Unabhängige Sicherheitsbewertung von Psiphon 3

Bei Psiphon engagieren wir uns für Open-Source-Entwicklung. Wir haben darüber in einem früheren Blogbeitrag berichtet, und Sie können hier auf unseren Quellcode zugreifen.

Vor kurzem bot sich uns die Gelegenheit, diese Offenheit mit einem formellen Sicherheitsaudit unserer Windows- und Android-Produkte durch iSEC Partners noch einen Schritt weiterzugehen. Im Rahmen unserer Bemühungen, transparent zu handeln, freuen wir uns, diesen Bericht in vollem Umfang zu veröffentlichen, den Sie hier abrufen können.

Insgesamt sind wir sehr zufrieden mit den Ergebnissen des Sicherheitsaudits und darüber, dass anerkannt wurde, dass wir „aktiv darin investiert sind, die Sicherheit [unserer] Nutzer zu gewährleisten“. Wir haben den einen von iSEC Partners aufgedeckten Punkt mit hoher Schwere („High Severity“) bereits behoben und werden die anderen Empfehlungen im Laufe der Zeit umsetzen.

Die wichtigsten Ergebnisse des Berichts sind:

• Psiphon folgt den meisten branchenüblichen Best Practices und ergreift Maßnahmen zur Abwehr von Angriffen, wo dies nicht möglich ist.
• Die meisten Befunde waren Vorschläge zur weiteren Verbesserung des Systems, insbesondere im Hinblick auf die wachsende Zahl von Personen, die die Software nutzen.
• Es wurden keine inhärenten Architekturmängel festgestellt.
• Es wurde ein Problem mit hoher Schwere („High Severity“) im Zusammenhang mit automatisiertem Server-Patching gefunden. Wir haben nun automatisiertes Server-Patching mithilfe von Ansible bereitgestellt.
• Längerfristige Empfehlungen werden geprüft und gegebenenfalls in unsere Entwicklungspläne aufgenommen.

Ein besonders interessanter Befund ist die Feststellung von iSEC Partners, dass ein Potenzial für Sicherheitsprobleme im Zusammenhang mit dem Browser besteht, den wir für den reinen Browsermodus verwenden. Wir haben kürzlich darüber berichtet, als eine neue Sicherheitslücke im Browser entdeckt wurde, und haben bereits Maßnahmen ergriffen, um dem entgegenzuwirken.

Wir haben uns sehr über die Gelegenheit gefreut, diese Sicherheitsüberprüfung durchführen zu lassen. Wir hoffen, dass Sie diesen Bericht interessant finden und dass er Sie in unserem Engagement bestärkt, erstklassige Software bereitzustellen, die stets quelloffen und sicher sein wird.