Psiphon schließt eine weitere Sicherheitsüberprüfung durch Dritte ab
16.2.2018 - 2 Min. Lesezeit
Aktualisiert: 4.6.2021
Ende Juni 2017 hat Psiphon sein Engagement für Open-Source-Entwicklung erneut unter Beweis gestellt (auf unser Code-Repository können Sie hier zugreifen), indem Cure53 mit der Durchführung eines Sicherheitsaudits unserer Dienste beauftragt wurde. Die Sicherheitsüberprüfung dauerte 22 Tage und erforderte insgesamt 9 Tester, um das abzuschließen, was als Überprüfung mit einem „enormen Umfang“ beschrieben wurde, und die Cure53-Tester waren sehr gründlich. Dies ist unser 2. Sicherheitsaudit dieser Art innerhalb von 3 Jahren (die Ergebnisse des 1., der von iSec durchgeführt wurde, finden Sie hier).
In der Beschreibung des Prüfumfangs im Bericht heißt es:
„Gegenstand der Untersuchung waren mehrere Komponenten des Psiphon-Softwareverbunds, darunter der Tunnel-Core-Client und -Server, die Library-Glue-Schicht, die Psiphon-iOS-App und nicht zuletzt der Psiphon-iOS-Browser. Diese sehr weit gefasste Voraussetzung und der Umfang erklären die Notwendigkeit, eine recht große Zahl von Testern mit entsprechend abgestimmter Expertise in verschiedenen Bereichen einzubeziehen. Insgesamt umfassten die Tests Code-Audits, tatsächliche Penetrationstests, Protokoll- und Konfigurationsüberprüfungen sowie ein kryptografisches Audit.“
Wir sind mit den Ergebnissen des Sicherheitsaudits sehr zufrieden und stolz darauf, mitteilen zu können, dass „keine nennenswerten Sicherheitsrisiken aufgedeckt werden konnten“ (S. 19). Im Sinne der Transparenz können Sie den vollständigen, detaillierten Bericht im PDF-Format hier lesen. Von den beiden gefundenen Schwachstellen wurde eine bereits behoben (und von Cure53 bestätigt), und es wurden Schritte unternommen, um die andere in kommenden Versionen zu beheben.
Die Tester stellten außerdem 7 weitere sonstige Probleme fest, die im Bericht aufgeführt sind; vier davon wurden ebenfalls bereits behoben.
„Die Tester teilten die Überzeugung, dass der Softwareverbund in der Vergangenheit stark von einer Reihe von Softwaresicherheitsaudits profitiert hat. Dies spiegelt sich selbstverständlich in den Befunden wider. Unter den insgesamt neun entdeckten Problemen wurden lediglich zwei als Sicherheitslücken eingestuft und zudem mit dem niedrigsten Schweregrad „Informational“ bewertet.“
Die Cure53-Tester wiesen im gesamten Bericht mehrfach darauf hin, wie sauber und qualitätsorientiert der Code ist, und gelangten zu folgendem Schluss:
„Trotz des erheblichen zeitlichen und personellen Aufwands für den Versuch einer Kompromittierung hielten die untersuchten Psiphon-Komponenten der Prüfung stand und erwiesen sich gegenüber feindlichen Angriffen als stark und robust. Das Fazit ist, dass keine nennenswerten Sicherheitsrisiken aufgedeckt werden konnten.“
Wir hoffen, dass Sie diesen Bericht interessant finden und dass er Sie in unserem Bestreben bestärkt, erstklassige Software bereitzustellen, die stets Open Source und sicher sein wird.