NordVPN TorGuard søksmål


Opprinnelig publisert 29. mai 2019, sist oppdatert 5. juli 2019

Denne artikkelen er periodisk oppdatert for å gjenspeile TorGuard-søksmålet mot NordVPN og den pågående utviklingen, som er lagt ut nederst.

  • Oppdatering 1: TorGuard endrer søksmål etter feilaktig navngi feil part
  • Oppdatering 2: TorGuard sender inn en annen klage, tweets flere beskyldninger

I en interessant omgang kunngjorde TorGuard nylig på Twitter at den saksøker NordVPN og en kanadisk leverandør av webhotell, C-Seven Media, Inc.

Vi har en fullstendig kopi av søksmålet som ble anlagt i en tingrett i Florida, som du kan lese her.

Hvorfor saksøker en amerikansk VPN-tjeneste i Florida (TorGuard) en VPN-tjeneste med base i Panama (NordVPN) og en kanadisk leverandør av webhoteller (C-7)?

Spenn deg opp, for dette er i ferd med å bli interessant!

Først skal vi undersøke hendelsene som ledet frem til søksmålet, og deretter se nærmere på søksmålet og de spesifikke påstandene.

20. mai 2019: TorGuard hevder at den ble "svartpresset" av en annen VPN

20. mai 2019 publiserte TorGuard et interessant blogginnlegg der de påstår følgende hendelser fant sted:

  1. En "ukjent person dukket opp uoppfordret på en ansattes personlige bolig og ba om å snakke om VPN-bransjen." TorGuard-ansatte mottok også e-postmeldinger på en personlig konto fra denne "ukjente person" fra en konkurrerende VPN-tjeneste.
  2. Under samtalen ba personen om en "gentleman's Agreement" for å overtale et TorGuard-tilknyttet navn med "Tom Spark reviews" for å "fjerne negativt innhold fra YouTube" han hadde publisert om den konkurrerende VPN-tjenesten.
  3. Så avslørte personen at han hadde "skadelig informasjon" om TorGuard angående en sikkerhetsfeil, som ville "bli løslatt" hvis TorGuard ikke gikk med på kravene.
  4. TorGuard erkjente feilen, men uttalte at serveren "ikke hadde blitt brukt til installasjoner" siden januar 2018 og hevdet at det var "ingen sikkerhetsrisiko" for brukerne.
  5. TorGuard undersøkte deretter saken, noe som førte til at de tro at et webhotell var involvert, og lovte "i påvente av rettslige skritt."

I blogginnlegget navngir ikke TorGuard NordVPN eller vertsselskapet som er involvert, men tittelen på innlegget hevder at dette var et forsøk på "utpressing". Fire dager senere anla TorGuard søksmålet.

24. mai 2019: TorGuard Sues NordVPN og C-7 Hosting

Bare fire dager etter den påståtte "utpressingen" -hendelsen, siktet TorGuard søksmål i en tingrett i Orlando, Florida (USA) mot NordVPN og C-7 webhotell.

nordvpn torguard søksmåling utpressing

Her er ti viktige detaljer fra søksmålet (TLDR):

