تقييم أمني مستقل لـ Psiphon 3

في Psiphon، نحن ملتزمون بالتطوير مفتوح المصدر. لقد تحدثنا عن هذا في منشور سابق على المدونة، ويمكنك الوصول إلى شفرتنا المصدرية هنا.

أتيحت لنا مؤخراً الفرصة لنقل هذا الانفتاح خطوة أخرى إلى الأمام من خلال تدقيق أمني رسمي لمنتجاتنا على أنظمة Windows وAndroid، لتنفذه شركة iSEC Partners. وكجزء من جهودنا للتحلي بالشفافية في طريقة عملنا، يسعدنا نشر هذا التقرير بالكامل، والذي يمكنك الاطلاع عليه هنا.

بشكل عام، نحن سعداء للغاية بنتائج التدقيق الأمني، والاعتراف بأننا "نستثمر بنشاط في ضمان أمان مستخدمينا". لقد قمنا بالفعل بمعالجة العنصر الوحيد عالي الخطورة (High Severity) الذي كشفته iSEC Partners، وسنواصل معالجة التوصيات الأخرى بمرور الوقت.

النتائج الرئيسية للتقرير هي:

• يتبع Psiphon معظم أفضل الممارسات في هذا المجال، ويتخذ تدابير للتخفيف من حدة الهجمات عندما يتعذر تطبيقها.
• كانت معظم النتائج عبارة عن اقتراحات لمزيد من التحسين للنظام، خاصة فيما يتعلق بالنمو في عدد الأشخاص الذين يستخدمون البرنامج.
• لم يتم اكتشاف أي عيوب معمارية متأصلة.
• تم العثور على مشكلة واحدة عالية الخطورة (High Severity)، تتعلق بالتصحيح البرمجي التلقائي للخادم. لقد قمنا الآن بنشر التصحيح التلقائي للخادم باستخدام Ansible.
• تجري دراسة التوصيات طويلة الأجل، ودمجها في خطط التطوير الخاصة بنا عند الاقتضاء.

من النتائج ذات الأهمية الخاصة اعتراف iSEC Partners بوجود احتمالية لحدوث مشكلات أمنية تتعلق بالمتصفح الذي نستخدمه في وضع المتصفح فقط. لقد كتبنا عن ذلك مؤخراً عندما تم اكتشاف ثغرة أمنية جديدة في المتصفح، وقد اتخذنا بالفعل خطوات للحد منها.

لقد سعدنا كثيراً بإتاحة الفرصة لنا للمشاركة في هذه المراجعة الأمنية. نأمل أن تجد هذا التقرير مفيداً، وأن يطمئنك على التزامنا بتقديم برمجيات من الطراز الأول ستظل دائماً مفتوحة المصدر وآمنة.