Heartbleed και Psiphon
4/10/2014 - 2 λεπτά ανάγνωσης
Ενημερώθηκε: 26/9/2021
Περίληψη των επιπτώσεων του Heartbleed στο Psiphon:
- Ορισμένοι διακομιστές Psiphon χρησιμοποιούσαν επηρεαζόμενες εκδόσεις του OpenSSL, αφήνοντας τον διακομιστή ιστού Python ευάλωτο στην επίθεση Heartbleed. Τα δεδομένα που τέθηκαν σε κίνδυνο, εντός της διεργασίας του στοιχείου διακομιστή ιστού, περιλάμβαναν πληροφορίες τοπολογίας του δικτύου Psiphon και στατιστικά χρήσης του δικτύου, πέρα από το υλικό κλειδιών του διακομιστή ιστού.
- Τα τούνελ SSH/SSH+ του Psiphon δεν διέτρεξαν κίνδυνο. Η κίνηση των χρηστών που περνούσε μέσα από τους διακομιστές Psiphon δεν διέτρεξε κίνδυνο. Τα τούνελ VPN του Psiphon διέτρεχαν δυνητικά κίνδυνο για επιθέσεις man-in-the-middle, καθώς το μυστικό ταυτοποίησης ανά συνεδρία βρίσκεται στη μνήμη του διακομιστή ιστού Python.
- Στις 8 Απριλίου 2014, εφαρμόστηκαν ενημερώσεις κώδικα του OpenSSL σε όλους τους επηρεαζόμενους διακομιστές Psiphon. Επιπλέον, σε όλους τους επηρεαζόμενους διακομιστές ανακλήθηκαν οι δυνατότητες μη-SSH/SSH+ (ενημερώσεις εκτός καναλιού προς όλους τους πελάτες), διασφαλίζοντας ότι οι πελάτες δεν θα επιχειρήσουν να χρησιμοποιήσουν δυνητικά παραβιασμένο υλικό κλειδιών διακομιστή ιστού εκτός του ασφαλούς τούνελ.
- Ο πελάτης των Windows δεν χρησιμοποιεί το OpenSSL και δεν επηρεάζεται από την επίθεση Heartbleed.
- Ο πελάτης Android δεν χρησιμοποιεί το OpenSSL για το τούνελ του, αλλά χρησιμοποιεί το Android Java SSL για τα αιτήματα ιστού προς τους διακομιστές ιστού Psiphon και το Amazon S3. Καθώς η έκδοση Android 4.1.1 επηρεάζεται από το Heartbleed, η εφαρμογή μας σε αυτήν τη συγκεκριμένη έκδοση του Android παραμένει ευάλωτη στην υποκλοπή της μνήμης της εφαρμογής από την Amazon, τους διακομιστές Psiphon ή κάποιον επιτιθέμενο man-in-the-middle.
- Ο διακομιστής αυτόματης απάντησης email διέθετε την επηρεαζόμενη έκδοση του OpenSSL. Η επίθεση εναντίον του θα συνίστατο στην πρόκληση μιας σύνδεσης SSL προς έναν απομακρυσμένο διακομιστή αλληλογραφίας (στέλνοντας ένα αίτημα μέσω email από μια διεύθυνση που χρησιμοποιεί αυτόν τον διακομιστή), ο οποίος θα μπορούσε στη συνέχεια να υποκλέψει δεδομένα από τη μνήμη του διακομιστή αλληλογραφίας. Αυτό θα μπορούσε δυνητικά να εκθέσει περιεχόμενο email, συμπεριλαμβανομένων διευθύνσεων. Οι ενημερώσεις κώδικα του OpenSSL εφαρμόστηκαν στις 8 Απριλίου 2014.
- Ο διακομιστής επεξεργασίας σχολίων διέθετε την επηρεαζόμενη έκδοση του OpenSSL. Ενδέχεται να χρησιμοποίησε αυτήν τη βιβλιοθήκη (μέσω Python + Boto) για να πραγματοποιήσει συνδέσεις SSL προς τις υπηρεσίες Amazon AWS και τον διακομιστή Google Gmail. Αυτό σημαίνει ότι η Amazon ή η Google θα μπορούσαν να έχουν αποκτήσει πρόσβαση στα δεδομένα σχολίων χρηστών. Ωστόσο, πρέπει να σημειωθεί ότι αυτά τα δεδομένα φιλοξενούνται ήδη στο Amazon EC2 και ένα υποσύνολο αυτών των δεδομένων μάς αποστέλλεται μέσω Gmail. Οι ενημερώσεις κώδικα του OpenSSL εφαρμόστηκαν στις 8 Απριλίου 2014.
- Το Psiphon δεν χρησιμοποιούσε επηρεαζόμενη έκδοση του OpenSSL.