Psiphon завяршыў чарговую праверку бяспекі трэцім бокам
16.2.2018 - 2 хв чытання
Абноўлена: 4.6.2021
У канцы чэрвеня 2017 года Psiphon працягнуў пацвярджаць сваю прыхільнасць да распрацоўкі з адкрытым зыходным кодам (вы можаце атрымаць доступ да нашага рэпазіторыя з кодам тут), замовіўшы ў Cure53 правядзенне аўдыту бяспекі нашых сэрвісаў. Праверка бяспекі заняла 22 дні і ўдзел 9 тэсціроўшчыкаў, каб завяршыць тое, што было ахарактарызавана як праверка з «шырокім ахопам», і тэсціроўшчыкі з Cure53 былі вельмі руплівымі. Гэта наш 2-і аўдыт бяспекі такога кшталту за 3 гады (вы можаце азнаёміцца з вынікамі 1-га, праведзенага iSec, тут).
У апісанні справаздачы наконт таго, што ўваходзіла ў сферу ахопу, гаворыцца:
«У сферу ахопу ўваходзілі шматлікія кампаненты праграмнага комплексу Psiphon, у тым ліку кліент і сервер тунэльнага ядра, злучальныя бібліятэкі, праграма Psiphon для iOS і, што не менш важна, браўзер Psiphon для iOS. Гэтыя вельмі шырокія зыходныя ўмовы і ахоп тлумачаць неабходнасць прыцягнення досыць вялікай колькасці тэсціроўшчыкаў з адпаведным вопытам у розных сферах. У цэлым тэсты ўключалі аўдыт коду, непасрэдныя тэсты на пранікненне, праверку пратаколаў і канфігурацый, а таксама крыптаграфічны аўдыт».
Мы вельмі задаволеныя вынікамі аўдыту бяспекі і з гонарам паведамляем, што «ніякіх вартых увагі рызык бяспекі выяўлена не было» (стар. 19). У мэтах празрыстасці вы можаце прачытаць поўную падрабязную справаздачу ў фармаце pdf тут. З дзвюх выяўленых уразлівасцей адна ўжо выпраўленая (што пацверджана Cure53), а для ліквідацыі другой прыняты меры ў будучых выпусках.
Тэсціроўшчыкі таксама адзначылі 7 іншых разнастайных праблем, пералік якіх вы можаце знайсці ў справаздачы, чатыры з іх таксама ўжо былі выпраўленыя.
«Тэсціроўшчыкі падзяляюць перакананасць у тым, што праграмны комплекс атрымаў значную карысць ад шэрагу аўдытаў бяспекі праграмнага забеспячэння ў мінулым. Залішне казаць, што гэта знайшло адлюстраванне ў выніках. З агульнай колькасці дзевяці выяўленых праблем толькі дзве былі пазначаныя як уразлівасці бяспекі і атрымалі найніжэйшы рэйтынг значнасці «Інфармацыйны».»
Тэсціроўшчыкі Cure53 неаднаразова адзначалі ў справаздачы, наколькі чыстым і якасным з'яўляецца код, і прыйшлі да наступнай высновы:
«Нягледзячы на значныя выдаткі часу і кадравых рэсурсаў на спробы ўзлому, кампаненты Psiphon, якія правяраліся, вытрымалі праверку і паказалі сябе моцнымі і надзейнымі перад абліччам варожых намаганняў. Галоўны вынік заключаецца ў тым, што ніякіх вартых увагі рызык бяспекі выяўлена не было».
Мы спадзяемся, што гэтая справаздача будзе для вас цікавай і запэўніць вас у нашай прыхільнасці да стварэння першакласнага праграмнага забеспячэння, якое заўсёды будзе бяспечным і з адкрытым зыходным кодам.