Heartbleed і Psiphon
4.10.2014 - 2 хв чытання
Абноўлена: 26.9.2021
Кароткае апісанне ўплыву Heartbleed на Psiphon:
- Некаторыя серверы Psiphon выкарыстоўвалі закранутыя версіі OpenSSL, што пакідала вэб-сервер Python уразлівым да атакі Heartbleed. Даныя пад пагрозай у працэсе кампанента вэб-сервера ўключалі інфармацыю пра тапалогію сеткі Psiphon і статыстыку выкарыстання сеткі ў дадатак да ключавога матэрыялу вэб-сервера.
- Тунэлі Psiphon SSH/SSH+ не знаходзіліся пад пагрозай. Карыстальніцкі трафік, які праходзіў праз серверы Psiphon, не знаходзіўся пад пагрозай. Тунэлі Psiphon VPN патэнцыйна знаходзіліся пад пагрозай атак «чалавек пасярэдзіне» (man-in-the-middle), паколькі сакрэт аўтэнтыфікацыі для кожнага сеанса захоўваецца ў памяці вэб-сервера Python.
- 8 красавіка 2014 года выпраўленні OpenSSL былі ўжытыя да ўсіх закранутых сервераў Psiphon. Акрамя таго, для ўсіх закранутых сервераў былі адкліканы магчымасці, адрозныя ад SSH/SSH+ (пазачарговыя абнаўленні для ўсіх кліентаў), што гарантавала, што кліенты не будуць спрабаваць выкарыстоўваць патэнцыйна скампраметаваны ключавы матэрыял вэб-сервера па-за межамі бяспечнага тунэля.
- Кліент для Windows не выкарыстоўвае OpenSSL і не закрануты атакай Heartbleed.
- Кліент для Android не выкарыстоўвае OpenSSL для свайго тунэля, але выкарыстоўвае Android Java SSL для сваіх вэб-запытаў да вэб-сервераў Psiphon і Amazon S3. Паколькі версія Android 4.1.1 закранутая Heartbleed, наша праграма на гэтай канкрэтнай версіі Android застаецца ўразлівай да таго, што Amazon, серверы Psiphon або зламыснік пасярэдзіне (man-in-the-middle) атрымаюць доступ да памяці праграмы.
- Сервер аўтаадказчыка электроннай пошты меў закранутую версію OpenSSL. Атака супраць яго заключалася б у тым, каб прымусіць яго ўсталяваць SSL-злучэнне з аддаленым паштовым серверам (шляхам адпраўкі запыту па электроннай пошце з адраса, які выкарыстоўвае гэты сервер), які затым мог бы зазірнуць у памяць паштовага сервера. Гэта патэнцыйна магло б раскрыць змесціва электронных лістоў, у тым ліку адрасы. Выпраўленні OpenSSL былі ўжытыя 8 красавіка 2014 года.
- Сервер апрацоўкі водгукаў меў закранутую версію OpenSSL. Ён мог выкарыстоўваць гэтую бібліятэку (праз Python + Boto для ўсталявання SSL-злучэнняў з сэрвісамі Amazon AWS і серверам Google Gmail. Гэта азначае, што Amazon або Google маглі атрымаць доступ да даных водгукаў карыстальнікаў. Аднак варта адзначыць, што гэтыя даныя ўжо размяшчаюцца ў Amazon EC2, а частка гэтых даных дасылаецца нам па электроннай пошце праз Gmail. Выпраўленні OpenSSL былі ўжытыя 8 красавіка 2014 года.
- Psiphon не выкарыстоўваў закранутую версію OpenSSL.