Neuer OpenVPN client, Beta Test

Status
Not open for further replies.
Ja moin zusammen. Eine neue Beta ist online!:

Perfect-Privacy-VPN_BETA_Setup.exe


- IPSEC support eingebaut
- Firewall ist jetzt per Default auf "Beim Tunnelstart aktivieren" eingestellt. Bei IPSEC ist das Routing nicht so stabil und es macht sinn die firewall anzumachen.
- Der Client erkennt jetzt wenn es wahrscheinlich ein DNS leak gibt (defaultgateway == nameserver). Nach der erst Installation wird die DNS Leak Protection dann automatisch eingeschaltet, später warnt der client und schlägt vor den DNS Leak Schutz zu aktivieren.
- Die Serverliste zeigt jetzt die Landesflagge an. Ausserdem kann man nach Land sortieren.
- Die checkip Anzeige im Client zum überprüfen ob auch wirklich VPN benutzt wird hat jetzt ein Fallback auf check.torproject.org. Falls unser checkip mal nicht funktioniert steht dann nicht dauerhaft "warte auf Bestätigung" da.
- Aus diesem Grund gibt es für den Client jetzt separate configs, die .ovpn Files für den Client enthalten alle ips der Servers um die Antwort von check.torproject.org dem passenden Server zuordnen zu können.
- Ihr müsst euch nicht mehr um die configs kümmern, der Installer bring jetzt die aktuellen configs mit. Also kein auf download klicken nach der erst Installation mehr.
- Silent Updates: Die config und auch der Client aktualisieren sich einmal pro Woche selbstständig falls es updates gibt. Die Beta Version alle 12 stunden.
- Die Beta aktualisiert sich automatisch auf die Stable Version sobald es eine neuer Stable Version gibt.
- Die config wird im Hintergrund aktualisiert, Client updates werden heruntergeladen und bei nächsten Neustart des VPN Managers installiert.
- Falls das jemand per Firewall verhindert fängt der Client nach 4 Monaten an nervige hinweise anzuzeigen das man updaten soll :)
- TCP und Single Server configs müssen nicht separat runtergeladen werden, und die buttons um das auszuwählen sind von "Perfect Privacy Einstellungen" nach "Programm-Einstellungen" gewandert.
- OpenVPN muss nicht mehr separat installiert werden. OpenVPN Setup wird nicht mehr aufgerufen. openvpn.exe und alle dlls werden in den Programme ordern des VPN Managers kopiert, der VPN Manager kümmert sich da drum das die TAP Adapter installiert sind.
- DNS Leak Protection und Firewall Setup beschleunigt
- "Advanced Protection" Fenster erscheint nur noch wenns mal länger dauert und wenn das Programm in Vordergrund ist.
- DOS Fenster des Service installers beim install/uninstall versteckt.
- Firewall Protection warnt den User falls das firewall Setup blockiert wurde (z.b. durch andere sicherheitssoftware)
- https validation kennt jetzt hardcoded das erwartete cert anstatt der windows cert chain zu trauen.
- Es gibt nicht mehr die Möglichkeit den VPN Service zu deinstallieren. Im Moment tut es der client auch noch ohne den service, wenn man ihn als admin startet. Da das aber code mässig relativ aufwendig ist immer 2 Pfade zu haben verschwindet diese Möglichkeit.
- Der "Netzwerk zurücksetzen" Button wurde geändert. Er setzt jetzt nicht nur die Einstellungen zurück die garantiert von VPN Manager erzeugt wurden, sondern stellt generell die Netzwerkschnittstellen auf DHCP und die Windows firewall outgoing connections auf den Default "allow". Für die user die den button brauchen weil sie sonst ihr Netzwerk nicht mehr ans laufen bekommen ist das der sinnvollste Default.
- Der Client heisst jetzt "VPN Manager" anstatt "OpenVPN Manager" . D.h: Alles wurde umbekannt, inklusive der Ordner. Das bedeutet die neue Version ist NICHT mit der alten kompatibel.
- Der uninstaller setzt jetzt auch die firewall und DNS Einstellungen zurück. ! Achtung: Der uninstaller der aktuellen stable Version tut das evtl. nicht. Achtet da drauf wenn ihr den alten Client deinstalliert, erst Firewall und DNS Leak Schutz ausmachen, dann deinstallieren.
- Die beta zeigt jetzt an mehren stellen Fehlermeldungen an, mit der Aufforderung einen screenshot davon zu machen und im forum zu posten oder per mail zu schicken.


