Jüngstes Sicherheitsaudit des Psiphon-Codes durch 7ASecurity findet „keine signifikanten Sicherheitslücken“
2.11.2021 - 1 Min. Lesezeit
Im Rahmen unseres kontinuierlichen Engagements für höchste Standards bei Transparenz und Sicherheit hat Psiphon 7ASecurity beauftragt, eine Sicherheitsüberprüfung seiner Codebasis im Hinblick auf vier neue Psiphon-Erweiterungen durchzuführen. Der daraus resultierende Bericht ist öffentlich und abrufbar unter: https://7asecurity.com/reports/pentest-report_psiphon-e.pdf.
Mithilfe eines „White-Box“-Ansatzes, bei dem der gesamte Quellcode zur Verfügung stand, machte sich das Sicherheitsteam daran, die Einhaltung bewährter Praktiken für sichere Programmierung durch Psiphon zu überprüfen und auf Grundlage seiner Erkenntnisse gegebenenfalls Schutzempfehlungen abzugeben. Das Sicherheitsteam wendete eine Vielzahl von Tools und Methoden auf den gesamten Quellcode von Psiphon und Bibliotheken von Drittanbietern an. Zudem wurde der Netzwerkverkehr analysiert, um potenzielle Angriffsvektoren, Fingerprinting und das Verhalten von Psiphon bei Angriffen zu ermitteln.
Die Schlussfolgerungen des Teams lauteten:
„Die Psiphon-Plattform erwies sich als widerstandsfähig gegenüber einem breiten Spektrum von Angriffsvektoren und hinterließ insgesamt einen soliden Eindruck.
Dies wirft ein gutes Licht auf das Team hinter der Lösung. 7ASecurity hat lediglich 1 Sicherheitslücke mit geringem Schweregrad festgestellt. Somit konnten im Rahmen dieses Auftrags keine signifikanten Sicherheitsmängel festgestellt werden. Die verbleibenden 4 Befunde wurden als sonstige Schwachstellen eingestuft und daher nicht als Sicherheitslücken gewertet.“
Die Codebasis von Psiphon ist quelloffen und auf GitHub einsehbar. Frühere Sicherheitsaudits des Psiphon-Codes können über unsere Website und im Psiphon-Blog eingesehen werden.
Wir danken dem Team von 7ASecurity für seinen Einsatz und freuen uns, dass die Software-Entwickler und der Quellcode von Psiphon weiterhin so hoch geschätzt werden.