privatsphäre zu schützen. Im August 2017 hatte ich im Blog-Beitrag Teilt Hotspot Shield VPN Nutzerdaten mit Werbefirmen? bereits über einen Patzer von Hotspot Shield berichtet. Die teilen Daten der Benutzer mit Werbefirmen.
Sicherheitslücke petzt Benutzerdaten
In Hotspot Shield hat der Sicherheitsforscher Paulos Yibelo jetzt aber eine Information Disclosure-Schwachstelle entdeckt. Über die Sicherheitslücke CVE-2018-6460 lassen sich Informationen über den VPN-Benutzer wie der Wi-Fi-Netzwerkname (falls per WLAN verbunden), die reale IP-Adresse (ermöglicht den Standort zu ermitteln) und weitere sensitive Informationen abgreifen. Also alles in allem das Gegenteil von dem, was Hotspot Shield verspricht.
Paulos Yibelo hat seine Erkenntnisse hier publiziert. Hotspot Shield richtet einen eigenen Webserver auf dem System des Benutzers ein, um mit seinem eigenen VPN-Client zu kommunizieren. Der Server verwendet die localhost-Adresse 127.0.0.0.1 und Port 895. Auf dem Webserver werden sensible JSONP-Endpunkte mit interessanten Werten und Konfigurationsdaten gehalten, die sich abrufen lassen.
Die Angabe http:[//]localhost:895/status.js generiert z.B. eine sensible JSON-Antwort, die aufzeigt, ob der Benutzer mit VPN verbunden ist. Die Abfrage verrät, laut Yibelo auch, mit welchem VPN das System verbunden ist, was die wahre IP-Adresse ist und andere systemrelevante Informationen. Es gibt auch andere Endgeräte, die sensible Daten einschließlich Konfigurationsdetails zurückgeben.
Über DNS-Rebinding (Tavis Ormandy hat hier über einen solchen Bug berichtet) kann eine Webseite einen DNS-Namen erzeugen. Damit kann mit dem localhost des VPN-Clients kommuniziert werden und die oben erwähnten Daten lassen sich abrufen.
Bei ZDNet.com hat Zack Withacker das Ganze in diesem Artikel aufbereitet. In einem Screenshot der Kommunikation ist keine IP-Adresse des Benutzersystems zu finden. Aber es werden Daten wie der Netzwerkname übertragen.
Hotspot Shield reagiert nicht
Paulos Yibelo schreibt, dass er mehrere Twitter-Nachrichten verschickt und Tickets bei Hotspot Shield eröffnet habe. Aber der Anbieter reagiert nicht. Daher hat er das Ganze bereits am 1. Februar 2018 öffentlich gemacht. Zudem hat er im Beitrag ein Proof-of-Concept veröffentlicht. Hotspot Shield würde ich alleine auf Grund des Beitrags von letztem August nicht mehr einsetzen. Frage: Nutzt jemand von euch Hotspot Shield?
Ähnliche Artikel:
65 % der US-Tech-Nutzer verwenden VPN
Teilt Hotspot Shield VPN Nutzerdaten mit Werbefirmen?
Anzeige
Dann werde ich VPN via Bitdefender Antivirus Plus, das auch über Hotspot Shield läuft, gleich wieder deinstallieren. Hat pro Tag eh nur 200 MB gratis zur Verfügung.
Je nun, amerikanisches VPN, was will man da groß erwarten, die haben andere Vorstellungen und also auch gesetzl. "Regelungen", was privacy angeht. Dazu kommt dann, dass hotspot shield immer schon im Verdacht stand, zudem einige in der Firmenspitze ehemalige NSLer sein sollen/sind.
Schon seit längerem wird auf, allerdings ebenfalls teils etwas windig erscheinenden Seiten, davor gewarnt, diesen Dienst andauernd zu nutzen und besser wohl erst gar nicht zu installieren, da u.a. bei einer Deinstall Reste verbleiben sollen, nicht dokumentiert (logo).
1) https://hide-my-ass-anonym.blogspot.co.uk/2016/03/hotspotshield-test-uberwachung-trojaner-NSA.html
der hier
2) https://vpn-anbieter-vergleich-test.de/hotspotshield-nsa-trojaner-usa-ueberwachung-dienst/
führt komischerweise inzwischen direkt zu hotspotshield.com, merkwürdig, vlt mal direkt auf der Seite 'vpn-anbieter-vergleich-test.de' suchen.
und
3) https://ngb.to/threads/25334-HotspotShield-von-der-NSA
=> Wenn nur ein Drittel stimmen sollte, bedenklich.