Wie immer gilt für die Beta: Benutzt die nicht wenn ihr irgendwie von eurer Anonymität abhängt. Die Beta hat garantiert noch Bugs! Generell: Geht davon das die Beta euren Netzwerkeinstellungen verfriemelt, eure firewall deaktiviert, eure Daten am VPN vorbei leitet, euren Hamster killt und eure Porn Sammlung an die NSA faxt. ;)

Grüße

Lars
 
der Client hat sich gemausert, funktioniert so weit prima :)
auch automatisches Verbinden bei Autostart geht wieder

Ist IPSEC tatsächlich weniger sicher als OpenVPN, dafür aber schneller und weniger CPU-lastig?

Bin mal gespannt, ob das mit dem Auto-Update reibungslos funktioniert

Ist der Client auch auf englisch verfügbar oder ausschließlich auf deutsch?

Ein kleiner bug:
fetch

In der Taskleiste werden bei Kaskadierung (VPN) für beide Server die gleichen IPs angezeigt.
 
--in mal gespannt, ob das mit dem Auto-Update reibungslos funktioniert
>> ich auch :D ich schieb nachher mal ein update rum:)

-- Ist der Client auch auf englisch verfügbar oder ausschließlich auf deutsch?

>> Englische Version gibts automatisch auf nem englischen windows. wenn du die testen willst, benenn einfach im Programmorder vom VPN Manager den Ordner "de" in "foo" oder sowas um.

--Ist IPSEC tatsächlich weniger sicher als OpenVPN, dafür aber schneller und weniger CPU-lastig?
>> Nicht "dafür". Es ist weniger CPU lastig. Die crypto an sich ist gut. Also da ist kein stress. Auch pfs wird unterstützt.
Aber: Bei openvpn liefern wir die certs aus und die openvpn binary. Bei ipsec installieren ich das cert in den windows cert storage und benutz das windows ipsec. Das vertraut aber allen ca's im cert storage. d.h. wenn jetzt jemand .. "DIE";) sich n cert für unsere ipsec server ausstellt, gesigned mit einer ca die windows vertraut wird sich der Client da hin verbinden. Der Angreifer müsste dann den Traffic mitlesen, und dann über den passenden PP server wieder rausleiten, weil der user das sonst ja merkt weil dann das checkip nicht mehr geht. checkip benutzt https und erwartet ein bestimmtes cert, also da Man in the Middle zu machen sollte unmöglich sein.

tl;dr: Geheimdienste die in der Lage sind sich certs für beliebige domains mit einer validen CA zu signen könnten bei IPSEC Man In The Middle Spielen.

Grüße
Lars
 
tl;dr: Geheimdienste die in der Lage sind sich certs für beliebige domains mit einer validen CA zu signen könnten bei IPSEC Man In The Middle Spielen.

Aber selbst die müssen wie du beschrieben hast, noch eine Menge anderer Schritte machen, um da überhaupt irgendwas zu machen. Das ganze ist also extrem unwarscheinlich und irgendwie dadurch nur von theoretischer Natur
 
Funktioniert prima bisher, IPSEC und OpenVpn Verbindungen, sowie die Firewall,. Fragt der Client eigentlich nach Admin Rechten bei der Installation, oder habe ich das nur übersehen?
 
Im idealfall fragt er beim installieren von updates nicht nach admin rechten. Falls er das tut sagt er vorher sorry und gibt ne Fehlermeldung aus.
.. das ist ein ganz schöner Affentanz sowas sicher und sinnvoll zu machen, glaubt man gar nicht, war echt derbeeerr Aufwand :p

Grüße
Lars
 
Sauber,nach nem Arbeitsreichen Tag was zum Grinsen...