  1. TorGuard (Data Protection Services, LLC med base i Florida) er saksøkt NordVPN (Tefincom S.A. basert i Panama) og C-7 (C-Seven Media, Inc. med base i Canada).
  2. Søksmålet åpner med et angrep på NordVPN for "villedende" reklame og "uærlig" leasing av IP-adresser fra ARIN (selv om disse tingene har ingenting å gjøre med påstandene som foreligger).
  3. TorGuard hevder at NordVPN har “truet TorGuard” med tidligere rettslige tiltak fra “General Counsel Legal Affiairs Tefincom S.A.”
  4. TorGuard hevder da at NordVPN “orkestrerte strategisk tidsbestemt” DDOS angrep mot TorGuards nettsted på Black Friday, noe som resulterte i "betydelige økonomiske skader og omdømme."
  5. TorGuard søker påbud og rettferdig lettelse, skader “i overkant av $ 75 000”, inndriving av all fortjeneste som ble tapt, alle advokatkostnader forbundet med saken, “eksemplariske skader” i størrelsesorden ”dobbelt så mange tap” og ” ytterligere lettelse ”som domstolen bestemmer er“ rettferdig og rettferdig. ”
  6. TorGuard hevder at C-7 er "tilknyttet eller kontrollert av NordVPN" og at C-7 anmodet om et "kjøpstilbud" på vegne av NordVPN.
  7. I 2018 kontrakt TorGuard med C-7, som er hvordan C-7 hadde tilgang til TorGuards "konfidensiell og forretningshemmelighet."
  8. TorGuard hevder at denne "konfidensielle og handelshemmelige informasjonen" deretter ble gitt til NordVPN, som var gjenstand for det påståtte "utpressing" -forsøket den 17. mai 2019 om sikkerhetsfeil.
  9. I søksmålet uttaler TorGuard at NordVPN ba om en "gentleman's Agreement" der NordVPN ikke ville publisere TorGuards sikkerhetsfeil hvis TorGuard kunne få en av deres tilknyttede selskaper [Tom Spark anmeldelser] for å fjerne YouTube-videoer som var kritiske til NordVPN.
  10. TorGuard krever en juryprøving og hevder at de tiltalte (NordVPN og C-7) brøt Floridas lov om datamisbruk og datagjenoppretting (“CADRA”), Florida Uniform Trade Secrets Act (“FUTSA”) og også “Tortious Interference” med hensyn til TorGuards forretningsforhold.

Nå som vi har dekket hovedpunktene i søksmålet på tolv sider, la oss undersøke noen flere spørsmål.

Kaster TorGuard gjørme? Er søksmålet legitim?

VPN-bransjen er veldig konkurransedyktig og det er mye som står på spill. Det kan være den største faktoren for å forklare alt dette dramaet vi har sett i det siste, med at forskjellige VPN-leverandører åpent angrep hverandre på forskjellige arenaer (online og i retten).

Det virker som om TorGuard har tatt en hit på grunn av forskjellige DDOS-angrep, men søksmålet ser ikke ut til å ha noen røykvåpenbevis som knytter dette til NordVPN.

Et annet stort spørsmål er om denne retten i Orlando, Florida legitim jurisdiksjon å høre en sak mot NordVPN, som har base i Panama, og C-7, som har base i Canada. Ingen av disse virksomhetene har en fysisk tilstedeværelse i Florida, så kanskje søksmålet rett og slett blir kastet ut.

NordVPNs offisielle svar

NordVPN har gitt Restore Privacy en offisiell uttalelse, hot off the press 29. mai 2019:

Vi er klar over søksmålet, selv om det er ganske vanskelig å ta det på alvor. Alle beskyldninger er helt sammensatt. TorGuard (til tross for sannsynligvis ved en feiltakelse) anla til og med et søksmål mot et kanadisk nettdesignselskap som vi aldri har hørt om.

Vi mottok informasjon som førte til at vi fant TorGuard-serverkonfigurasjonsfil tilgjengelig på internett. Vi la merke til at en av serverne deres ble stående helt ubeskyttet og offentlig tilgjengelig for alle. Den inneholdt private nøkler, skript og en rekke andre ekstremt sensitive opplysninger, som hvis de misbrukes, kan ha forårsaket TorGuard og deres kunder alvorlig skade.

Vi avslørte sårbarheten for dem med de beste intensjoner. Det er en vanlig praksis og helt riktig ting å gjøre, men de bestemte seg for å inngi søksmål for utpressing. Vi ønsket ikke engang å offentliggjøre det.

Vi gleder oss veldig til følgende prosess. Nå har vi ikke noe annet valg enn å ta tiltak.

Du kan også finne blogginnlegget vårt om denne saken her: https://nordvpn.com/blog/torguard-lawsuit/

NordVPNs svar på blogginnlegg fremsetter også noen interessante påstander.

