Heartbleed und Psiphon
4.10.2014 - 2 Min. Lesezeit
Aktualisiert: 26.9.2021
Zusammenfassung der Auswirkungen von Heartbleed auf Psiphon:
- Einige Psiphon-Server verwendeten betroffene Versionen von OpenSSL, wodurch der Python-Webserver anfällig für den Heartbleed-Angriff war. Zu den gefährdeten Daten innerhalb des Komponentenprozesses des Webservers gehörten neben dem Schlüsselmaterial des Webservers auch Informationen zur Psiphon-Netzwerktopologie und Netzwerknutzungsstatistiken.
- Die SSH/SSH+-Psiphon-Tunnel waren nicht gefährdet. Der Datenverkehr der Nutzer, der über die Psiphon-Server lief, war nicht gefährdet. VPN-Psiphon-Tunnel waren potenziell durch Man-in-the-Middle-Angriffe gefährdet, da sich das Authentifizierungsgeheimnis pro Sitzung im Speicher des Python-Webservers befindet.
- Am 8. April 2014 wurden OpenSSL-Patches auf allen betroffenen Psiphon-Servern eingespielt. Darüber hinaus wurden allen betroffenen Servern ihre Nicht-SSH/SSH+-Fähigkeiten entzogen (Out-of-Band-Aktualisierungen für alle Clients), wodurch sichergestellt wurde, dass Clients nicht versuchen, potenziell kompromittiertes Webserver-Schlüsselmaterial außerhalb des sicheren Tunnels zu verwenden.
- Der Windows-Client verwendet kein OpenSSL und ist nicht vom Heartbleed-Angriff betroffen.
- Der Android-Client verwendet kein OpenSSL für seinen Tunnel, nutzt jedoch Android Java SSL für seine Webanfragen an Psiphon-Webserver und Amazon S3. Da die Android-Version 4.1.1 von Heartbleed betroffen ist, bleibt unsere App auf dieser speziellen Version von Android anfällig dafür, dass Amazon, Psiphon-Server oder ein Man-in-the-Middle Einblick in den App-Speicher nehmen.
- Der E-Mail-Autoresponder-Server verfügte über die betroffene Version von OpenSSL. Ein Angriff darauf würde darin bestehen, ihn dazu zu bringen, eine SSL-Verbindung zu einem entfernten Mailserver herzustellen (indem eine E-Mail-Anfrage von einer Adresse gesendet wird, die diesen Server verwendet), welcher dann in den Speicher des Mailservers einsehen könnte. Dies könnte potenziell E-Mail-Inhalte einschließlich Adressen offenlegen. Die OpenSSL-Patches wurden am 8. April 2014 eingespielt.
- Der Feedback-Verarbeitungsserver verfügte über die betroffene Version von OpenSSL. Er könnte diese Bibliothek (über Python + Boto) verwendet haben, um SSL-Verbindungen zu Amazon-AWS-Diensten und dem Google-Gmail-Server herzustellen. Dies bedeutet, dass Amazon oder Google Zugriff auf Nutzer-Feedback-Daten hätten haben können. Es sollte jedoch beachtet werden, dass diese Daten bereits in Amazon EC2 gehostet werden und eine Teilmenge dieser Daten per Gmail an uns gemailt wird. Die OpenSSL-Patches wurden am 8. April 2014 eingespielt.
- Psiphon verwendete keine betroffene Version von OpenSSL.