Wie immer gilt für die Beta: Benutzt die nicht wenn ihr irgendwie von eurer Anonymität abhängt. Die Beta hat garantiert noch Bugs! Generell: Geht davon das die Beta euren Netzwerkeinstellungen verfriemelt, eure firewall deaktiviert, eure Daten am VPN vorbei leitet, euren Hamster killt und eure Porn Sammlung an die NSA faxt.
wink.png
 
Nochmal bevor jetzt Panik aufkommt: Den Angriff den ich da auf IPSEC beschrieben habe, der ist theoretisch. Wer diesen Angriff ausführen kann, hat es gar nicht nötig ipsec aufzumachen.Der könnte euch einfach von Anfang an auf eine falsche PP Seite leiten, und ihr würdet einen client runterladen der schon manipuliert ist und so weiter. Dagegen kann man auch Technisch wenig machen.
Wie will man sicherstellen das man auf der Richtigen PP Seite ist? Ich könnte jetzt hier schreiben das der fingerprint 09 55 7F 03 15 AC CB 1F E8 C0 84 02 A3 59 D5 60 E8 CC FD 8E ist, aber wie willst du überprüfen ob diese Seite die du gerade siehst nicht schon manipuliert ist?
Also im Endeffekt ist das n Henne Ei Problem. Woher bekommst du im ersten moment sicher den Schlüssel der Gegenseite? Im Internet ist das dadurch gelöst das wir für die PP Seite ein cert bei comodo kaufen , und microsoft/google/apple/$linux lieferen die comodo ca als trusted mit der installations cd/dvd aus.
Wenn man jetzt davon ausgehen muss das ein Geheimdienst sich bei comodo ein cert für unsere domain besorgen kann und dann auf eurer Leitung MITM spielt, hat man verkackt. Da würde nur helfen an mehreren Rechner und mehreren Internet Anschlüssen die Perfect-Privacy Seite aufzurufen, in der Hoffnung das eine dieser Leitungen nicht manipuliert ist. Dann kann man die Fingerprints vergleichen,und bekommt dann mit hoher Wahrscheinlichkeit den original key. Das muss man natürlich mit jeder Seite machen von der machen was Runterladen und installieren will. Und mit den meisten Updateservern. (nicht bei den pp client autoupdates, die machten das in sicher:) ) .
Wer auf all das acht gibt, so das er sicher gehen kann den richtigen client zu haben und sich auf dem Rechner sonst nichts einfängt, der sollte dann auch OpenVPN anstatt IPSEC verwenden. Für alle anderen die nicht in der Gefahr sind das ein Geheimdienst sich mühe gibt ihnen persönlich ans Leder zu gehen ist IPSEC ein sehr sicheres protocol.


Grüße
Lars
 
PP Lars;n7088 said:
Ja moin zusammen. Eine neue Beta ist online!:
- Der Client erkennt jetzt wenn es wahrscheinlich ein DNS leak gibt (defaultgateway == nameserver). Nach der erst Installation wird die DNS Leak Protection dann automatisch eingeschaltet, später warnt der client und schlägt vor den DNS Leak Schutz zu aktivieren.
Mir ist folgendes aufgefallen:
Habe durch Zufall heute auf einem anderen Rechner mit einem cleanen Windows 7 probiert. Der Manager hat aber nicht automatisch die DNS Leak Protection eingeschaltet und auch nicht gewarnt. Ein DNS-Leak war aber da. Mit https://www.dnsleaktest.com/ getestet.
 
Da ist die frage ob du wirklich ein DNS leak hattest.. Nur weil dnsleaktest den DNS Server von deinem ISP anzeigt heisst das ja noch nicht das du ein DNS Leak hast.

Erklärung: Dein Router (192.168.0.1 z.b.) bekommt von deinem ISP z.b die IP 1.2.3.4 als DNS server zugewiesen.
Dein Rechner fragt den Router per DHCP nach IP und DNS Server. Wenn der Router deinem Rechner jetzt seine eigenen IP, also 192.168.0.1 als DNS Server mitteilt, hast du ein DNS Leak. In diesem Fall würden alle DNS abfragen anstatt ins Internet zu gehen und somit übers VPN, in deinem LAN an deinen Router geschickt werden. Der würde die dann zur IP 1.2.3.4 weiterleiten , hat aber ja keine VPN Verbindung. d.h. Jemand der deine Internetleitung überwacht sieht deine Klartext DNS Requests die der Router ins Internet schickt + Verschlüsselten VPN Traffic.
Die andere Möglichkeit ist das der Router dir einfach die 1.2.3.4 als Nameserver gibt. Dann benutzt du zwar den Nameserver von deinem ISP, aber über VPN da 1.2.3.4 eine Internet IP ist und Internet Traffic ja übers VPN gerouted wird.

Überprüfe das mal bitte, hast du eine LAN IP als DNS Server bekommen? oder die Internet IP vom Nameserver deines ISPs?