Det hele startet da vi mottok informasjon som førte til at vi fant en TorGuard-serverkonfigurasjonsfil som lå i det fri på internett.

Filen avslørte hvordan TorGuard-tjenesten ble konfigurert, viste private nøkler og inneholdt en mengde andre infrastrukturelle IP-adresser, inkludert IP-ene til deres autentiseringsservere og lignende eiendeler. Fordi filen kunne ha vært en del av et utdatert eldre system, bestemte vi oss for å bekrefte om det faktisk var et problem ved å prøve å få tilgang til noen av IP-ene via en vanlig nettleser.

Til vår overraskelse så vi at en av serverne var helt ubeskyttet. Alle kunne ha tilgang til den ved å angi serverens IP-adresse i adressefeltet til nettleseren. Serveren inneholdt et antall skript og annen sensitiv informasjon. I gale hender kunne denne informasjonen lett blitt misbrukt, og muligens forårsake store skader på TorGuard og deres kunder.

Innlegget forklarer deretter hvordan NordVPN formidlet sikkerhetsproblemet til TorGuards CTO Keith Murray og TorGuard administrerende direktør Benjamin Van Pelt “uten å be om noe i retur” - dvs. ingen "utpressing" -forsøk. NordVPN hevder også at TorGuard kan ha vært involvert i en "ærekrenkelseskampanje" rettet mot NordVPN.

Endelig benekter NordVPN de andre beskyldningene om DDOSing og uautorisert tilgang, som de hevder er "fremstilt" av TorGuard.

NordVPN avslutter innlegget med å uttale deres intensjon om å saksøke:

Vi vil straks flytte for å avvise TorGuards injurierende søksmål, men så lenge vi er inne på temaet: innlevering av falske og ondsinnede søksmål og publisering av falsk og villedende informasjon er i strid med loven. Derfor innleverer vi vår egen sak på grunn av ærekrenkelser og injurier.

Vi følger nøye med på hvordan dette hele spiller ut og oppdaterer denne artikkelen deretter.

TorGuards andre gang ble beskyldt for sikkerhetsfeil?

For rekorden er dette heller ikke første gang TorGuard er blitt beskyldt offentlig for sikkerhetsfeil.

I 2015 publiserte VPN.ac, en VPN-leverandør med base i Romania, en artikkel som beskrev hvordan TorGuard kopierte VPN.acs nettleserutvidelsesdesign, brukte VPN.acs API og implementerte også nettleser-proxy-tjenesten sin på en usikker måte.

torguard sikkerhetsfeil

Som VPN.ac forklarte i blogginnlegget:

Det er ikke bare designet som ligner, men de bruker også den samme geo-location API-serveradressen (fremhevet i sammenligningsbildet over). Dette er vår egen geo-IP API server som vi bruker internt (for programvare, utvidelser etc.).

Fyi, å bruke andres API-servere, som VPN-tjeneste, er en veldig uansvarlig feil - bare forferdelig fra en sikkerhet & personvern synspunkt. Det de gjør ved å bruke andres servere som API-tjenesten vår, er egentlig å eksponere alle Chrome Proxy-brukerens IP-er for en konkurrent. Vi forstyrrer ikke spørsmålene på noen måte, men du bør være klar over at en ondsinnet konkurrerende tjeneste kan benytte seg av en slik mulighet til å logge IP-er av brukere eller enda verre, omdirigere dem eller smi JSON-svarene til å rote seg med utvidelsesfunksjonalitet: f.eks trolling-scenario der tilkoblet beliggenhet vil vise "Fort Meade, Maryland" uavhengig av den virkelige gateway-IP-plasseringen.

