Нядаўні аўдыт бяспекі кода Psiphon ад 7ASecurity не выявіў “істотных хібаў бяспекі”
2.11.2021 - 1 хв чытання
У межах нашай нязменнай прыхільнасці дасягненню найвышэйшых стандартаў празрыстасці і бяспекі Psiphon даручыў кампаніі 7ASecurity правесці праверку бяспекі сваёй кодавай базы, звязанай з чатырма новымі паляпшэннямі Psiphon. Выніковая справаздача з'яўляецца публічнай, і яе можна знайсці па адрасе: https://7asecurity.com/reports/pentest-report_psiphon-e.pdf.
Выкарыстоўваючы падыход «белай скрыні» (white box), што азначала поўную даступнасць зыходнага кода, каманда бяспекі мела на мэце вызначыць адпаведнасць Psiphon найлепшым практыкам бяспечнага праграмавання і пры неабходнасці даць рэкамендацыі па абароне на аснове атрыманых вынікаў. Каманда бяспекі выкарыстоўвала розныя інструменты і метады ў дачыненні да ўсяго зыходнага кода Psiphon і старонніх бібліятэк. Таксама быў прааналізаваны сеткавы трафік для выяўлення патэнцыйных вектараў атак, стварэння лічбавых адбіткаў (fingerprinting) і паводзін Psiphon пры атацы.
Высновы каманды былі наступнымі:
“Платформа Psiphon аказалася ўстойлівай да шырокага спектру вектараў атак і пакінула агульнае надзейнае ўражанне.
Гэта добра характарызуе каманду, якая стаіць за гэтым рашэннем. 7ASecurity выявіла толькі 1 уразлівасць бяспекі нізкага ўзроўню важнасці. Такім чынам, ніякіх істотных хібаў бяспекі не было выяўлена падчас гэтай працы. Астатнія 4 знаходкі былі класіфікаваны як іншыя слабасці і, адпаведна, не лічацца ўразлівасцямі.”
Кодавая база Psiphon з'яўляецца адкрытай, доступ да яе можна атрымаць на GitHub. Папярэднія аўдыты бяспекі кода Psiphon можна знайсці праз наш вэб-сайт і ў блогу Psiphon.
Мы дзякуем камандзе 7ASecurity за намаганні і рады, што інжынеры-праграмісты і зыходны код Psiphon працягваюць атрымліваць такую высокую ацэнку.