Grüße
Lars
 
Danke für die schnelle Antwort,:) Ich habe die IP des Nameservers meines ISPs bekommen. Zumindest hat der Test diese ausgewiesen.
Das heißt ja dann, dass zwar die DNS-Abfragen über den ISP Nameserver gehen, aber via VPN, wenn ich dich richtig verstanden habe?
 
naja das ist das Problem, das kann der Test dir nicht sagen. Entweder dein Rechner benutzt die IP von deinem ISP als DNS, dann ist alles ok, oder dein Rechner benutzt deinen Router und der benutzt die IP von deinem ISP, dann hast du ein DNS leak. Der Test zeigt aber immer die DNS Server von deinem ISP an. Es gibt nur einen Hinweis, wenn da die IP deines ISPs steht dann ist die Wahrscheinlichkeit deutlich höher das du ein DNS Leak hast als wenn da z.b. googles 8.8.8.8 rauskommt oder die pp server.

Um rauszufinden ob du ein DNS Leak hast musst du deine Netzwerkadapter durchklicken, Rechte Maustaste auf "LAN-Verbindung" -> Status -> Details. Da gibts n Feld IPv4-DNS-Server. Wenn da dein Router oder eine LAN IP steht hast du ein DNS Leak, wenn da eine Internet IP steht dann nicht.

Grüße
Lars
 
Habe die Beta nun auch installiert und nutze IPSEC - ich habe nun endlich auch Fullspeed ! Perfekt :)

Bislang läuft die Beta ohne Probleme, sollten Probleme auftauchen, schreib ich sie in den Thread.
Aber schonmal ein dickes Lob ! Tolle Arbeit :)
 
Kurze Nachfrage: Wenn ich die neue BETA installiere, sollte ich alle vorherigen Elemente der Stable deinstallieren, denn die BETA bringt alles mit was ich brauche, richtig?
 
Ab heute keine Verbindung mehr mit der neuen,gestern alles noch ok.Ratlos ich bin:(
Verbindung wird hergestellt,keine Bestätigung,und kein Surfen oder anderes möglich.
Pingen funzt.
Einstellungen wie immer:Bei Windowsstart auch Managerstart,aber kein Verbinden.
Mach ich selbst.Kaskadierung aktiviert,aber nicht benutzt.
Firewall und DNS erst bei Tunnelstart.
Deaktiviere ich die Kaskadierung geht es doch,gerade ausprobiert.
Werde das heute Abend noch am Läppi probieren,muß jetzt los,Arbeit ruft ganz laut....
 

Attachments

  • conv_370.txt
    7.3 KB · Views: 0
Hi speedylein, mist, den selben Bug hatte ich auch schon ein einziges mal.Hatte aber gehofft das das nur einmal kurz an Erdstrahlen oder so lag. Ich denke mal das ist noch ein timing bug in der beta. Kannst du in Einstellungen->Sonstige das debug level mal auf 5 stellen? Ich habs das jetzt zig mal probiert, bekomm das aber nicht reproduziert. Ich bräuchte mal ein log auf level 5 wenn der bug auftritt.

Grüße
Lars
 
Updates funtionieren prima.
Hab gestern ein Update von 1.6.40 auf 1.6.47 und heute ein weiteres auf 1.6.48 erhalten.

Ein changelog wäre noch klasse
 
PP Lars;n7102 said:
Um rauszufinden ob du ein DNS Leak hast musst du deine Netzwerkadapter durchklicken, Rechte Maustaste auf "LAN-Verbindung" -> Status -> Details. Da gibts n Feld IPv4-DNS-Server. Wenn da dein Router oder eine LAN IP steht hast du ein DNS Leak, wenn da eine Internet IP steht dann nicht.

Grüße
Lars
In dem Feld stand nichts. DNS Serveradresse automatisch beziehen....

Mir ist noch was aufgefallen:
Beim Auto-Update gerade auf Version 1.6.48.0 wird eine neue Verknüpfung des VPN Managers auf dem Desktop abgelegt. Bräuchte man nicht. Ist aber nur eine Kleinigkeit.

Ansonsten finde ich als PC-Laie den VPN Manager top und super gelungen.:)
 
So,er hat gerade ein Update gemacht.Hab meine alten Einstellungen wieder
genommen.Klappt,warum auch immer......
 
Status
Not open for further replies.
Back
Top