Heartbleed və Psiphon
04.10.2014 - 2 dəqiqəlik oxu
Yenilənib: 26.09.2021
Heartbleed boşluğunun Psiphon-a təsirinin xülasəsi:
- Bəzi Psiphon serverləri OpenSSL-in təsirlənmiş versiyalarından istifadə edirdi ki, bu da Python veb-serverini Heartbleed hücumuna qarşı həssas qoyurdu. Veb-server komponenti prosesi daxilində risk altında olan məlumatlara veb-serverin açar materialına əlavə olaraq Psiphon şəbəkə topologiyası məlumatları və şəbəkə istifadə statistikası daxil idi.
- SSH/SSH+ Psiphon tunelləri risk altında deyildi. Psiphon serverləri vasitəsilə axan istifadəçi trafiki risk altında deyildi. Hər seans üçün autentifikasiya gizli açarı Python veb-serverinin yaddaşında olduğundan, VPN Psiphon tunelləri potensial olaraq aralıqdakı adam (man-in-the-middle) hücumları üçün risk altında idi.
- 8 aprel 2014-cü ildə təsirlənmiş bütün Psiphon serverlərinə OpenSSL yamaları tətbiq edildi. Bundan əlavə, təsirlənmiş bütün serverlərin qeyri-SSH/SSH+ imkanları ləğv edildi (bütün müştərilərə zolaqdan kənar yeniləmələr), bu da müştərilərin təhlükəsiz tuneldən kənarda potensial olaraq təhlükəyə məruz qalmış veb-server açar materialından istifadə etməyə cəhd etməyəcəyini təmin edir.
- Windows müştərisi OpenSSL-dən istifadə etmir və Heartbleed hücumundan təsirlənmir.
- Android müştərisi öz tuneli üçün OpenSSL-dən istifadə etmir, lakin Psiphon veb-serverlərinə və Amazon S3-ə veb sorğuları üçün Android Java SSL-dən istifadə edir. Android 4.1.1 versiyası Heartbleed-dən təsirləndiyi üçün, tətbiqimiz Android-in bu xüsusi versiyasında Amazon, Psiphon serverləri və ya tətbiq yaddaşına baxan aralıqdakı adam hücumuna qarşı həssas olaraq qalır.
- E-poçt avtomatik cavablandırma serveri OpenSSL-in təsirlənmiş versiyasına sahib idi. Ona qarşı hücum, uzaq poçt serverinə SSL bağlantısı yaratmağa məcbur etməkdən (həmin serverdən istifadə edən ünvandan e-poçt sorğusu göndərməklə) ibarət ola bilərdi ki, bu da daha sonra poçt serverinin yaddaşına baxmağa imkan verərdi. Bu, potensial olaraq e-poçt məzmununu, o cümlədən ünvanları ifşa edə bilərdi. OpenSSL yamaları 8 aprel 2014-cü ildə tətbiq edildi.
- Əks-əlaqə emalı serveri OpenSSL-in təsirlənmiş versiyasına sahib idi. O, Amazon AWS xidmətlərinə və Google Gmail serverinə SSL bağlantıları yaratmaq üçün həmin kitabxanadan (Python + Boto vasitəsilə) istifadə etmiş ola bilər. Bu o deməkdir ki, Amazon və ya Google istifadəçi rəy məlumatlarına giriş əldə edə bilərdi. Lakin qeyd edilməlidir ki, bu məlumatlar artıq Amazon EC2-də yerləşdirilir və bu məlumatların bir hissəsi bizə Gmail vasitəsilə e-poçtla göndərilir. OpenSSL yamaları 8 aprel 2014-cü ildə tətbiq edildi.
- Psiphon OpenSSL-in təsirlənmiş versiyasından istifadə etmirdi.