Wenn man aber nur bestimmte Daten damit "verarbeitet", streams und so, dann könn die ganz viel überwachen, wertlos. Die Bedienung des Progs etc. ist jedenfalls rel. gut gelöst.
Danke für die Hinweise.
naja, vpn-anbieter-vergleich-test.de als "teils etwas windig" zu bezeichnen wäre schon geschönt. Ein Blick ins Impressum ist da hilfreich. Würd sagen: suspekt trifft es wohl eher.
Warum die Weiterleitung vom (alten) hotspotshield-Testbericht direkt zur hotspot-Seite erfolgt, kA. Evtl. weil Kaspersky Secure Connection auf HotspotShield aufsetzt?
Im kaspersky-Forum finden sich noch paar der alten Behauptungen des "Testberichts":
https://forum.kaspersky.com/index.php?/topic/358845-kaspersky-secure-connection-nsa-h%C3%B6rt-mit/
anscheinend der einzige, der diese Verbindungen zur NSA gefunden hat.
Also da wird wohl viel behauptet und wenig belegt.
ohja, das Impressum, war mir noch nicht aufgefallen, sehr "interessant"… ;)
Der Artikel ist übrigens wieder erreichbar, damit lesbar. Die temp. Weiterleitung zu hotspotshield .com ist raus. Woher die wohl kam?
Auch die
"Anmerkung der Redaktion: Dieser Testbericht basiert auf…"
ist jetzt nicht unbedingt so wirklich überzeugend:
"Wir haben Quellen, die wir aber nur teilw. nennen. Und alles ist freie Meinungsäußerung. Daher ok."
najaa… (= ich revidiere, von windig zu ausgesprochen sehr windig. ;) )
Wenn das wirklich so wäre, dass HSS Daten für die NSA sammelt – warum stellt man dann nur 200 MB/Tag, die in kürzester Zeit aufgebraucht sind, bei Bitdefender gratis zur Verfügung? Das ist doch für den hohlen Zahn.
hotspot.. is das nicht.. dieses häufchen kot von software, welche vor ~ 7 jahren schon als "preis" für das "pfaupeenn" bei jedem 2. oder 3. seitenaufruf 1 2 werbeseiten aufgemacht hat?! ich bin mir ziemlich sicher!! da ichs ausprobiert habe und, angewidert / genervt, diesen ganz heißen shit anti-bakteriell (99,99%) wieder von der platte radierte (teilweise manuell). die rechtschreibung und grammatik heute habe ich derart katastrophal aber nicht in erinnerung ^^
ich nutze nicht-kostenloses vpn seit jahren und fahre auch damit fort, investiere auch immer und immer und immer wieder mal dutzende stunden um den komplizierten mist wieder flott(er) zu machen und den sich ändernden bedingungen anzupassen. was xkeyscore, tempora, eikonal, prism.. bedeutet, wissen wir bereits! alle! arpanet! punkt. es bietet dennoch vorteile und surft sich gut, man kommt nicht so aus der übung in netzwerksachen und, oh ja, nähert sich der materie der nicht-optionalen total-teilnahme am programm zur verbesserung der benutzerfreundlichkeit UND "anwendungserfahrung" (hast du dich nie gefragt ob windows DICH mag? du egoist!) appraiser (nicht hellraiser), compattelrunner oder die greatest hits "autochk proxy" sowie "USBceip" – einfach wow, amazing! und dank der halbjählichen wohnblockknacker feature improvements with bug-hugs die immer effektiver bis in die unterschicht durchschlagen -> bleibt die frage – ist das nun alles gut oder alles schlecht.
ich fass mich mal kurz, ich finds eigentlich scheiße, weil ich den mist heile mache, und das auch noch gern, und "experienced", weil die jungs es ständig niederbomben und wieder aufbauen. das ist nicht meine vorstellung von sinnerfüllter arbeit und "glück durch leistung". dennoch wird die totale verstrickung mit den diensten, die stille kriegserklärung insb. an uns deutsche (leere, nichtexistente support-artikel wo welche sein sollten und sogar lügen) das zusammenschmelzen zur new_1_world_order fördern. das gibt natürlich grässliche brandwunden, die man niemals vergisst, so immerhin messbar lernfähig ms über die jahre betrachtet, auch sein mag…
"ich fass mich mal kurz"
mist, hat nicht geklappt… :P