Heartbleed እና Psiphon
4/10/2014 - 2 ደቂቃ ንባብ
የተሻሻለው: 26/9/2021
የHeartbleed በPsiphon ላይ ያለው ተጽዕኖ ማጠቃለያ፦
- አንዳንድ የPsiphon አገልጋዮች በተጎዱ የOpenSSL ስሪቶች ይጠቀሙ ስለነበር፣ የPython ድር አገልጋዩ ለHeartbleed ጥቃት ተጋላጭ ሆኖ ቆይቷል። በድር አገልጋዩ ክፍለ-ሂደት ውስጥ ለአደጋ የተጋለጠው ውሂብ ከድር አገልጋይ ቁልፍ መረጃዎች በተጨማሪ የPsiphon አውታረ መረብ ቶፖሎጂ መረጃን እና የአውታረ መረብ አጠቃቀም ስታቲስቲክስን ያካትት ነበር።
- የSSH/SSH+ Psiphon መተላለፊያዎች ለአደጋ አልተጋለጡም ነበር። በPsiphon አገልጋዮች በኩል የሚያልፈው የተጠቃሚ ትራፊክ ለአደጋ አልተጋለጠም ነበር። በእያንዳንዱ ክፍለ-ጊዜ የማረጋገጫ ምስጢር በPython ድር አገልጋይ ማህደረ-ትውስታ ውስጥ ስለሚገኝ የVPN Psiphon መተላለፊያዎች ለመሃል-ገባ ጥቃቶች ተጋላጭ ሊሆኑ የሚችሉበት ሁኔታ ነበር።
- በኤፕሪል 8፣ 2014 የOpenSSL ጥጋኖች ለሁሉም የተጎዱ የPsiphon አገልጋዮች ተተግብረዋል። በተጨማሪም፣ ደንበኞች ከአስተማማኙ መተላለፊያ ውጭ ለአደጋ ሊጋለጡ የሚችሉ የድር አገልጋይ ቁልፍ መረጃዎችን እንዳይጠቀሙ ለማረጋገጥ ሁሉም የተጎዱ አገልጋዮች የSSH/SSH+ ያልሆኑ አቅሞቻቸው ተሰርዘዋል (ለሁሉም ደንበኞች የተደረገ የውጭ ዝመና)።
- የWindows ደንበኛ OpenSSLን የማይጠቀም ሲሆን በHeartbleed ጥቃት አልተጎዳም።
- የAndroid ደንበኛ ለመተላለፊያው OpenSSLን አይጠቀምም፣ ነገር ግን ወደ Psiphon ድር አገልጋዮች እና Amazon S3 ለሚያደርጋቸው የድር ጥያቄዎች Android Java SSLን ይጠቀማል። ምክንያቱም የAndroid ስሪት 4.1.1 በHeartbleed የተጎዳ በመሆኑ፣ በዚህ የተወሰነ የAndroid ስሪት ላይ የሚገኘው መተግበሪያችን Amazon፣ የPsiphon አገልጋዮች ወይም በመካከል ያለ አካል የመተግበሪያውን ማህደረ-ትውስታ አጮልቀው እንዳያዩ ተጋላጭ ሆኖ ይቆያል።
- የኢሜይል ራስ-ሰር ምላሽ ሰጪ አገልጋይ የተጎዳው የOpenSSL ስሪት ነበረው። በእሱ ላይ የሚሰነዘረው ጥቃት ወደ ሩቅ የደብዳቤ አገልጋይ የSSL ግንኙነት እንዲያደርግ ማድረግ ሲሆን (ያንን አገልጋይ ከሚጠቀም አድራሻ የኢሜይል ጥያቄ በመላክ)፣ ይህም የደብዳቤ አገልጋዩን ማህደረ-ትውስታ አጮልቆ ለማየት ያስችላል። ይህ አድራሻዎችን ጨምሮ የኢሜይል ይዘትን ለአደጋ ሊያጋልጥ ይችላል። የOpenSSL ጥጋኖች በኤፕሪል 8፣ 2014 ተተግብረዋል።
- የግብረ-መልስ ማካሄጃ አገልጋዩ የተጎዳው የOpenSSL ስሪት ነበረው። ወደ Amazon AWS አገልግሎቶች እና ወደ Google Gmail አገልጋይ የSSL ግንኙነቶችን ለማድረግ ያንን ቤተ-መጽሐፍት (በPython + Boto በኩል ተጠቅሞ ሊሆን ይችላል። ይህም ማለት Amazon ወይም Google የተጠቃሚ ግብረ-መልስ ውሂብን አግኝተው ሊሆን ይችላል ማለት ነው። ነገር ግን ይህ ውሂብ አስቀድሞ በAmazon EC2 ላይ የተስተናገደ መሆኑን እና የዚህ ውሂብ የተወሰነ ክፍል በGmail በኩል በኢሜይል እንደሚላክልን ልብ ሊባል ይገባል። የOpenSSL ጥጋኖች በኤፕሪል 8፣ 2014 ተተግብረዋል።
- Psiphon የተጎዳውን የOpenSSL ስሪት አይጠቀምም ነበር።