Psiphon تكمل مراجعة أمنية أخرى من طرف ثالث
16/2/2018 - 2 دقيقة قراءة
تم التحديث: 4/6/2021
في أواخر يونيو 2017، واصل Psiphon إثبات التزامه بالتطوير مفتوح المصدر (يمكنك الوصول إلى مستودع الشيفرة البرمجية الخاص بنا هنا)، بتكليف Cure53 بإجراء تدقيق أمني لخدماتنا. استغرقت المراجعة الأمنية 22 يومًا وما مجموعه 9 مختبرين لإنجاز ما وُصف بأنه مراجعة ذات "نطاق واسع"، وكان مختبرو Cure53 دقيقين للغاية. هذا هو ثاني تدقيق أمني لنا من هذا النوع خلال 3 سنوات (يمكنك الاطلاع على نتائج التدقيق الأول، الذي أجرته iSec هنا).
ينص وصف التقرير لما شمله النطاق على ما يلي:
“شمل النطاق مكونات متعددة من مجمع برمجيات Psiphon، بما في ذلك عميل وخادم نواة النفق، وروابط المكتبات، وتطبيق Psiphon لنظام iOS، وأخيرًا وليس آخرًا، متصفح Psiphon لنظام iOS. ويفسر هذا الأساس والنطاق الواسعان للغاية ضرورة إشراك عدد كبير نسبيًا من المختبرين ذوي الخبرة المتوافقة تمامًا في مجالات مختلفة. وإجمالاً، شملت الاختبارات عمليات تدقيق الشيفرة البرمجية، واختبارات اختراق فعلية، ومراجعات للبروتوكول والتكوين، وتدقيقًا تشفيريًا."
نحن سعداء للغاية بنتائج التدقيق الأمني وفخورون بالإعلان عن أنه "لم يتم الكشف عن أي مخاطر أمنية جديرة بالذكر" (ص 19). وبروح من الشفافية، يمكنك قراءة التقرير المفصل كاملاً بصيغة PDF هنا. ومن بين الثغرتين اللتين تم العثور عليهما، تم بالفعل إصلاح إحداهما (وأكدت ذلك Cure53) كما تم اتخاذ خطوات لمعالجة الأخرى في الإصدارات القادمة.
كما أشار المختبرون إلى 7 مشكلات متنوعة أخرى يمكنك العثور عليها مدرجة في التقرير، وقد تم بالفعل معالجة أربع منها أيضًا.
“تشارك المختبرون القناعة بأن مجمع البرمجيات استفاد بشكل كبير من عدد من عمليات التدقيق الأمني للبرمجيات في الماضي. وغني عن القول إن هذا ينعكس في النتائج. فمن بين إجمالي المشكلات التسع المكتشفة، تم تصنيف اثنتين فقط على أنهما ثغرات أمنية، وتم منحهما أدنى تصنيف خطورة وهو "معلوماتي".”
أشار مختبرو Cure53 عدة مرات في التقرير إلى مدى نظافة الشيفرة البرمجية وجودتها العالية، وتوصلوا إلى النتيجة التالية:
“على الرغم من استثمار قدر كبير من الوقت والموارد البشرية في محاولة الاختراق، إلا أن مكونات Psiphon التي شملها النطاق صمدت أمام الفحص الدقيق وأثبتت قوتها ومتانتها في مواجهة المحاولات الهجومية. وخلاصة القول هي أنه لم يتم الكشف عن أي مخاطر أمنية جديرة بالذكر.”
نأمل أن تجدوا هذا التقرير ممتعًا، وأن يطمئنكم على التزامنا بتوفير برمجيات من الدرجة الأولى ستظل دائمًا مفتوحة المصدر وآمنة.