Server von NordVPN, VikingVPN und Torguard gehackt

Der Anbieter NordVPN scheint nicht das einzige Hacker Ziel geblieben zu sein. Die Server von VikingVPN und Torguard wurden ebenfalls kompromittiert. In allen drei Fällen tauchten die Private Keys der VPN Anbieter im Internet auf, nachdem diese die Kontrolle über ihre Server verloren hatten. Nun gibt es weitere Details zum NordVPN Hack.

Veröffentlichung privater Schlüssel

Anfang des Jahres 2018 hatten einige VPN Anbieter Probleme mit ihren Servern. Hacker suchten sich diese als Ziel aus und kompromittierten die Systeme. In der Folge erschienen die Private Keys unter anderem im Zuge des NordVPN Hack im Internet. Aber auch VikingVPN und Torguard wurden nicht verschont. So veröffentlichten die Hacker auch die kryptographischen Schlüssel dieser beiden Server online.
Das rechtsextreme Imageboard 8chan bildete dabei die Plattform der Wahl. Ein anonymer Nutzer stellte eine Verlinkung von mehreren Logdateien online. Diese stammten aus verschiedenen Konsolensitzungen von VikingVPN, NordVPN sowie Torguard. Die geteilten Logs enthielten unter anderem private, kryptographische Schlüssel zu unterschiedlichen Webseitenzertifikaten.
Zwar ist 8chan ein öffentliches Forum. Doch verursachte die Publizierung des NordVPN Hack zum damaligen Zeitpunkt kaum Aufmerksamkeit.

Sicherheitslücke durch Administrationsschnittstelle im NordVPN Hack

Mittlerweile hat NordVPN auf den Hackerangriff reagiert und ein Statement herausgegeben. Diesem zu Folge soll sich die Sicherheitslücke im Provider befunden haben. Dessen Administrationsschnittstelle ermöglichte einen Zugriff der Hacker auf den Server. Zur Zeit des NordVPN Hack nutze der VPN Anbieter einen Provider der finnischen Firma Creanova. Gegenüber einem Bloomberg-Journalisten verteidigte sich das finnische Unternehmen aber. So sei die Administrationsschnittstelle entweder von HP iLO oder stamme als iDRAC von Dell. Nach Creanova seien beide Administrationsschnittstellen für Server nichts Ungewöhnliches. In den meisten Fällen seien sie jedoch nicht unmittelbar über das Internet erreichbar.

HP iLO und iDRAC – Übliche Administrationsschnittstellen für Server und VPN Anbieter

HP iLO steht für Integrated Lights-Out und beschreibt ein System von HP. Es ermöglicht die Administration sowie Fernwartung verschiedener Server. Die Hardware lässt sich über eine zusätzliche Schnittstelle mit dem Netzwerk des Servers verbinden. Diese muss entweder direkt durch das Serverboard oder durch eine Steckkarte erreichbar sein. Letztendlich kann eine Wartung des Servers stattfinden, die nicht von dessen Software und ihrer Funktionsfähigkeit abhängt.
iDRAC steht hingegen für Integrated Dell Remote Access Controller. Sie ermöglicht einen lokalen Zugriff sowie einen Fernzugriff auf den Server. So lassen sich Dell EMC PowerEdge Server bereitstellen, warten und überwachen.
Laut Creanova zählen zwar beide Administrationsschnittstellen als Standard. Im Fall des NordVPN Hack öffneten sie allerdings die Tür für Hacker.

Gegenseitige Schuldzuweisung im NordVPN Hack

Während NordVPN die Schuld auf den Provider schiebt, dreht Creanova dieses Statement um. Der VPN Anbieter will allerdings nichts von der Schnittstelle gewusst haben, die letztendlich die Sicherheitslücke darstellte. Das finnische Unternehmen weist gleichzeitig die Schuld von sich. So versicherte Creanova, dass das finnische Unternehmen keine Schuld für den NordVPN Hack träfe.
Kunden können nicht sehr viel gegen die Sicherheitslücke ausrichten. Nutzer, die sehr viel Wert auf Sicherheit legen, können aber immerhin um eine Auslagerung bitten. So könnte das Unternehmen die betroffene Administrationsschnittstelle auslagern und in ein privates Netzwerk verlegen. Dort wäre sie besser vor Angriffen durch Hacker geschützt.

NordVPN war der Vorfall nicht unbekannt

Nach eigener Aussage wusste der VPN Anbieter bereits seit einigen Monaten vom NordVPN Hack. Offensichtlich fand jedoch keine Informationsweitergabe an die Nutzer statt. So veröffentlichte NordVPN keine der bekannten Schwachstellen und ließ seine Kunden in Unwissenheit. Nach Aussage des Unternehmens bestand der Grund in einer tiefergreifenden Systemanalyse. Man wollte sichergehen, dass keine weiteren Sicherheitslücken vorhanden waren. Weitere Teile der Infrastruktur wurde auf eine Anfälligkeit für Hacks und ähnliche Probleme untersucht. Erst nachdem andere Schwachstellen ausgeschlossen waren, kam es zur Abgabe eines Statements.
Neben dem NordVPN Hack hat sich auch Torguard zur Kompromittierung des Systems geäußert. Der VPN Anbieter gab an, dass die Keys der eigenen Zertifizierungsstelle nicht betroffen seien. Die Hacker veröffentlichten einen privaten Schlüssel, der zu einem Webseitenzertifikat eines Proxyservers gehöre. Dieser sei aber schon seit dem Jahr 2017 nicht mehr in Verwendung gewesen.
Als dritter VPN Anbieter, den sich Hacker zum Ziel machten, gab VikingVPN bisher keine Stellungnahme ab.