Heartbleed وPsiphon
4/10/2014 - 2 دقيقة قراءة
تم التحديث: 26/9/2021
ملخص تأثير ثغرة Heartbleed على Psiphon:
- كانت بعض خوادم Psiphon تستخدم إصدارات متأثرة من OpenSSL، مما ترك خادم الويب Python عرضة لهجوم Heartbleed. وشملت البيانات المعرضة للخطر، ضمن عملية مكوّن خادم الويب، معلومات طوبولوجيا شبكة Psiphon وإحصاءات استخدام الشبكة بالإضافة إلى مواد مفاتيح خادم الويب.
- لم تكن أنفاق Psiphon عبر SSH/SSH+ معرضة للخطر. ولم تكن حركة مرور المستخدمين التي تتدفق عبر خوادم Psiphon معرضة للخطر. بينما كانت أنفاق Psiphon عبر VPN معرضة لخطر محتمل لهجمات الوسيط نظراً لأن سر المصادقة لكل جلسة موجود في ذاكرة خادم الويب Python.
- في 8 أبريل 2014، تم تطبيق تصحيحات OpenSSL على جميع خوادم Psiphon المتأثرة. بالإضافة إلى ذلك، تم إبطال الإمكانيات بخلاف SSH/SSH+ لجميع الخوادم المتأثرة (تحديثات خارج النطاق لجميع العملاء)، مما يضمن عدم محاولة العملاء استخدام مواد مفاتيح خادم الويب التي يحتمل اختراقها خارج النفق الآمن.
- لا يستخدم عميل Windows برنامج OpenSSL وهو غير متأثر بهجوم Heartbleed.
- لا يستخدم عميل Android برنامج OpenSSL لنفقه، ولكنه يستخدم Android Java SSL لطلبات الويب الخاصة به إلى خوادم الويب Psiphon وAmazon S3. وبما أن إصدار Android 4.1.1 متأثر بثغرة Heartbleed، فإن تطبيقنا على هذا الإصدار بالتحديد من Android يظل عرضة لاختلاس النظر في ذاكرة التطبيق من قِبل Amazon، أو خوادم Psiphon، أو من خلال هجوم الوسيط.
- كان خادم الرد التلقائي للبريد الإلكتروني يحتوي على الإصدار المتأثر من OpenSSL. وكان الهجوم ضده سيتمثل في حمله على إنشاء اتصال SSL بخادم بريد بعيد (عن طريق إرسال طلب بريد إلكتروني من عنوان يستخدم ذلك الخادم)، والذي يمكنه بعد ذلك اختلاس النظر في ذاكرة خادم البريد. وقد يؤدي هذا إلى احتمالية كشف محتوى البريد الإلكتروني، بما في ذلك العناوين. وقد طُبقت تصحيحات OpenSSL في 8 أبريل 2014.
- كان خادم معالجة التعليقات والملاحظات يحتوي على الإصدار المتأثر من OpenSSL. وربما استخدم تلك المكتبة (عبر Python + Boto لإنشاء اتصالات SSL بخدمات Amazon AWS وخادم Google Gmail. وهذا يعني أن Amazon أو Google كان بإمكانهما الوصول إلى بيانات ملاحظات المستخدمين. ومع ذلك، تجدر الإشارة إلى أن هذه البيانات مستضافة بالفعل في Amazon EC2 وتُرسل مجموعة فرعية من هذه البيانات إلينا عبر Gmail. وقد طُبقت تصحيحات OpenSSL في 8 أبريل 2014.
- Psiphon لم يكن يستخدم إصداراً متأثراً من OpenSSL.