Mozilla versucht seit einiger Zeit, seine Einnahmen aus neuen Quellen zu generieren. Dem Browser Firefox als Cashcow stellte die Mozilla Foundation deshalb ein VPN-Angebot zur Seite, das seit April auch in Deutschland zu haben ist. Jetzt liegen die Ergebnisse eines Sicherheits-Audits vor.

Für das Audit hatte Mozilla das auf Pentesting spezialisierte Unternehmen Cure53 aus Berlin beauftragt. Das Audit fand im Frühjahr 2021 statt. Die Experten haben dabei 16 sicherheitsrelevante Probleme gefunden, von denen aber nur eines als tatsächliche Schwachstelle zu werten sei, heißt es im Audit-Bericht. Man habe dieser Schwachstelle mit einem mittleren Gefahrenpotenzial klassifiziert. Die übrigen fünfzehn Probleme sollten als eine Sammlung allgemeiner Schwachstellen mit geringerem Ausnutzungspotenzial angesehen werden, heißt es im Bericht.

Cure53, das schon 2020 ein Audit durchgeführt hat, sieht die Ergebnisse der aktuellen Prüfung als ein gutes Zeichen für das Mozilla-VPN-App-Setup und die Sicherheitslage, vor allem auch im Vergleich mit den Ergebnissen vom

August 2020. Sicherheit und Datenschutz seien eindeutig verbessert worden, heißt es im Bericht.

Bei der einizg relevanten Schwachstelle im VPN-Setup von Mozilla habe man festgestellt, dass das Mozilla-VPN das Senden von unverschlüsselten HTTP-Anfragen außerhalb des Tunnels an bestimmte IP-Adressen erlaube, insbesondere wenn der Mechanismus zur Captive-Portal-Erkennung in den Einstellungen aktiviert worden sei. Dies berge die Gefahr der Deanonymisierung des Benutzers. Die Bedingungen dafür seien aber auf einem hohen Level angesiedelt und setzten in der Regel eine staatliche Finanzierung oder besonders findige Angreifer voraus.

Der Security-Audit-Report ist online zu finden.