Psiphon daha bir üçüncü tərəf təhlükəsizlik yoxlamasını tamamladı
16.02.2018 - 2 dəqiqəlik oxu
Yenilənib: 04.06.2021
2017-ci ilin iyun ayının sonunda Psiphon açıq mənbəli inkişafa sadiqliyini sübut etməyə davam etdi (kod repozitoriyamıza buradan daxil ola bilərsiniz), xidmətlərimizin təhlükəsizlik auditini həyata keçirməyi Cure53 şirkətinə həvalə etdi. Təhlükəsizlik baxışı 22 gün və “geniş miqyaslı” kimi xarakterizə edilən bu araşdırmanı tamamlamaq üçün cəmi 9 testçinin iştirakını tələb etdi və Cure53 testçiləri çox diqqətli və ətraflı iş apardılar. Bu, 3 il ərzində 2-ci bu tipli təhlükəsizlik auditimizdir (iSec tərəfindən həyata keçirilmiş 1-ci auditin nəticələrinə buradan baxa bilərsiniz).
Hesabatda əhatə dairəsinə nələrin daxil olduğu belə təsvir edilir:
“Əhatə dairəsinə Psiphon proqram təminatı kompleksinin bir çox komponentləri, o cümlədən tunel-nüvə müştərisi və serveri, kitabxana bağlayıcısı (library glue), Psiphon iOS tətbiqi və nəhayət, Psiphon iOS brauzeri daxil idi. Bu olduqca geniş zəmin və əhatə dairəsi müxtəlif sahələrdə uyğun təcrübəyə malik kifayət qədər çox sayda testçinin cəlb edilməsi zərurətini izah edir. Yekun olaraq, sınaqlara kod auditləri, faktiki nüfuzetmə testləri, protokol və konfiqurasiya yoxlamaları və kriptoqrafik audit daxil idi.”
Təhlükəsizlik auditinin nəticələrindən çox məmnunuq və “diqqətəlayiq heç bir təhlükəsizlik riskinin aşkar edilmədiyini” (səh.19) bildirməkdən qürur duyuruq. Şəffaflıq naminə ətraflı tam hesabatı pdf formatında buradan oxuya bilərsiniz. Aşkar edilmiş iki zəiflikdən biri artıq aradan qaldırılıb (və Cure53 tərəfindən təsdiqlənib), digərinin isə qarşıdan gələn buraxılışlarda həlli üçün addımlar atılıb.
Testçilər hesabatda sadalanan 7 digər müxtəlif problemi də qeyd etdilər, bunlardan dördü artıq aradan qaldırılıb.
“Testçilər proqram təminatı kompleksinin keçmişdə aparılmış bir sıra proqram təhlükəsizliyi auditlərindən böyük fayda gördüyünə dair əminliklərini bölüşdülər. Sözsüz ki, bu, nəticələrdə də əks olunur. Aşkar edilmiş cəmi doqquz problemdən yalnız ikisi təhlükəsizlik zəifliyi kimi qeyd edilmiş və ən aşağı “Məlumat xarakterli” ciddilik dərəcəsi ilə qiymətləndirilmişdir.”
Cure53 testçiləri hesabat boyunca kodun nə qədər təmiz və keyfiyyət yönümlü olduğunu dəfələrlə vurğuladılar və aşağıdakı nəticəyə gəldilər:
“Sistemi pozma cəhdlərinə xeyli vaxt və heyət resursları sərf edilməsinə baxmayaraq, əhatə dairəsindəki Psiphon komponentləri yoxlamalara tab gətirdi və hücum cəhdləri qarşısında güclü və dayanıqlı olduğunu göstərdi. Nəticə etibarilə heç bir diqqətəlayiq təhlükəsizlik riski aşkar edilmədi.”
Ümid edirik ki, bu hesabatı maraqlı hesab edəcəksiniz və bu, sizi hər zaman açıq mənbəli və təhlükəsiz olacaq birinci dərəcəli proqram təminatı təqdim etmək öhdəliyimizə inandıracaq.