VPN.ac listet også opp andre sikkerhetsfeil:

  • Torguard lagrer legitimasjonene i klartekst; vi XORing passet for å beskytte det mot spionprogrammer som vil søke overalt etter klar tekst-legitimasjon;
    For å reprodusere: legg til noen legitimasjon og lagre dem > høyreklikk på utvidelsen > Inspiser popup > ressurser > Lokal lagring
  • Torguard får den oppdaterte listen over proxy gateways over HTTP (igjen i klartekst); vi får dem over HTTPS (A + på Qualys / speilvendte resultater): fra Torguards bakgrunn.js, fra vår bakgrunn.js;
    Den åpenbare risikoen for å gi server-IP-er over HTTP er at de lett kan kapres i et MitM-angrep;
  • Torguards HTTPS-proxy er svært usikker: bruker usikre sifre som RC4, støtter SSL 3, er sårbar for POODLE-angrep, gir ikke fremoverhemmelighet. Får en skammelig grad C på Qualys-test. Resultatspeil 1, speil 2 (for å se det opprinnelige resultatet). Og dette er vårt resultat / speil (FS aktivert, ingen svake chiffer, støtte bare for TLS 1.1 og 1.2);

Nå tilbake til TorGuard og NordVPN søksmålet.

Konklusjon om søksmålet TorGuard og NordVPN

Tiden vil vise hvordan alt dette spiller ut.

Mens TorGuard tidligere har vært i nyhetene for sikkerhetsfeil, var NordVPN også i nyhetene i fjor sommer for et nytt søksmål som involverer Hola VPN.

På slutten av dagen er det synd at VPN-kampene blir dratt ut på en så fremtredende og åpen måte. Ikke bare skader det VPN-tjenestene som er involvert, men det skader også troverdigheten til hele bransjen.

Jeg holder denne artikkelen oppdatert når informasjon blir tilgjengelig.

Oppdatering 1: TorGuard gir feilaktig feil navn i søksmålet

I en overraskende fiasko med due diligence har TorGuard offisielt navngitt den gale parten i søksmålet deres.

torguard søksmål feil partiEpisk feil.

Som rapportert av Orlando Sentinel:

Et teknologiselskap i Orlando torsdag endret et føderalt søksmål fordi det tilsynelatende navngav den gale Toronto-baserte tiltalte i den innledende innleveringen.

TorGuard, som tilbyr kunder virtuelle private nettverk, eller VPN-er, hadde anklaget et selskap som heter C-7 for å skaffe seg forretningshemmeligheter på ulovlig vis og deretter bruke den informasjonen i en utpressingsordning.

Men da advokater for C-7 nådde TorGuards juridiske team for å lære mer, oppdaget de at TorGuard feilaktig hadde navngitt selskapet deres i drakten.

Den endrede innleveringen navngir nå Collective 7 Inc., også lokalisert i Toronto, som tiltalte.

Oops!

Ser ut som om noen ikke klarte å gjøre den nødvendige due diligence før han inngav et større søksmål i tingretten.

Oppdatering 2: TorGuard sender inn en klage og tweets beskyldninger

26. juni 2019 inngav TorGuard en klage for Middle District Court of Florida Orlando Division. Jeg leste gjennom hele klagen, og den gir ikke nye bevis eller utvikling. I stedet er det bare en hasj av hva den opprinnelige søksmålet allerede dekket, som vi diskuterte ovenfor.

TorGuard kunngjorde denne oppdateringen via sitt Twitter-håndtak. I tillegg til å twitre om klagen, la TorGuard også et skjermbilde som ser ut til å være en del av en utveksling som fant sted på en meldingsplattform.

"Uansett hvor mye du benekter sannheten, fortsetter sannheten eksisterende." - George Orwell pic.twitter.com/tKRvLFtJFE

- TorGuard (@TorGuard) 27. juni 2019

Jeg er nølende med å trekke noen konklusjoner her, siden dette er et lite stykke av en samtale, men det ser ut til å antyde at NordVPN ba om at noe innhold skulle tas ned. Er dette "bevis på utpressing"? Hvem vet. Vi får se hvordan det hele spiller ut i retten.

James Rivington Administrator
Sorry! The Author has not filled his profile.
follow me