Cyber​​ Ghost的地狱是什么?更新

Cyber​​ Ghost是一家罗马尼亚VPN公司,在安全领域通常广受好评。该服务以其相当不错的免费选择而特别引人注目。但是,最近有报道令人不安。在本文中,我们询问Cyber​​Ghost是否安全?

Cyber​​ Ghost安装根证书

Cyber​​Ghost的台式机和Android软件的最新更新提供了许多新功能。这些包括:

  • 阻止恶意网站
  • 屏蔽广告
  • 阻止在线跟踪

Cyber​​Ghost Internet保护

为此,Cyber​​Ghost似乎在您的系统上安装了根证书。这个不好.

更新:在发布本文之前,ProPrivacy.com已联系Cyber​​Ghost,

"CG5中使用了Fiddler根证书,以阻止广告和客户端的其他东西也用于HTTPS。不再支持此功能,并且CG6不安装根证书。现在,所有过滤器都在服务器端,并且不涉及HTTPS."

很高兴听到Cyber​​Ghost软件的新版本未安装根证书。然而,首先要做的决定仍然令人怀疑.

什么是根证书?

当您访问受HTTPS保护的网站时,您的连接将使用SSL / TLS加密进行保护。除此之外,该网站还将为您的浏览器提供SSL证书。这表明它(或更准确地说是网站公钥的所有权)已由公认的证书颁发机构(CA)进行了身份验证.

Windows根证书

在Windows中,您可以使用Microsoft管理控制台检查安装了哪些根证书。

如果为浏览器提供了有效的证书,则它将假定该网站是真实的。然后它将启动安全连接,并在其URL栏中显示一个锁定的挂锁,以警告用户它认为该网站是真实安全的.

所以有什么问题?

如果Cyber​​Ghost已安装根证书,则它可以轻松地对所有SSL加密的网络流量执行中间人(MitM)攻击:

  • 它可以拦截您的访问量并将其显示为您认为正在访问的网站.
  • 由于安装了根证书,您的系统将接受此证书.
  • 然后,Cyber​​Ghost可以解密通过HTTPS连接发送的所有数据(例如,包括您的银行帐户详细信息).
  • 然后,它可以重新加密您的数据,并将其透明地传递到您正在访问的网站上
  • 反之亦然

实际上,Cyber​​Ghost不仅可以做到这一点,它的新功能似乎也要依靠它才能起作用! Cyber​​ Ghost承诺完全不保留任何日志,但我们只需要相信它的话(见下文).

在某种程度上,每个无日志记录VPN服务都是如此。但是Cyber​​Ghost在您的系统上安装了根证书这一事实意味着 与通常情况相比,它可以访问更多敏感信息. 即您所有的HTTPS加密流量.

这是您的ISP所无法比拟的更多信息.

更新: "此外,根证书是由客户端随机且唯一生成的,并且没有安全风险。详情请参阅Fiddler."

Fiddler是合法的网络开发工具,但其目的是拦截HTTPS流量,

"Fiddler捕获HTTP和HTTPS流量并将其记录下来以供用户查看(后者通过使用自签名证书实施中间人拦截)."

我该怎么办?

如果您不选择使用Cyber​​Ghost的新Internet保护功能,则它将不会在系统上安装自签名的Fiddler根证书。我不确定是否已关闭这些功能(如果已启用)然后删除根证书。但这值得检查,并在必要时手动将其删除.

Windows根证书2

Fiddler证书甚至被贴上标签 "D0_NOT_TRUST"!

是Cyber​​Ghost记录硬件ID?

Wilders安全论坛的一位成员最近发表了证据,证明Cyber​​Ghost正在记录已安装其软件的计算机的硬件ID。这些详细信息包括:

  • 生物识别号
  • BiosDate
  • VideoId
  • 中央处理器
  • BaseId
  • ComputerUsername

cyberghost-hardware-id-2

cyberghost-hardware-id-1

cyberghost-hardware-id-3

有关的Reddit用户就此问题联系了Cyber​​Ghost,

“只是问他们的支持,他们说这就是他们如何监视和保持您的订阅计算机到位;例如,如果您当前的订阅仅限于1台计算机,他们会使用此信息将其配对到终端,这样它就知道您使用的是“ 1台计算机,并且知道您与网络幽灵有多少连接”。因此,您不能超过计算机的限制等等。”

这不是VPN提供商的标准做法,因为可以使用其用户身份验证服务器来检查此信息。提供真正的无日志服务的提供商可以立即丢弃这些日志.

通过保留此类日志,Cyber​​Ghost明显违反了其经常声明的不保留日志的说法……

更新: "硬件ID是某些系统组件的安全哈希,用于跟踪唯一用户的数量以优化我们的服务器基础结构。由于是哈希,因此无法反向标识用户计算机。它也不与任何日期,时间,帐户或使用行为等相关联."

事实仍然是Cyber​​Ghost确实记录了系统组件。它声称这些日志是散列的,但是对此我们只字不提。此外,即使经过哈希处理,该数据也构成了每个用户硬件的唯一指纹.

结论

Cyber​​ Ghost可能没有做任何重大错误(除了撒谎记录之外)。但是,它的行为在极端情况下似乎是阴暗的.

根证书尤其值得关注。安装它的原因似乎无害-可以启用高级Internet保护功能。的确,这可能是Cyber​​Ghost所使用的全部功能.

但是,成为根证书意味着您必须对Cyber​​Ghost充满信任,不要滥用它的能力来监视您在互联网上所做的一切.

对我来说……不,谢谢!

更新:正如已经指出的,Cyber​​Ghost 6(Cyber​​Ghost软件的最新版本)未安装根证书。.

Brayan Jackson
Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me