হার্টব্লিড এবং Psiphon
4/10/2014 - 2 মিনিটের পাঠ
হালনাগাদ: 26/9/2021
Psiphon-এর উপর Heartbleed-এর প্রভাবের সারসংক্ষেপ:
- কিছু Psiphon সার্ভার OpenSSL-এর আক্রান্ত সংস্করণগুলি ব্যবহার করছিল, যার ফলে Python ওয়েব সার্ভারটি Heartbleed আক্রমণের ঝুঁকিতে পড়েছিল। ওয়েব সার্ভার কম্পোনেন্ট প্রক্রিয়ার মধ্যে ঝুঁকিতে থাকা তথ্যের মধ্যে ওয়েব সার্ভার কী উপাদান ছাড়াও Psiphon নেটওয়ার্ক টপোলজি সম্পর্কিত তথ্য এবং নেটওয়ার্ক ব্যবহারের পরিসংখ্যান অন্তর্ভুক্ত ছিল।
- SSH/SSH+ Psiphon টানেলগুলি ঝুঁকিতে ছিল না। Psiphon সার্ভারগুলির মাধ্যমে প্রবাহিত ব্যবহারকারীর ট্র্যাফিক ঝুঁকিতে ছিল না। VPN Psiphon টানেলগুলি ম্যান-ইন-দ্য-মিডল আক্রমণের সম্ভাব্য ঝুঁকিতে ছিল কারণ প্রতি-সেশনের প্রমাণীকরণ গোপনীয় তথ্য Python ওয়েব সার্ভারের মেমরিতে থাকে।
- ২০১৪ সালের ৮ এপ্রিল, ক্ষতিগ্রস্ত সমস্ত Psiphon সার্ভারে OpenSSL প্যাচ প্রয়োগ করা হয়েছিল। উপরন্তু, সমস্ত ক্ষতিগ্রস্ত সার্ভারের নন-SSH/SSH+ ক্ষমতা প্রত্যাহার করা হয়েছিল (সমস্ত ক্লায়েন্টের জন্য আউট-অফ-ব্যান্ড আপডেট), যাতে নিশ্চিত করা যায় যে ক্লায়েন্টরা সুরক্ষিত টানেলের বাইরে সম্ভাব্য আপস করা ওয়েব সার্ভার কী উপাদান ব্যবহার করার চেষ্টা করবে না।
- Windows ক্লায়েন্ট OpenSSL ব্যবহার করে না এবং এটি Heartbleed আক্রমণ দ্বারা ক্ষতিগ্রস্ত নয়।
- Android ক্লায়েন্ট তার টানেলের জন্য OpenSSL ব্যবহার করে না, তবে Psiphon ওয়েব সার্ভার এবং Amazon S3-তে ওয়েব অনুরোধ পাঠানোর জন্য Android Java SSL ব্যবহার করে। যেহেতু Android সংস্করণ 4.1.1 Heartbleed দ্বারা আক্রান্ত, তাই Android-এর এই নির্দিষ্ট সংস্করণে আমাদের অ্যাপটি Amazon, Psiphon সার্ভার বা অ্যাপ মেমরিতে উঁকি দেওয়া ম্যান-ইন-দ্য-মিডল আক্রমণের ঝুঁকিতে থাকে।
- ইমেলের স্বয়ংক্রিয় উত্তর দেওয়া (auto-responder) সার্ভারে OpenSSL-এর আক্রান্ত সংস্করণটি ছিল। এর বিরুদ্ধে আক্রমণটি হতো এটিকে একটি দূরবর্তী মেল সার্ভারের সাথে SSL সংযোগ স্থাপন করানো (সেই সার্ভার ব্যবহার করে এমন একটি ঠিকানা থেকে ইমেল অনুরোধ পাঠিয়ে), যা তখন মেল সার্ভারের মেমরিতে উঁকি দিতে পারত। এটি ঠিকানা সহ ইমেলের বিষয়বস্তু সম্ভাব্যভাবে প্রকাশ করে দিতে পারত। ২০১৪ সালের ৮ এপ্রিল OpenSSL প্যাচ প্রয়োগ করা হয়েছিল।
- প্রতিক্রিয়া প্রক্রিয়াকরণ (feedback processing) সার্ভারে OpenSSL-এর আক্রান্ত সংস্করণটি ছিল। এটি Amazon AWS পরিষেবা এবং Google Gmail সার্ভারে SSL সংযোগ স্থাপনের জন্য সেই লাইব্রেরিটি ব্যবহার করে থাকতে পারে (Python + Boto এর মাধ্যমে)। এর মানে হলো Amazon বা Google হয়তো ব্যবহারকারীর প্রতিক্রিয়ার ডেটা অ্যাক্সেস করে থাকতে পারত। তবে উল্লেখ্য যে, এই ডেটা ইতিমধ্যেই Amazon EC2-তে হোস্ট করা হয়েছে এবং এই ডেটার একটি অংশ Gmail-এর মাধ্যমে আমাদের ইমেল করা হয়। ২০১৪ সালের ৮ এপ্রিল OpenSSL প্যাচ প্রয়োগ করা হয়েছিল।
- Psiphon OpenSSL-এর কোনো আক্রান্ত সংস্করণ ব্যবহার করছিল না।